搜索

[294] 2019-04-14_A2失效的身份认证和会话管理

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2019-04-14_A2失效的身份认证和会话管理 A 2   失 效 的 身 份 认 证 和 会 话 管 理 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 4 - 1 4 0 x 0 0 ： ： 身 份 认 证 介 绍 身 份 认 证 介 绍 我 们 先 来 介 绍 失 效 的 身 份 认 证 ， 对 于 身 份 认 证 大 家 已 经 再 熟 悉 不 过 了 ， 其 用 来 控 制 一 些 文 件 、 数 据 、 网 页 等 访 问 的 控 制 ， 例 如 最 常 见 的 账 号 和 密 码 ， 各 种 登 录 功 能 等 。 除 了 账 号 和 密 码 外 ， 常 见 的 还 有 一 个 是 客 户 端 证 书 ， 例 如 银 行 登 录 需 要   U   盾 或 者 一 些 证 书 插 到 物 理 机 等 。 再 一 个 生 物 识 别 ， 例 如 指 纹 和 虹 膜 等 。 再 一 个 基 于 设 备 的 一 次 性 密 码 ， 例 如 设 备 每 分 钟 都 会 更 改 其 访 问 密 码 ， 常 见 的 例 如 银 行 字 符   U   盾 的 随 机   6   位 数 。 同 时 还 有 常 见 的   o a u t h   认 证 ， 也 就 是 第 三 方 认 证 例 如 微 信   q q   登 录 等 。 最 后 就 是   S S O   单 点 登 录 ， 单 个 系 统 认 证 登 录 后 ， 其 他 系 统 便 都 有 访 问 权 限 。 0 x 0 1 ： ： 审 计 身 份 验 证 常 见 的 问 题 审 计 身 份 验 证 常 见 的 问 题 了 解 身 份 认 证 后 ， 我 们 来 看 下 如 果 做 代 码 审 计 ， 应 该 注 意 哪 些 问 题 。 1 ， 第 一 个 就 是 我 们 常 说 的 明 文 传 输 ， 确 保 登 录 页 面 只 能 在   T L S   下 使 用 ， 如 果 站 点 是   h t t p s ， 而 换 成   h t t p   也 能 访 问 的 话 ， 则 会 存 在 中 间 人 攻 击 ， 拦 截 数 据 包 嗅 探 账 号 和 密 码 ， 或 者 修 改 提 交 的 请 求 地 址 到 自 己 的 服 务 器 。 2 ， 第 二 个 是 用 户 名 建 议 不 要 区 分 大 些 写 ， 如 果 区 分 大 小 写 ， 那 么   T e s t   和   t e s t   是 两 个 账 号 ， 则 用 户 会 混 淆 ， 造 成 程 序 混 乱 。 3 ， 第 三 个 是 确 保 错 误 提 示 不 会 泄 露 一 些 隐 私 信 息 ， 例 如 只 提 示 用 户 名 错 误 或 者 只 提 示 密 码 错 误 ， 那 么 恶 意 攻 击 者 可 以 通 过 提 示 来 探 测 出 用 户 名 是 否 存 在 ， 且 可 进 行 用 户 名 枚 举 。 4 ， 第 四 个 是 确 保 用 户 输 入 的 字 符 都 在 密 码 中 ， 例 如   o r a c l e   数 据 库 ， @ 符 号 后 面 的 内 容 会 被 当 作 网 络 服 务 ， 有 些 案 例 ， 如 果
用 户 密 码 带 有   @ 符 则 会 登 录 失 败 。 5 ， 第 五 个 应 该 对 密 码 的 长 度 进 行 要 求 ， 强 制 密 码 长 度 ， 可 以 有 效 的 加 大 被 暴 力 破 解 的 可 能 。 6 ， 第 六 个 要 限 制 其 密 码 错 误 的 尝 试 次 数 ， 避 免 恶 意 攻 击 者 无 限 制 的 猜 测 密 码 ， 例 如 提 交 错 误 次 数 超 过   5   次 后 则 锁 定 一 小 时 。 