搜索

[15039] 2020-02-20_注册模块上线前安全测试checklist

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-02-20_注册模块上线前安全测试checklist 注 册 模 块 上 线 前 安 全 测 试 c h e c k l i s t 原 创   f r e e b u f 0 1   F r e e B u f   2 0 2 0 - 0 2 - 2 0 许 多 应 用 系 统 都 有 注 册 模 块 ， 正 常 用 户 通 过 注 册 功 能 ， 获 得 应 用 系 统 使 用 权 限 ； 而 非 法 用 户 通 过 注 册 模 块 ， 则 是 为 了 达 到 不 可 告 人 的 目 的 ， 非 法 用 户 可 以 许 多 应 用 系 统 都 有 注 册 模 块 ， 正 常 用 户 通 过 注 册 功 能 ， 获 得 应 用 系 统 使 用 权 限 ； 而 非 法 用 户 通 过 注 册 模 块 ， 则 是 为 了 达 到 不 可 告 人 的 目 的 ， 非 法 用 户 可 以 通 过 注 册 模 块 与 服 务 端 进 行 交 互 （ 一 切 用 户 输 入 都 不 可 信 ） ， 因 此 系 统 上 线 前 ， 有 必 要 对 注 册 模 块 进 行 重 点 测 试 。 通 过 注 册 模 块 与 服 务 端 进 行 交 互 （ 一 切 用 户 输 入 都 不 可 信 ） ， 因 此 系 统 上 线 前 ， 有 必 要 对 注 册 模 块 进 行 重 点 测 试 。 一 、 注 册 模 块 是 否 面 向 大 众 一 、 注 册 模 块 是 否 面 向 大 众 根 据 系 统 业 务 需 求 ， 分 析 注 册 模 块 面 向 群 体 ； 如 果 是 面 向 大 众 ， 则 注 册 模 块 应 该 放 在 显 而 易 见 的 地 方 ； 比 如 f r e e b u f 的 注 册 功 能 重 点 要 强 调 一 下 面 向 内 部 的 注 册 功 能 ， 此 时 注 册 模 块 应 该 是 尽 可 能 的 隐 藏 起 来 。 对 内 部 注 册 模 块 隐 藏 的 是 否 完 美 ， 上 线 前 就 必 须 进 行 测 试 。 红 军 视 角 （ 黑 盒 测 试 ） ： 通 过 目 录 扫 描 、 审 查 源 代 码 、 爬 取 j s 文 件 ， 发 现 隐 藏 的 用 户 注 册 接 口 ， 比 如 未 删 除 的 注 释 ， 还 可 借 助 社 工 思 维 ， 比 如 登 录 地 址 为 w w w . x x x . c o m / u s e r L o g i n ， 可 猜 测 注 册 地 址 为 w w w . x x x . c o m / u s e r R e g i s t ； 蓝 军 视 角 （ 白 盒 测 试 ） ： 直 接 找 开 发 人 员 要 注 册 模 块 地 址 ， 检 视 改 地 址 是 否 易 猜 解 。 如 下 截 图 ， 就 是 通 过 查 看 源 代 码 ， 发 现 系 统 存 在 内 部 使 用 的 注 册 模 块 ， 已 被 注 释 ， 通 过 检 查 j s 文 件 ， 发 现 注 册 接 口 地 址 ， 以 及 部 分 参 数 。 二 、 是 否 需 要 验 真 。 二 、 是 否 需 要 验 真 。 验 真 ： 验 证 用 户 真 实 性 。 检 查 系 统 是 否 需 要 通 过 手 机 、 或 者 邮 箱 进 行 验 真 。 验 真 方 式 不 限 ， 有 些 是 通 过 短 信 或 者 邮 箱 验 证 码 ， 有 些 是 直 接 将 下 一 步 的 注 册 地 址 发 送 到 邮 箱 。 为 什 么 要 求 验 真 呢 ， 这 可 有 效 防 止 恶 意 注 册 、 杜 绝 僵 尸 账 号 ， 特 别 是 羊 毛 党 ， 平 时 养 一 批 僵 尸 账 号 ， 有 活 动 时 则 启 用 （ 虽 然 现 在 的 羊 毛 党 也 有 钱 ， 舍 得 买 手 机 号 ， 但 多 多 少 少 增 加 了 他 们 的 成 本 ） 。 