搜索

[7667] 2013-07-09_应用安全工作的那些事儿

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2013-07-09_应用安全工作的那些事儿 应 用 安 全 工 作 的 那 些 事 儿 F r e e B u f   2 0 1 3 - 0 7 - 0 9 好 久 没 写 文 章 了 ， 之 前 写 的 文 章 都 是 实 际 解 决 方 案 的 文 章 往 往 看 起 来 比 较 晦 涩 ， 本 文 就 说 说 与 我 工 作 有 关 的 故 事 吧 。 先 声 明 一 下 个 人 观 点 ： 先 声 明 一 下 个 人 观 点 ： 1 .   应 用 安 全 工 作 决 不 可 能 都 是 由 应 用 安 全 工 作 者 完 成 的 ， 不 是 全 员 参 与 的 应 用 安 全 工 作 决 不 可 能 做 出 安 全 性 很 好 的 产 品 。 2 .   公 司 期 望 所 有 与 应 用 安 全 有 关 的 工 作 均 有 应 用 安 全 工 作 者 来 完 成 ， 那 一 定 是 战 略 上 的 轻 视 、 战 术 上 的 错 误 ， 最 终 必 将 以 重 大 安 全 事 故 的 出 现 而 结 束 这 场 战 争 。 3 .   企 业 应 用 安 全 工 作 者 理 应 是 ： 安 全 风 险 的 识 别 者 、 解 决 方 案 策 划 者 与 设 计 者 及 企 业 工 程 师 安 全 意 识 的 培 训 者 ， 必 需 得 到 最 高 层 的 直 接 重 视 方 可 得 以 很 好 的 实 施 。 安 全 的 具 体 实 施 理 应 由 普 通 的 工 程 师 完 成 ， 规 范 化 渗 透 测 试 工 作 理 应 由 普 通 的 测 试 工 程 师 来 完 成 。 导 弹 是 高 科 技 产 品 ， 它 的 零 部 件 依 然 是 普 通 的 工 人 来 完 成 的 ， 不 要 认 为 应 用 安 全 很 高 深 ， 普 通 工 程 师 做 不 了 ， 那 是 应 用 安 全 实 现 “ 工 艺 设 计 ” 人 员 的 工 作 没 做 好 ！ 【 故 事 一 】 【 故 事 一 】 在 公 司 的 早 期 ， 当 我 演 示 X S S 的 问 题 给 我 们 的 开 发 者 与 测 试 人 员 的 时 候 ( e . g .   h t t p : / / w w w . t e s t f i r e . n e t / s e a r c h . a s p x ? t x t S e a r c h = % 3 C s c r i p t % 3 E a l e r t % 2 8 1 % 2 9 % 3 C % 2 F s c r i p t % 3 E ) ， 他 们 最 最 困 惑 的 一 个 问 题 是 ： 谁 没 事 把 自 己 的 页 面 注 入 一 串 谁 没 事 把 自 己 的 页 面 注 入 一 串 j a v a s c r i p t 的 然 后 在 自 己 的 浏 览 器 当 中 执 行 ？ 这 是 漏 洞 吗 ？ 的 然 后 在 自 己 的 浏 览 器 当 中 执 行 ？ 这 是 漏 洞 吗 ？ 这 个 问 题 看 起 来 似 乎 很 傻 ， 其 实 不 然 ， 这 里 蕴 涵 着 一 个 非 常 重 要 的 问 题 ： 谁 是 攻 击 者 、 谁 是 受 害 者 以 及 谁 是 责 任 者 的 问 题 ， 你 想 过 这 些 问 题 吗 ？ 若 想 让 你 的 公 司 的 员 工 明 白 X S S 问 题 的 严 重 性 必 需 让 他 们 从 根 本 上 理 解 问 题 ， 方 可 以 得 以 从 心 底 里 接 受 。 于 是 我 就 做 了 一 个 虚 拟 的 场 景 ： 假 如 我 是 黑 客 ， 我 发 现 某 公 司 网 站 上 可 以 注 入 J S 脚 本 ， 于 是 我 就 巧 妙 的 构 造 攻 击 U R L ， 通 过 社 会 工 程 学 的 方 式 诱 使 对 方 点 击 我 的 U R L ， 当 对 方 处 于 登 录 状 态 时 ， 我 可 以 获 取 对 方 的 会 话 信 息 、 本 地 c o o k i e 信 息 等 等 ， 我 可 以 做 的 事 你 可 以 想 象 了 … ， 在 这 里 我 是 攻 击 者 ， 我 们 的 产 品 用 户 是 受 害 者 ， 我 们 公 司 是 责 任 者 ， 你 说 我 们 要 不 要 处 理 这 个 问 题 ？ 【 故 事 二 】 【 故 事 二 】 关 于 关 于 C S R F 的 那 些 事 的 那 些 事 先 问 问 读 者 ： C S R F 是 漏 洞 吗 ？ 