7 ， 第 七 个 是 强 制 用 户 过 了 指 定 期 限 范 围 则 需 要 修 改 密 码 ， 当 然 这 个 外 部 网 站 和 一 同 一 般 不 使 用 ， 如 果 是 内 网 则 可 以 使 用 此 策 略 ， 同 时 通 过   h a s h   等 来 判 断 不 能 使 用 最 近   5   次 已 使 用 过 的 密 码 。 8 ， 第 八 个 是 密 码 复 杂 度 ， 在 第 五 条 限 制 长 度 的 基 础 上 应 该 再 限 制 其 字 符 复 杂 类 型 ， 如 果 只 要 求 密 码 十 位 以 上 ， 则   0 1 2 3 4 5 6 7 8 9   依 然 是 一 个 弱 口 令 ， 常 见 的 字 符 复 杂 度 应 包 含 大 小 写 字 母 数 字 和 特 殊 符 号 。 9 ， 第 九 个 很 少 见 ， 但 也 存 在 ， 就 是 一 些 网 站 提 供 了 重 置 密 码 功 能 ， 这 个 和 忘 记 密 码 不 同 ， 一 些 网 站 的 重 置 密 码 会 发 送 给 指 定 用 户 的 邮 箱 或 搜 集 一 条 信 息 ， 然 后 信 息 里 包 含 了 一 个 随 机 密 码 用 来 登 录 ， 登 录 后 再 来 修 改 密 码 ， 这 个 功 能 需 要 做 频 率 限 制 ， 不 能 无 限 制 请 求 发 送 ， 否 则 会 对 用 户 造 成 轰 炸 等 恶 意 攻 击 。 1 0 ， 第 十 个 就 是 密 码 存 储 加 密 技 术 ， 如 果 是 若 加 密 或 者 是 明 文 存 储 ， 基 本 很 容 易 破 解 ， 虽 然 需 要 结 合 其 他 漏 洞 例 如   s q l   注 入 才 能 获 取 到 ， 但 依 然 是 一 个 攻 击 面 ， 建 议 使 用 强 加 密 ， 即 使 数 据 库 管 理 员 也 不 能 逆 向 破 解 等 。 1 1 ， 对 于 高 风 险 的 功 能 ， 例 如 银 行 转 账 、 用 户 资 料 更 新 等 ， 应 使 用 多 因 素 认 证 ， 也 就 是   M F A ， 再 进 行 一 个 功 能 时 需 要 经 过 多 次 认 证 ， 可 以 有 效 防 止   C S R F   或 会 话 劫 持 ， M F A   多 身 份 验 证 ： 1 ， 你 所 知 道 的 （ 例 如 账 号 和 密 码 ） ， 2 ， 你 说 拥 有 的 （ 令 牌 或 移 动 电 话 信 息 等 ） ， 3 ， 你 所 表 现 的 （ 个 人 特 征 例 如 指 纹 虹 膜 等 ） 。 这 样 多 身 份 验 证 例 如 要 转 账 ， 可 能 流 程 就 是 你 需 要 登 录 账 号 ， 然 后 操 作 时 需 要 输 入 移 动 令 牌 ， 最 后 指 纹 验 证 确 定 。 可 以 有 效 防 止 未 授 权 等 问 题 。 以 上 就 是 对 于 审 计 登 录 时 我 们 可 以 参 考 的 审 计 点 ， 当 然 渗 透 中 也 可 以 应 用 ， 这 里 没 有 什 么 代 码 好 举 例 ， 所 以 我 们 列 举 的 基 本 都 是 理 论 的 东 西 ， 大 家 可 以 熟 悉 然 后 了 解 一 下 ， 对 于 审 计 ， 只 要 了 解 审 计 点 ， 能 看 懂 代 码 ， 上 述 的 审 计 点 基 本 没 什 么 问 题 。 0 x 0 2 ： ： 审 计 忘 记 密 码 常 见 的 问 题 审 计 忘 记 密 码 常 见 的 问 题 我 们 上 面 介 绍 了 登 录 的 一 些 渗 透 和 审 计 点 ， 我 们 下 面 再 来 看 下 对 于 忘 记 密 码 功 能 的 一 些 审 计 点 。 对 于 忘 记 密 码 功 能 这 里 不 多 做 介 绍 了 ， 这 个 功 能 大 家 再 熟 悉 不 过 ， 其 审 计 点 如 下 。 1 ， 第 一 是 建 议 用 户 忘 记 密 码 重 置 时 ， 可 以 发 送 一 个 重 置 密 码 的   u r l   给 用 户 的 邮 箱 ， 然 后 用 户 登 录 邮 箱 点 击   u r l   访 问 重 置 页 面 ， 这 里 需 要 注 意 的 是 修 改 密 码 的   u r l   中 的 一 些 类 似 于   t o k e n   的 信 息 一 定 要 有 复 杂 性 和 不 可 猜 测 性 ， 避 免 被 恶 意 攻 击 者 直 接 猜 出 。 