发 送 短 信 验 证 码 时 ， 可 通 过 拦 截 响 应 包 ， 查 看 服 务 端 是 否 有 把 验 证 码 直 接 返 回 给 客 户 端 ， 如 果 直 接 返 回 给 客 户 端 ， 则 可 以 冒 用 他 人 的 身 份 ， 进 行 注 册 ， 绕 过 验 真 。 如 果 系 统 有 人 脸 识 别 功 能 ， 则 需 测 试 人 脸 识 别 的 健 壮 性 （ 是 否 能 被 绕 过 ） ， 蓝 军 视 角 ： 直 接 通 过 工 具 制 作 动 态 图 片 或 者 小 视 频 ， 取 到 的 绕 过 方 法 ， 可 以 参 考 ： 在 A E 中 制 作 人 脸 识 别 动 画 简 要 步 骤 和 疯 狂 的 身 f e n z h e n g ： 一 张 身 f e n z h e n g 如 何 攻 破 人 脸 识 别 技 术 （ s h e n f e n z h e n g 会 被 河 蟹 ） 。 检 查 验 真 是 否 是 在 前 端 进 行 。 如 果 是 在 前 端 ， 尝 试 将 返 回 包 中 代 表 验 真 结 果 的 参 数 值 ， 类 似 c o d e = - 1 改 为 c o d e = 0 或 者 1 ， s t a t u s = f a l s e 改 为 s t a t u s = t r u e 。 如 果 系 统 提 供 稍 后 验 真 功 能 ， 用 户 可 以 稍 后 验 真 直 接 进 入 系 统 ， 此 时 则 需 要 检 查 是 否 存 在 越 权 漏 洞 ， 防 止 因 权 限 限 制 不 严 ， 导 致 越 权 获 取 只 有 验 真 后 才 具 有 的 权 限 。
三 、 短 信 或 邮 箱 轰 炸 三 、 短 信 或 邮 箱 轰 炸 因 为 有 短 信 或 者 邮 箱 验 证 码 ， 因 此 会 有 短 信 或 邮 箱 轰 炸 的 风 险 。 这 不 仅 会 影 响 用 户 ， 而 且 会 消 耗 企 业 的 短 信 费 用 。 测 试 时 ， 通 过 抓 包 工 具 b u r p s u i t e ， 重 放 验 证 码 发 送 请 求 包 （ 以 防 只 在 前 端 进 行 时 间 间 隔 和 次 数 校 验 ） ， 测 试 验 证 码 是 否 有 发 送 时 间 间 隔 限 制 和 数 目 限 制 。 现 在 大 家 一 般 采 用 的 时 间 间 隔 是 6 0 s ， 次 数 是 5 次 。 四 、 是 否 校 验 用 户 名 四 、 是 否 校 验 用 户 名 大 部 分 系 统 的 注 册 模 块 对 注 册 账 号 进 行 校 验 ， 用 来 验 证 用 户 名 是 否 已 被 使 用 ， 此 时 则 可 通 过 抓 包 工 具 ， 拦 截 注 册 账 号 校 验 请 求 包 ， 比 如 使 用 b u r p s u i t e 的 I n t r u d e r 模 块 ， 字 典 为 常 用 用 户 名 ， 对 用 户 名 进 行 遍 历 ， 再 对 遍 历 出 来 的 用 户 名 进 行 弱 口 令 爆 破 。 当 未 对 注 册 用 户 名 进 行 校 验 时 ， 则 存 在 二 次 注 册 风 险 ， 可 尝 试 用 于 密 码 重 置 ， 甚 至 导 致 整 个 账 号 被 覆 盖 。 因 此 红 军 视 角 测 试 时 ， 需 要 谨 慎 ， 蓝 军 则 直 接 要 来 已 存 在 的 用 户 进 行 快 速 验 证 即 可 。 验 证 用 户 是 否 存 在 的 s e l e c t 语 句 未 作 过 滤 时 ， 则 可 能 会 存 在 S Q L 注 入 漏 洞 。 五 、 五 、 S Q L 和 和 X S S 测 试 测 试 对 注 册 模 块 进 行 s q l 和 x s s 测 试 ， 红 军 视 角 ： 当 用 户 名 长 度 未 做 限 制 时 ， 可 重 点 测 试 用 户 名 （ 昵 称 、 地 址 等 也 要 进 行 测 试 ） ， 以 前 x s s 流 行 时 ， 就 对 用 户 名 插 入 各 种 x s s 的 p a u l o a d ， 进 行 盲 打 ； 而 S Q L 注 入 ， 则 可 能 存 在 i n s e r t 注 入 风 险 ， 或 者 二 次 注 入 （ 一 开 始 注 册 时 ， i n s e r t 有 进 行 过 滤 ， 但 是 登 录 账 号 后 ， 查 看 个 人 信 息 时 ， 未 对 参 数 进 行 过 滤 ， 导 致 触 发 s q l 注 入 攻 击 ， 这 个 比 较 有 难 度 ） ； 蓝 军 视 角 ， 则 来 的 容 易 的 多 ， 直 接 代 码 审 计 即 可 。 