bs架構(gòu)體系安全滲透測(cè)試基礎(chǔ)-文庫(kù)吧
2025-01-16 08:54 本頁(yè)面
【正文】 圖步驟五）。 ? 因此，只要 Web 應(yīng)用中，有可被惡意攻擊者利用執(zhí)行腳本的地方，都存在極大的安全隱患。黑客們?nèi)绻梢宰層脩?hù)執(zhí)行他們提供的腳本，就可以從用戶(hù)正在瀏覽的域中偷到他的個(gè)人信息、可以完全修改用戶(hù)看到的頁(yè)面內(nèi)容、跟蹤用戶(hù)在瀏覽器中的每一個(gè)動(dòng)作，甚至利用用戶(hù)瀏覽器的缺陷完全控制用戶(hù)的機(jī)器。 ? 目前，跨站點(diǎn)腳本攻擊是最大的安全風(fēng)險(xiǎn)。 索迪教育 IT成就人生 檢查您的站點(diǎn)是否處于 XSS 攻擊保護(hù)的方法 ? 檢查站點(diǎn)的確安全也可以通過(guò)手工完成（硬方法），或利用自動(dòng)的 Web 應(yīng)用程序安全漏洞評(píng)估工具 (如 appscan)，它減輕了檢查的負(fù)擔(dān)。該工具爬遍站點(diǎn)，然后根據(jù)嘗試參數(shù)、頭，和路徑找到的所有腳本，運(yùn)行其知道的所有變化。在這兩種方法中，用盡可能多的方式檢查對(duì)應(yīng)用程序的每個(gè)輸入（所有腳本的參數(shù)、 HTTP 頭、路徑）。如果響應(yīng)頁(yè)面包含瀏覽器可以執(zhí)行的 Javascrīpt 代碼，那么 XSS 安全漏洞就已顯露出來(lái)。 ? 舉例來(lái)說(shuō)，首先 ,找到帶有參數(shù)傳遞的 URL,如登錄頁(yè)面 ,搜索頁(yè)面 ,提交評(píng)論 ,發(fā)表留言頁(yè)面等等。其次 ,在頁(yè)面參數(shù)中輸入如下語(yǔ)句 (如 :Javascrīpt,VB scrīpt, HTML, Flash)來(lái)進(jìn)行測(cè)試： ? scrīptalert()/scrīpt ? 最后 ,當(dāng)用戶(hù)瀏覽時(shí)便會(huì)彈出一個(gè)警告框，內(nèi)容顯示的是瀏覽者當(dāng)前的 cookie串 ,這就說(shuō)明該網(wǎng)站存在 XSS漏洞。 ? 試想如果我們注入的不是以上這個(gè)簡(jiǎn)單的測(cè)試代碼，而是一段經(jīng)常精心設(shè)計(jì)的惡意腳本，當(dāng)用戶(hù)瀏覽此帖時(shí)， cookie信息就可能成功的被攻擊者獲取。此時(shí)瀏覽者的帳號(hào)就很容易被攻擊者掌控了。 索迪教育 IT成就人生 XSS攻擊示例 索迪教育 IT成就人生 如何預(yù)防 XSS漏洞 ? 從應(yīng)用程序的角度來(lái)講 ,要進(jìn)行以下幾項(xiàng)預(yù)防 : 1. 對(duì) Javascrīpt,VB scrīpt, HTML, Flash等語(yǔ)句或腳本進(jìn)行轉(zhuǎn)義 . 2. 在服務(wù)端正式處理之前提交數(shù)據(jù)的合法性 (合法性檢查主要包括三項(xiàng) :數(shù)據(jù)類(lèi)型 ,數(shù)據(jù)長(zhǎng)度 ,敏感字符的校驗(yàn) )進(jìn)行檢查等。最根本的解決手段 ,在確認(rèn)客戶(hù)端的輸入合法之前 ,服務(wù)端拒絕進(jìn)行關(guān)鍵性的處理操作 . ? 從測(cè)試人員的角度來(lái)講 ,要從需求檢查和執(zhí)行測(cè)試過(guò)程兩個(gè)階段來(lái)完成 XSS檢查 : 1. 在需求檢查過(guò)程中對(duì)各輸入項(xiàng)或輸出項(xiàng)進(jìn)行類(lèi)型、長(zhǎng)度以及取值范圍進(jìn)行驗(yàn)證，著重驗(yàn)證是否對(duì) HTML或腳本代碼進(jìn)行了轉(zhuǎn)義。 2. 執(zhí)行測(cè)試過(guò)程中也應(yīng)對(duì)上述項(xiàng)進(jìn)行檢查。 索迪教育 IT成就人生 注入缺陷 ? 注入缺陷 ? 目前的 Web 應(yīng)用中，絕大多數(shù)都會(huì)向用戶(hù)提供一個(gè)接口，用來(lái)進(jìn)行權(quán)限驗(yàn)證、搜索、查詢(xún)信息等功能。 ? 比如一個(gè)在線銀行，首先會(huì)有對(duì)注冊(cè)客戶(hù)進(jìn)行身份驗(yàn)證的登錄界面，在正確登錄后，會(huì)提供更多交互功能，如根據(jù)客戶(hù)的銀行卡號(hào)信息，查詢(xún)客戶(hù)的最近交易、轉(zhuǎn)賬細(xì)節(jié)等。這些都是注入缺陷的最佳利用場(chǎng)景。 ? 所謂注入缺陷，就是在上述場(chǎng)景中，用戶(hù)輸入的數(shù)據(jù)被當(dāng)做命令和查詢(xún)的一部分，送到后端的解釋器中解釋執(zhí)行。如果用戶(hù)的輸入是正常合法的， Web 應(yīng)用自然會(huì)返回正常合理的結(jié)果，但是，如果惡意攻擊者，利用輸入數(shù)據(jù)可被后臺(tái)執(zhí)行的原理，偷梁換柱，使用非法的輸入，脆弱的 Web 應(yīng)用會(huì)怎樣呢？ ? 下面舉一個(gè)例子來(lái)說(shuō)明注入缺陷是如何進(jìn)行的。在一個(gè)交易網(wǎng)站中，用戶(hù)必須輸入產(chǎn)品 ID 號(hào)才可以查看該產(chǎn)品的詳細(xì)信息。為了實(shí)現(xiàn)這個(gè)需求，通常會(huì)用 SQL 語(yǔ)句查詢(xún)數(shù)據(jù)庫(kù)來(lái)實(shí)現(xiàn)。開(kāi)發(fā)人員在編寫(xiě)應(yīng)用程序時(shí)，可能會(huì)使用如下的 SQL 語(yǔ)句來(lái)實(shí)現(xiàn)上述目的（這里僅為示例）： 索迪教育 IT成就人生 ? 1)Select * from products where product_id = ` + 用戶(hù)輸入的 ID + ` 這里的 products 是數(shù)據(jù)庫(kù)中用來(lái)存放產(chǎn)品信息的表，＋號(hào)表示 SQL 語(yǔ)句需要和用戶(hù)輸入的真實(shí) ID 進(jìn)行拼接。如果用戶(hù)輸入 325，則該語(yǔ)句在執(zhí)行時(shí)變?yōu)椋? Select * from products where product_id = ` 325 `
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1