2 ， 第 二 是 重 置 密 码 时 ， 这 里 不 是 忘 记 密 码 ， 是 重 置 ， 在 用 户 登 录 的 情 况 下 直 接 输 入 新 密 码 可 重 置 是 不 安 全 的 ， 建 议 不 管 在 什 么 情 况 下 ， 一 定 要 用 户 输 入 原 始 凭 据 并 进 行 验 证 是 否 正 确 ， 还 有 一 个 要 注 意 的 是 也 需 要 有 频 率 限 制 ， 避 免 恶 意 使 用 来 爆 破 密 码 。
3 ， 第 三 是 在 用 户 进 行 忘 记 密 码 找 回 操 作 时 ， 如 果 是 多 流 程 ， 例 如 先 验 证 是 否 为 机 器 人 ， 然 后 让 输 入 邮 箱 地 址 ， 随 后 再 发 送 邮 箱 验 证 码 ， 输 入 验 证 码 最 后 一 步 是 输 入 新 密 码 ， 这 里 需 要 注 意 的 是 一 定 要 验 证 好 每 一 步 ， 避 免 恶 意 攻 击 者 跳 步 骤 操 作 ， 例 如 第 一 步 是   u r l i d = 1 ， 改 为   3   后 可 直 接 修 改 密 码 的 情 况 。 4 ， 第 四 是 我 们 常 说 的   s e s s i o n   覆 盖 测 试 ， 这 个 和 我 们 的 越 权 类 似 ， 相 当 于 修 改 密 码 前 面 验 证 的 几 步 输 入 自 己 的 信 息 ， 到 密 码 修 改 页 面 时 修 改 相 应 的 参 数 为 他 人 的 ， 以 此 达 到 修 改 他 人 账 号 ， 建 议 对 要 修 改 的 凭 证 和 账 号 做 进 一 步 的 校 验 ， 且 不 要 单 纯 的 通 过 数 据 包 或 者   c o o k i e   中 的 一 些 类 似 于 用 户   i d   或 者 手 机 号 参 数 来 确 认 用 户 。 5 ,   第 五 个 要 注 意 的 是 ， 如 果 一 些 操 作 是 将   u r l   通 过 邮 件 等 方 式 发 送 给 用 户 的 话 ， 则 需 要 对   u r l   的 有 效 期 做 限 制 ， 如 果 用 户 在 指 定 的 时 间 内 没 有 访 问 ， 则 需 要 失 效 ， 例 如   2 4   小 时 内 ， 避 免 一 直 有 效 ， 泄 露 或 猜 测 出 后 被 攻 击 的 情 况 。 0 x 0 3 ： ： 审 计 验 证 码 常 见 的 问 题 审 计 验 证 码 常 见 的 问 题 对 于 用 户 的 登 录 或 密 码 找 回 很 多 应 用 程 序 都 会 有 验 证 码 的 情 况 ， 包 括 图 形 验 证 码 和 手 机 短 信 验 证 码 ， 这 里 我 们 也 简 单 的 记 录 下 验 证 码 的 审 计 点 。 1 ， 第 一 个 是 图 形 验 证 常 见 的 验 证 码 失 效 问 题 或 者 说 是 可 重 复 使 用 问 题 ， 有 些 程 序 的 验 证 码 不 论 输 入 对 错 都 会 进 行 下 一 步 的 请 求 ， 如 果 第 一 次 会 验 证 ， 后 续 的 再 次 验 证 可 能 也 会 失 效 ， 例 如 第 一 次 输 入 错 误 的 账 号 密 码 和 正 确 的 验 证 码 发 送 抓 包 后 ， 会 提 示 账 号 和 密 码 错 误 ， 而 将 拦 截 的 数 据 包 再 次 重 放 后 ， 依 然 提 示 账 号 和 密 码 错 误 ， 而 不 是 验 证 码 错 误 ， 说 明 验 证 码 失 效 或 者 是 可 重 复 使 用 。 2 ， 第 二 个 是 图 形 验 证 码 可 识 别 问 题 ， 如 果 是 简 单 的 字 母 和 数 据 ， 且 干 扰 元 素 很 少 或 者 是 没 有 的 情 况 下 ， 其 验 证 码 可 被 一 些 识 别 软 件 进 行 识 别 ， 依 然 可 造 成 绕 过 验 证 码 爆 破 等 问 题 ， 但 要 注 意 的 是 不 要 过 于 复 杂 ， 很 多 程 序 的 验 证 码 即 使 人 为 识 别 也 很 困 难 ， 对 用 户 体 验 有 很 大 的 影 响 。 