bs架構(gòu)體系安全滲透測(cè)試基礎(chǔ)(完整版)
【正文】 下面舉一個(gè)例子來(lái)說(shuō)明注入缺陷是如何進(jìn)行的。此時(shí)瀏覽者的帳號(hào)就很容易被攻擊者掌控了。 ? 目前，跨站點(diǎn)腳本攻擊是最大的安全風(fēng)險(xiǎn)?？梢皂樌ㄟ^的這部分通訊，可能是善意的，也可能是惡意的，很難辨別。這些應(yīng)用在功能和性能上，都在不斷的完善和提高，然而在非常重要的安全性上，卻沒有得到足夠的重視。 索迪教育 IT成就人生 管理部分內(nèi)容索引 ? B/S架構(gòu)常見安全問題 索迪教育 IT成就人生 B/S架構(gòu)常見安全問題 ? 當(dāng)討論起 Web 應(yīng)用安全，我們經(jīng)常會(huì)聽到這樣的回答： “我們使用了防火墻”、“我們使用了網(wǎng)絡(luò)脆弱掃描工具”、“我們使用了 SSL 技術(shù)” …… 所以，“我們的應(yīng)用是安全的”。 索迪教育 IT成就人生 ? 在上圖中，惡意攻擊者（這里使用 表示）通過 Email 或 HTTP 將某銀行的網(wǎng)址鏈接發(fā)給用戶（銀行用 表示），該鏈接中附加了惡意的腳本（上圖步驟一）； ? 用戶訪問發(fā)來(lái)的鏈接，進(jìn)入銀行網(wǎng)站，同時(shí)，嵌在鏈接中的腳本被用戶的瀏覽器執(zhí)行（上圖步驟二、三）； ? 用戶在銀行網(wǎng)站的所有操作，包括用戶的 cookie 和 session 信息，都被腳本收集到，并且在用戶毫不知情的情況下發(fā)送給惡意攻擊者（上圖步驟四）； ? 惡意攻擊者使用偷來(lái)的 session 信息，偽裝成該用戶，進(jìn)入銀行網(wǎng)站，進(jìn)行非法活動(dòng)（上圖步驟五）。 ? 舉例來(lái)說(shuō)，首先 ,找到帶有參數(shù)傳遞的 URL,如登錄頁(yè)面 ,搜索頁(yè)面 ,提交評(píng)論 ,發(fā)表留言頁(yè)面等等。 ? 比如一個(gè)在線銀行，首先會(huì)有對(duì)注冊(cè)客戶進(jìn)行身份驗(yàn)證的登錄界面，在正確登錄后，會(huì)提供更多交互功能，如根據(jù)客戶的銀行卡號(hào)信息，查詢客戶的最近交易、轉(zhuǎn)賬細(xì)節(jié)等。 ? 2) 在界面上，需要用戶輸入產(chǎn)品 ID 的地方，黑客會(huì)輸入如下數(shù)據(jù)： ` or `1`= `1 可以看到，黑客并沒有輸入正常合法的產(chǎn)品編號(hào)。這些信息往往可能含有重要的安全信息。跨站腳本攻擊需要在客戶端寫入惡意代碼，以搜集 cookie等信息，而跨站請(qǐng)求偽造則根本不需要向用戶端寫入任何東西，直接利用銀行授權(quán)的持久認(rèn)證和用戶未清理的 cookie。 由于使用計(jì)算機(jī)的人也許并不是真正的用戶，因此，權(quán)限控制也在很大范圍上帶來(lái)了問題。 ? 此類問題一般都伴隨著認(rèn)證功能出現(xiàn)，比如退出登錄，密碼管理，超時(shí)，密碼記憶，保密問題，賬戶升級(jí)等。 39。 :53:3308:53:33February 14, 2023 ? 1他鄉(xiāng)生白發(fā)，舊國(guó)見青山。 :53:3308:53Feb2314Feb23 ? 1世間成事，不求其絕對(duì)圓滿，留一份不足，可得無(wú)限完美。 , February 14, 2023 ? 閱讀一切好書如同和過去最杰出的人談話。 2023年 2月 14日星期二 8時(shí) 53分 33秒 08:53:3314 February 2023 ? 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 :53:3308:53Feb2314Feb23 ? 1越是無(wú)能的人，越喜歡挑剔別人的錯(cuò)兒。 :53:3308:53:33February 14, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 。一個(gè) Web應(yīng)用程序就算再?gòu)?qiáng)壯，如果在線程管理和密碼管理方面存在漏洞，那么就很容易成為黑客攻擊的犧牲品。 ◆在驗(yàn)證成功后應(yīng)該更新線程號(hào)，或者修改線程的特權(quán)等級(jí)。對(duì)這些信息進(jìn)行加密是非常有效的方式，但是一些企業(yè)會(huì)采用那些未經(jīng)實(shí)踐驗(yàn)證的加密解決方案，其中就可能存在漏洞。 由此可見，該攻擊的重點(diǎn)在于要知道目標(biāo)站點(diǎn)和目標(biāo)用戶，并且該受害站點(diǎn)沒有使用更多的授權(quán)認(rèn)證。高明的入侵者，會(huì)盡可能的使其在頁(yè)面瀏覽或提交時(shí)，使用不正當(dāng)?shù)臄?shù)據(jù)或方法，以此期望頁(yè)面產(chǎn)生錯(cuò)誤回饋，從而利用這些信息完成入侵。 ? 通過這個(gè)例子，我們可以看出，注入缺陷是風(fēng)險(xiǎn)非常高的安全漏洞，一旦 Web 應(yīng)用中給用戶提供了需要其輸入數(shù)據(jù)的接口，就有可能遭到攻擊，將后臺(tái)的數(shù)據(jù)完全暴露在用戶的面前。 ? 所謂注入缺陷，就是在上述場(chǎng)景中，用戶輸入的數(shù)據(jù)被當(dāng)做命令和查詢的一部分，送到后端的解釋器中解釋執(zhí)行。 ? 試想如果我們注入的不是以上這個(gè)簡(jiǎn)單的測(cè)試代碼，而是一段經(jīng)常精心設(shè)計(jì)的惡意腳本，當(dāng)用戶瀏覽此帖
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1