bs架構(gòu)體系安全滲透測試基礎(chǔ)-wenkub
2023-02-14 08:54:02 本頁面
【正文】 CrossSite Request Fery（跨站點的請求偽造）； ? Information Leakage and Improper Error Handling（信息泄漏和不正確的錯誤處理）； ? Broken Authentication Session Management（損壞的認證和 Session 管理）； ? Insecure Cryptographic Storage（不安全的密碼存儲）； ? Insecure Communications（不安全的通信）； ? Failure to Restrict URL Access（未能限制 URL 訪問） ? 在這里，我簡單介紹下這些缺陷 索迪教育 IT成就人生 常見的 Web 應(yīng)用攻擊示例 ? 跨站點腳本攻擊 （ crosssite scrīpting，簡稱 XSS）， ? 首先來看一下跨站點腳本的利用過程，如圖 ?？梢皂樌ㄟ^的這部分通訊，可能是善意的，也可能是惡意的，很難辨別。 ? 就公司以前 WEB項目外部應(yīng)用的現(xiàn)狀： 90%的網(wǎng)站都受到過類似SQL注入等黑客的攻擊。這些應(yīng)用在功能和性能上，都在不斷的完善和提高，然而在非常重要的安全性上，卻沒有得到足夠的重視。由于網(wǎng)絡(luò)技術(shù)日趨成熟，黑客們也將注意力從以往對網(wǎng)絡(luò)服務(wù)器的攻擊逐步轉(zhuǎn)移到了對 Web 應(yīng)用的攻擊上。 索迪教育 IT成就人生 管理部分內(nèi)容索引 ? B/S架構(gòu)常見安全問題 索迪教育 IT成就人生 B/S架構(gòu)常見安全問題 ? 當(dāng)討論起 Web 應(yīng)用安全，我們經(jīng)常會聽到這樣的回答： “我們使用了防火墻”、“我們使用了網(wǎng)絡(luò)脆弱掃描工具”、“我們使用了 SSL 技術(shù)” …… 所以，“我們的應(yīng)用是安全的”。這里需要注意的是， Web 應(yīng)用是由軟件構(gòu)成的，那么，它一定會包含缺陷（ bugs），這些 bug 就可以被惡意的用戶利用，他們通過執(zhí)行各種惡意的操作，或者偷竊、或者操控、或者破壞 Web 應(yīng)用中的重要信息。 索迪教育 IT成就人生 ? 在上圖中，惡意攻擊者（這里使用 表示）通過 Email 或 HTTP 將某銀行的網(wǎng)址鏈接發(fā)給用戶（銀行用 表示），該鏈接中附加了惡意的腳本（上圖步驟一）； ? 用戶訪問發(fā)來的鏈接，進入銀行網(wǎng)站，同時，嵌在鏈接中的腳本被用戶的瀏覽器執(zhí)行（上圖步驟二、三）； ? 用戶在銀行網(wǎng)站的所有操作，包括用戶的 cookie 和 session 信息，都被腳本收集到，并且在用戶毫不知情的情況下發(fā)送給惡意攻擊者（上圖步驟四）； ? 惡意攻擊者使用偷來的 session 信息，偽裝成該用戶，進入銀行網(wǎng)站，進行非法活動（上圖步驟五）。 索迪教育 IT成就人生 檢查您的站點是否處于 XSS 攻擊保護的方法 ? 檢查站點的確安全也可以通過手工完成（硬方法），或利用自動的 Web 應(yīng)用程序安全漏洞評估工具 (如 appscan)，它減輕了檢查的負擔(dān)。 ? 舉例來說，首先 ,找到帶有參數(shù)傳遞的 URL,如登錄頁面 ,搜索頁面 ,提交評論 ,發(fā)表留言頁面等等。 索迪教育 IT成就人生 XSS攻擊示例 索迪教育 IT成就人生 如何預(yù)防 XSS漏洞 ? 從應(yīng)用程序的角度來講 ,要進行以下幾項預(yù)防 : 1. 對 Javascrīpt,VB scrīpt, HTML, Flash等語句或腳本進行轉(zhuǎn)義 . 2. 在服務(wù)端正式處理之前提交數(shù)據(jù)的合法性 (合法性檢查主要包括三項 :數(shù)據(jù)類型 ,數(shù)據(jù)長度 ,敏感字符的校驗 )進行檢查等。 ? 比如一個在線銀行，首先會有對注冊客戶進行身份驗證的登錄界面，在正確登錄后，會提供更多交互功能，如根據(jù)客戶的銀行卡號信息，查詢客戶的最近交易、轉(zhuǎn)賬細節(jié)等。在一個交易網(wǎng)站中，用戶必須輸入產(chǎn)品 ID 號才可以查看該產(chǎn)品的詳細信息。 ? 2) 在界面上，需要用戶輸入產(chǎn)品 ID 的地方，黑客會輸入如下數(shù)據(jù)： ` or `1`= `1 可以看到，黑客并沒有輸入正常合法的產(chǎn)品編號?！?,”‘” ,” ” ,” %” ,” 0x” ,” =!*/()|” ,和”空格” ). 2. 屏蔽出錯信息：阻止攻擊者
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1