bs架構(gòu)體系安全滲透測(cè)試基礎(chǔ)(文件)
【正文】 知道攻擊的結(jié)果 3. 在服務(wù)端正式處理之前提交數(shù)據(jù)的合法性 (合法性檢查主要包括三項(xiàng) :數(shù)據(jù)類型 ,數(shù)據(jù)長(zhǎng)度 ,敏感字符的校驗(yàn) )進(jìn)行檢查等。這些信息往往可能含有重要的安全信息。 索迪教育 IT成就人生 不安全的直接對(duì)象引用 索迪教育 IT成就人生 跨站請(qǐng)求偽造 ? 跨站請(qǐng)求偽造漏洞利用的重點(diǎn)攻擊者了解受害者所在的站點(diǎn)，在于攻擊者需要精心構(gòu)造可以完成目標(biāo)裝點(diǎn)數(shù)據(jù)修改的 URL，攻擊者的目標(biāo)站點(diǎn)具有持久化授權(quán) cookie或者受害者具有當(dāng)前會(huì)話 cookie，并且目標(biāo)站點(diǎn)沒(méi)有對(duì)用戶在網(wǎng)站行為的第二授權(quán)?？缯灸_本攻擊需要在客戶端寫(xiě)入惡意代碼，以搜集 cookie等信息，而跨站請(qǐng)求偽造則根本不需要向用戶端寫(xiě)入任何東西，直接利用銀行授權(quán)的持久認(rèn)證和用戶未清理的 cookie。一種類似的方式是在 form中包含秘密信息、用戶指定的代號(hào)作為 cookie之外的驗(yàn)證。 由于使用計(jì)算機(jī)的人也許并不是真正的用戶，因此，權(quán)限控制也在很大范圍上帶來(lái)了問(wèn)題。 索迪教育 IT成就人生 損壞的認(rèn)證和 session管理 ? 失效的賬戶及線程管理涉及到很多內(nèi)容。 ? 此類問(wèn)題一般都伴隨著認(rèn)證功能出現(xiàn)，比如退出登錄，密碼管理，超時(shí)，密碼記憶，保密問(wèn)題，賬戶升級(jí)等。 ◆采用超時(shí)機(jī)制強(qiáng)行退出一些長(zhǎng)時(shí)間沒(méi)有操作的線程。 39。 , February 14, 2023 ? 雨中黃葉樹(shù)，燈下白頭人。 :53:3308:53:33February 14, 2023 ? 1他鄉(xiāng)生白發(fā)，舊國(guó)見(jiàn)青山。 2023年 2月 14日星期二 8時(shí) 53分 33秒 08:53:3314 February 2023 ? 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 :53:3308:53Feb2314Feb23 ? 1世間成事，不求其絕對(duì)圓滿，留一份不足，可得無(wú)限完美。 。 , February 14, 2023 ? 閱讀一切好書(shū)如同和過(guò)去最杰出的人談話。勝人者有力，自勝者強(qiáng)。 2023年 2月 14日星期二 8時(shí) 53分 33秒 08:53:3314 February 2023 ? 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 2023年 2月 14日星期二 上午 8時(shí) 53分 33秒 08:53: ? 1最具挑戰(zhàn)性的挑戰(zhàn)莫過(guò)于提升自我。 :53:3308:53Feb2314Feb23 ? 1越是無(wú)能的人，越喜歡挑剔別人的錯(cuò)兒。 2023年 2月 14日星期二 8時(shí) 53分 33秒 08:53:3314 February 2023 ? 1空山新雨后，天氣晚來(lái)秋。 :53:3308:53:33February 14, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 , February 14, 2023 ? 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒(méi)有。 。 :53:3308:53Feb2314Feb23 ? 1故人江海別，幾度隔山川。一個(gè) Web應(yīng)用程序就算再?gòu)?qiáng)壯，如果在線程管理和密碼管理方面存在漏洞，那么就很容易成為黑客攻擊的犧牲品。 ◆密碼恢復(fù)或重置應(yīng)該采用強(qiáng)健的確認(rèn)問(wèn)題。 ◆在驗(yàn)證成功后應(yīng)該更新線程號(hào)，或者修改線程的特權(quán)等級(jí)。嚴(yán)重的時(shí)候，賬戶和線程管理的漏洞會(huì)導(dǎo)致用戶和管理員出現(xiàn)接入問(wèn)題。對(duì)這些信息進(jìn)行加密是非常有效的方式，但是一些企業(yè)會(huì)采用那些未經(jīng)實(shí)踐驗(yàn)證的加密解決方案，其中就可能存在漏洞。 ? 這種漏洞比較淺，常見(jiàn)的問(wèn)題多見(jiàn)于程序在訪問(wèn)控制方面控制不夠嚴(yán)格。 由此可見(jiàn)，該攻擊的重點(diǎn)在于要知道目標(biāo)站點(diǎn)和目標(biāo)用戶，并且該受害站點(diǎn)沒(méi)有使用更多的授權(quán)認(rèn)證。 ? 攻擊的流程主要分以下幾個(gè)步驟： ? 用戶連入網(wǎng)上銀行操作，該網(wǎng)上銀行使用持久化授權(quán) cookie，只要用戶不清除cookies，任何時(shí)候連入網(wǎng)上銀行時(shí)，該銀行網(wǎng)站都認(rèn)為該用戶是有效的； 攻擊者在論壇上發(fā)表圖片，內(nèi)嵌有 GET或 POST方法的 URL并指向該網(wǎng)上銀行，如果該 URL由一個(gè)銀行的合法用戶發(fā)出，則該 URL會(huì)使用戶帳戶被修改； ? 用戶瀏覽此論壇并點(diǎn)擊該圖片，攻擊者預(yù)設(shè)的 URL被由用戶發(fā)往銀行站點(diǎn)，因該用戶未清除 cookie，該請(qǐng)求有效，用戶帳戶在用戶并不知
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1