系統(tǒng)脆弱性分析技術(shù)(編輯修改稿)
2024-08-28 13:44 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 SteaUng）。 11 系統(tǒng)脆弱性分析 應(yīng)用層的不安全調(diào)用 應(yīng)用安全概述 應(yīng)用層漏洞才是最直接、最致命的，因?yàn)榛ヂ?lián)網(wǎng)的應(yīng)用必須開(kāi)放端口，這時(shí)防火墻等設(shè)備已無(wú)能為力；網(wǎng)絡(luò)應(yīng)用連接著單位的核心數(shù)據(jù)，漏洞直接威脅著數(shù)據(jù)庫(kù)中的數(shù)據(jù)；內(nèi)部人員通過(guò)內(nèi)網(wǎng)的應(yīng)用安全也不受防火墻控制。 基于 B/S結(jié)構(gòu)應(yīng)用的普及使得應(yīng)用層安全問(wèn)題越來(lái)越受到重視。 據(jù) OWASP相關(guān)資料顯示， 2022年的十大應(yīng)用安全問(wèn)題排名如下： （ 1）跨站腳本（ XSS） （ 2）注入缺陷 （ 3）不安全的遠(yuǎn)程文件包含 （ 4）不安全的直接對(duì)象引用 （ 5）跨站請(qǐng)求偽造 （ 6）信息泄漏和異常錯(cuò)誤處理 （ 7）損壞的驗(yàn)證和會(huì)話管理 （ 8）不安全的加密存儲(chǔ) （ 9）不安全的通信 （ 10） URL訪問(wèn)限制失敗 12 系統(tǒng)脆弱性分析 應(yīng)用層的不安全調(diào)用 常見(jiàn) Web應(yīng)用安全漏洞 常見(jiàn)的 Web應(yīng)用安全漏洞有： ? SQL注入（ SQL injection） ? 跨站腳本攻擊 ? 惡意代碼 ? 已知弱點(diǎn)和錯(cuò)誤配置 ? 隱藏字段 ? 后門(mén)和調(diào)試漏洞 ? 參數(shù)篡改 ? 更改 cookie ? 輸入信息控制 ? 緩沖區(qū)溢出 ? 直接訪問(wèn)瀏覽 攻擊者利用網(wǎng)站系統(tǒng)的代碼漏洞，精心構(gòu)造攻擊代碼，完成對(duì)網(wǎng)站系統(tǒng)的非法訪問(wèn)或控制，中國(guó)、美國(guó)、德國(guó)和俄羅斯是惡意代碼最為活躍的地區(qū)。 13 2022年黑客利用 SQL注入成功入侵中國(guó)移動(dòng)網(wǎng)站，首頁(yè)被黑 14 2022年底中國(guó)工商銀行遭遇 “ 跨站腳本 ” 攻擊 15 惡意代碼 16 ? 應(yīng)對(duì)措施 ? 在網(wǎng)站投入使用之前，應(yīng)該通過(guò) “ 應(yīng)用層安全檢測(cè) ” 。 ? 目前比較常見(jiàn)的有 “ Watchfire AppScan”、 “ 數(shù)據(jù)庫(kù)弱點(diǎn)深度掃描器 ” 、 “ Web應(yīng)用弱點(diǎn)深度掃描 ” 、 “ 網(wǎng)上木馬自動(dòng)分析溯源器 ” 等產(chǎn)品供檢測(cè)使用。 17 漏洞的發(fā)現(xiàn) 18 掃描技術(shù)與原理 掃描是檢測(cè) Inter上的計(jì)算機(jī)當(dāng)前是否是活動(dòng)的、提供了什么樣的服務(wù)，以及更多的相關(guān)信息，主要使用的技術(shù)有 Ping掃描、端口掃描和操作系統(tǒng)識(shí)別。掃描所收集的信息主要可以分為以下幾種： 1）標(biāo)識(shí)主機(jī)上運(yùn)行的 TCP／ UDP服務(wù)。 2）系統(tǒng)的結(jié)構(gòu) (SPARC、 ALPHA、 X86)。 3）經(jīng)由 IN
外語(yǔ)相關(guān)推薦
鄂ICP備17016276號(hào)-1