bs架構(gòu)體系安全滲透測(cè)試基礎(chǔ)-免費(fèi)閱讀
【正文】 :53:3308:53:33February 14, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 2023年 2月 上午 8時(shí) 53分 :53February 14, 2023 ? 1少年十五二十時(shí)，步行奪得胡馬騎。 上午 8時(shí) 53分 33秒 上午 8時(shí) 53分 08:53: ? 沒有失敗，只有暫時(shí)停止成功！。 08:53:3308:53:3308:532/14/2023 8:53:33 AM ? 1以我獨(dú)沈久，愧君相見頻。超時(shí)長(zhǎng)度根據(jù)所設(shè)計(jì)的敏感內(nèi)容而定。實(shí)際上，它包含了與用戶驗(yàn)證有關(guān)的全部?jī)?nèi)容以及與活動(dòng)線程管理有關(guān)的全部?jī)?nèi)容。 索迪教育 IT成就人生 未能限制 URL訪問 ? 由于各頁(yè)面以及 web訪問規(guī)則控制不嚴(yán)格，導(dǎo)致不具有權(quán)限的用戶可以直接訪問相關(guān)的 URL資源。 ? 我們假定三個(gè)角色：攻擊者、用戶、網(wǎng)上銀行、一個(gè)論壇。最根本的解決手段 ,在確認(rèn)客戶端的輸入合法之前 ,服務(wù)端拒絕進(jìn)行關(guān)鍵性的處理操作 . ? 從測(cè)試人員的角度來講 ,在程序開發(fā)前 (即需求階段 ),我們就應(yīng)該有意識(shí)的將安全性檢查應(yīng)用到需求評(píng)審中 ,例如對(duì)一個(gè)表單需求進(jìn)行檢查時(shí) ,我們一般檢驗(yàn)以下幾項(xiàng)安全性問題 : 1. 需求中應(yīng)說明表單中某一 FIELD的類型 ,長(zhǎng)度 ,以及取值范圍 (主要作用就是禁止輸入敏感字符 ) 2. 需求中應(yīng)說明如果超出表單規(guī)定的類型 ,長(zhǎng)度 ,以及取值范圍的 ,應(yīng)用程序應(yīng)給出不包含任何代碼或數(shù)據(jù)庫(kù)信息的錯(cuò)誤提示 . 當(dāng)然在執(zhí)行測(cè)試的過程中 ,我們也需求對(duì)上述兩項(xiàng)內(nèi)容進(jìn)行測(cè)試 . 索迪教育 IT成就人生 信息泄漏和不正確的錯(cuò)誤處理 ? 此漏洞利用的重點(diǎn)在于應(yīng)用程序未能正確處理自身發(fā)生的錯(cuò)誤 ，技術(shù)重點(diǎn)在于某些應(yīng)用程序出錯(cuò)時(shí)，會(huì)把錯(cuò)誤信息反饋到用戶端，這些錯(cuò)誤信息通?？捎糜谡{(diào)試的目的 ， 從錯(cuò)誤反饋信息中獲取有用的信息，從而加以利用，突破網(wǎng)站安全。為了實(shí)現(xiàn)這個(gè)需求，通常會(huì)用 SQL 語(yǔ)句查詢數(shù)據(jù)庫(kù)來實(shí)現(xiàn)。最根本的解決手段 ,在確認(rèn)客戶端的輸入合法之前 ,服務(wù)端拒絕進(jìn)行關(guān)鍵性的處理操作 . ? 從測(cè)試人員的角度來講 ,要從需求檢查和執(zhí)行測(cè)試過程兩個(gè)階段來完成 XSS檢查 : 1. 在需求檢查過程中對(duì)各輸入項(xiàng)或輸出項(xiàng)進(jìn)行類型、長(zhǎng)度以及取值范圍進(jìn)行驗(yàn)證，著重驗(yàn)證是否對(duì) HTML或腳本代碼進(jìn)行了轉(zhuǎn)義。該工具爬遍站點(diǎn)，然后根據(jù)嘗試參數(shù)、頭，和路徑找到的所有腳本，運(yùn)行其知道的所有變化。 ? 只要訪問可以順利通過企業(yè)的防火墻， Web 應(yīng)用就毫無(wú)保留的呈現(xiàn)在用戶面前。根據(jù)最新調(diào)查，信息安全攻擊有 75% 都是發(fā)生在 Web 應(yīng)用而非網(wǎng)絡(luò)層面上。同時(shí)，數(shù)據(jù)也顯示，三分之二的 Web 站點(diǎn)都相當(dāng)脆弱，易受攻擊。只有加強(qiáng) Web 應(yīng)用自身的安全，才是真正的 Web 應(yīng)用安全解決之道。在這兩種方法中，用盡可能多的方式檢查對(duì)應(yīng)用程序的每個(gè)輸入（所有腳本的參數(shù)、 HTTP 頭、路徑）。 2. 執(zhí)行測(cè)試過程中也應(yīng)對(duì)上述項(xiàng)進(jìn)行檢查。開發(fā)人員在編寫應(yīng)用程序時(shí)，可能會(huì)使用如下的 SQL 語(yǔ)句來實(shí)現(xiàn)上述目的（這里僅為示例）： 索迪教育 IT成就人生 ? 1)Select * from products where product_id = ` + 用戶輸入的 ID + ` 這里的 products 是數(shù)據(jù)庫(kù)中用來存放產(chǎn)品信息的表，＋號(hào)表示 SQL 語(yǔ)句需要和用戶輸入的真實(shí) ID 進(jìn)行拼接。 當(dāng) Web應(yīng)用程序發(fā)生錯(cuò)誤時(shí)，如果處理不得當(dāng)，可能會(huì)把相關(guān)的錯(cuò)誤信息反饋至客戶瀏覽器。 ? 攻擊的流程主要分以下幾個(gè)步驟： ? 用戶連入網(wǎng)上銀行操作，該網(wǎng)上銀行使用持久化授權(quán) cookie，只要用戶不清除cookies，任何時(shí)候連入網(wǎng)上銀行時(shí)，該銀行網(wǎng)站都認(rèn)為該用戶是有效的； 攻擊者在論壇上發(fā)表圖片，內(nèi)嵌有 GET或 POST方法的 URL并指向該網(wǎng)上銀行，如果該 URL由一個(gè)銀行的合法用戶發(fā)出，則該 URL會(huì)使用戶帳戶被修改； ? 用戶瀏覽此論壇并點(diǎn)擊該圖片，攻擊者預(yù)設(shè)的 URL被由用戶發(fā)往銀行站點(diǎn)，因該用戶未清除 cookie，該請(qǐng)求有效，用戶帳戶在用
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1