在 我 要 求 开 发 人 员 解 决 C S R F （ C S R F 概 念 可 查 询 C S R F ） 问 题 的 时 候 ， 我 曾 经 被 一 个 资 深 开 发 人 员 问 的 目 瞪 口 呆 ， 开 发 人 员 的 问 题 是 ： 一 个 需 要 做 身 份 验 证 的 一 个 需 要 做 身 份 验 证 的 U R L ， 我 们 在 实 现 的 时 候 已 经 做 了 严 格 的 身 份 验 证 ， 现 在 你 的 要 求 等 于 是 让 我 我 们 再 做 一 次 ， 我 们 在 实 现 的 时 候 已 经 做 了 严 格 的 身 份 验 证 ， 现 在 你 的 要 求 等 于 是 让 我 我 们 再 做 一 次 身 份 验 证 ， 这 不 是 折 腾 吗 ？ 换 句 话 问 用 户 访 问 了 一 个 只 有 登 录 成 功 才 可 以 访 问 的 身 份 验 证 ， 这 不 是 折 腾 吗 ？ 换 句 话 问 用 户 访 问 了 一 个 只 有 登 录 成 功 才 可 以 访 问 的 U R L ， 当 用 户 登 录 后 可 以 正 常 访 ， 当 用 户 登 录 后 可 以 正 常 访 问 ， 为 什 么 你 还 说 它 需 要 做 身 份 验 证 ？ 问 ， 为 什 么 你 还 说 它 需 要 做 身 份 验 证 ？ 开 发 人 员 的 问 题 是 有 效 的 ， 且 我 认 为 是 有 价 值 的 ， 如 果 你 不 能 给 开 发 人 员 解 决 这 个 问 题 ， 他 们 是 不 能 从 心 底 里 形 成 类 似 问 题 的 防 御 意 识 ， 相 反 他 们 会 形 成 一 种 内 心 的 抵 抗 ， 最 终 的 效 果 将 是 可 想 而 知 的 。 于 是 我 又 做 了 一 个 场 景 的 虚 拟 ： 假 如 我 是 黑 客 ， 你 是 用 户 ， 我 是 黑 客 ， 当 然 我 同 时 也 是 一 个 用 户 ， 没 有 迹 象 表 明 我 是 一 个 黑 客 ， 对 于 别 的 用 户 来 说 ， 我 就 是 一 个 普 通 的 用 户 而 已 。 O K , 你 登 录 了 我 们 的 产 品 ， 我 也 登 录 了 我 们 的 产 品 ， 现 在 我 找 到 了 c h a n g e P a s s w d . d o 的 A P I ， 我 发 现 它 并 没 有 做 C S R F 防 范 ， 但 是 这 个 U R L 是 做 了 严 格 的 身 份 认 证 检 查 的 ， 现 在 我 用 c h a n g e P a s s w d . d o ? n e w P W D = X X X X 来 构 造 一
个 U R L ， 发 给 你 ， 为 了 有 隐 秘 性 ， 我 可 以 使 用 短 链 接 的 方 式 发 给 你 ， 你 一 眼 也 看 不 出 来 它 里 面 包 含 了 什 么 ， 当 你 点 击 之 后 ， 它 会 怎 么 样 ？   开 发 说 ： 可 以 正 常 运 行 !   我 问 ： 为 什 么 不 需 要 登 录 、 为 什 么 没 要 求 身 份 验 证 ？   开 发 说 ： 我 已 经 登 录 了 ！ 我 说 ： 这 就 是 C S R F 了 ， 你 觉 得 它 严 重 吗 ？ 此 例 子 当 中 攻 击 者 是 我 ， 受 害 者 是 那 个 开 发 人 员 ， 责 任 者 依 然 是 我 们 产 品 — 服 务 的 提 供 者 。 【 故 事 三 】 【 故 事 三 】 身 份 认 证 与 授 权 难 解 之 惑 身 份 认 证 与 授 权 难 解 之 惑 我 们 要 求 开 发 描 述 清 楚 你 写 的 U R L 或 者 A P I 的 身 份 认 证 的 要 求 ， 比 如 ： m y I n f o . d o ， 开 发 人 员 ： 只 有 登 录 的 用 户 才 可 以 访 问 m y I n f o . d o ， 否 则 会 转 到 登 录 页 面 要 求 用 户 登 录 。 我 说 ： 这 样 写 是 不 对 的 ， 你 这 样 写 表 明 只 要 登 录 的 用 户 都 可 以 访 问 m y I n f o . d o 了 .   开 发 人 员 ： 没 错 啊 ， 登 录 的 用 户 就 可 以 访 问 m y I n f o . d o ， 这 有 什 么 问 题 ？   我 说 ： 如 果 我 登 录 了 ， 但 是 我 访 问 的 是 你 的 m y I n f o . d o 会 怎 么 样 ？   开 发 人 员 ： ( … 沉 思 了 一 会 … ) ， 这 种 情 况 是 可 能 存 在 的 ， 但 是 这 是 比 较 偏 的 情 况   我 说 ： 我 们 做 安 全 需 要 考 虑 的 就 是 可 能 存 在 的 安 全 风 险 ， 正 确 的 描 述 访 问 是 ： 只 有 登 录 的 用 户 才 可 以 访 问 他 自 己 的 m y I n f o . d o ! 读 者 可 能 会 问 ： 咬 文 嚼 字 吗 ？   我 想 说 的 是 ： 这 样 的 咬 文 嚼 字 必 需 有 ， 否 则 后 果 很 严 重 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理