注 册 时 ， 当 使 用 的 i n s e r t 语 句 未 作 过 滤 时 ， 比 如 原 始 s q l 语 句 是 （ 参 考 地 址 在 S Q L 注 入 之 i n s e r t 注 入 ） 此 时 则 可 以 构 造 如 下 s q l 注 入 p a y l o a d ， 获 取 数 据 库 用 户 名 注 册 时 ， 当 输 入 框 有 长 度 限 制 ， 可 以 尝 试 f 1 2 修 改 输 入 框 的 长 度 ， 或 者 通 过 拼 接 技 术 ， 将 x s s 的 p a y l o a d 拆 分 到 好 几 个 输 入 框 ， 从 而 验 证 是 否 存 在 x s s 漏 洞 。 六 、 是 否 可 以 注 册 成 管 理 员 六 、 是 否 可 以 注 册 成 管 理 员 遇 到 过 一 个 这 样 的 系 统 ， 从 j s 文 件 中 发 现 的 接 口 请 求 参 数 只 有 用 户 名 和 密 码 i n s e r t   i n t o   m e m b e r ( u s e r n a m e , p w , s e x , p h o n e n u m , e m a i l , a d d r e s s )   v a l u e s ( ' w a n g w u ' , m d 5 ( ' a ' ) , ' a ' , ' a a ' , ' a ' , ' a ' ) i n s e r t   i n t o   m e m b e r ( u s e r n a m e , p w , s e x , p h o n e n u m , e m a i l , a d d r e s s )   v a l u e s ( ' w a n g w u ' o r   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( u s e r s ( ) ) ) , 0 )   o r ' ' , m d 5 ( ' a ' ) , ' a ' , ' a a ' , ' a ' , ' a ' )
虽 然 能 注 册 成 功 ， 但 是 登 陆 进 去 ， 就 一 个 修 改 密 码 和 查 看 个 人 信 息 的 功 能 测 试 时 ， 想 着 能 否 发 现 越 权 ， 后 面 点 击 个 人 信 息 时 也 是 空 白 ， 但 是 响 应 包 中 有 报 错 信 息 ， 提 示 角 色 不 存 在 看 到 r o l e _ i d 这 个 参 数 ， 于 是 重 新 注 册 ， 注 册 请 求 包 中 ， 添 加 参 数 r o l e _ i d ， 并 将 r o l e _ i d 设 置 为 1 （ 一 般 管 理 员 角 色 i d = 1 ） ， 重 新 注 册 成 功 ， 从 而 获 得 管 理 员 权 限 。
七 、 文 件 上 传 七 、 文 件 上 传 部 分 系 统 注 册 时 ， 有 文 件 上 传 功 能 ， 比 如 头 像 、 营 业 执 照 ； 此 时 则 需 要 对 上 传 功 能 进 行 任 意 文 件 上 传 测 试 。 八 、 其 他 八 、 其 他 当 注 册 请 求 包 请 求 参 数 是 x m l 格 式 ， 则 要 进 行 X X E 测 试 ； 如 果 是 j s o n 格 式 ， 不 妨 试 试 f a s t j s o n 命 令 执 行 这 类 漏 洞 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： f r e e b u f 0 1   ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理