3 ， 第 三 个 是 验 证 码 回 显 问 题 ， 很 多 程 序 都 会 将 发 送 给 用 户 的 短 信 验 证 码 进 行 回 显 ， 因 为 程 序 需 要 拿 服 务 器 回 显 的 验 证 码 和 用 户 输 入 的 做 对 比 判 断 是 否 输 入 正 确 ， 但 却 造 成 了 很 大 的 安 全 隐 患 。 4 ， 第 四 个 是 验 证 码 暴 力 破 解 问 题 ， 例 如 短 信 验 证 码   4   位 ， 或 者 是 纯 数 字 几 位 的 图 形 验 证 码 ， 在 没 有 限 制 频 率 的 情 况 下 ， 都 可 以 造 成 被 暴 力 破 解 的 风 险 。 5 ， 第 五 个 是 修 改 参 数 问 题 ， 例 如 发 送 验 证 码 时 拦 截 数 据 包 修 改 一 些 关 键 的 参 数 值 ， 手 机 号 邮 箱 号 等 ， 造 成 发 送 的 验 证 码 发 到 自 己 这 边 来 ， 也 可 以 说 是 越 权 问 题 。 6 ， 第 六 个 是 返 回 的 状 态 码 修 改 ， 很 多 程 序 都 会 有 根 据 服 务 器 返 回 的 状 态 码 来 判 断 是 否 进 行 下 一 步 操 作 ， 例 如 验 证 码 成 功 则 返 回   0   或   t r u e ， 失 败 则 返 回   1   或   f l a s e   这 种 ， 随 意 输 入 一 个 短 信 验 证 码 ， 修 改 返 回 包 状 态 码 为   0   或   t r u e   可 绕 过 。 7 ， 第 七 个 是   s e s s i o n   覆 盖 问 题 ， 也 不 算 验 证 码 的 问 题 ， 例 如 多 步 骤 注 册 或 找 回 密 码 ， 第 一 部 输 入 手 机 号 并 验 证 短 信 验 证 码 ， 第 二 步 重 置 密 码 ， 这 里 第 一 步 手 机 验 证 输 入 自 己 的 信 息 跳 到 第 二 步 ， 然 后 新 开 标 签 页 第 一 步 输 入 目 标 用 户 的 手 机 信 息 ， 发 送 验 证 码 后 再 回 到 自 己 重 置 密 码 的 页 面 刷 新 ， 这 时   s e s s i o n   被 覆 盖 ， 修 改 的 即 是 目 标 用 户 的 密 码 。
0 x 0 4 ： ： 会 话 管 理 介 绍 会 话 管 理 介 绍 对 于 会 话 管 理 大 家 也 不 陌 生 ， 就 是 用 户 登 录 后 身 份 的 维 持 ， 为 了 方 便 后 续 其 他 内 容 的 访 问 。 其 审 计 点 如 下 。 1 ， 第 一 个 是   c o o k i e   的 安 全 管 理 ， 当 一 些 敏 感 信 息 存 在 于   c o o k i e   中 时 ， 建 议 设 置   c o o k i e   使 用   s s l 。 . n e t   w e b . c o n f i g   示 例 如 下 。 j a v a   w e b . x m l   示 例 如 下 。 p h p   p h p . i n i   示 例 如 下 。 上 述 设 置 也 就 是 设 置 我 们 的   c o o k i e   参 数 ， c o o k i e   中 的   s e c u r e 、 h t t p o n l y   属 性 ， 我 们 可 以 直 接 在 浏 览 器 右 键 查 看 敏 感 的 字 段   s e c u r e 、 h t t p o n l y   等 字 段 值 是 否 为   t r u e 。 2 ， 第 二 个 是 会 话 超 时 检 查 ， 根 据 系 统 业 务 来 决 定 当 用 户 不 操 作 多 久 之 后 会 话 需 要 失 效 并 重 新 登 录 验 证 ， 也 就 是   s e s s i o n   失 效 时 间 ， 指 定 时 间 不 进 行 任 何 操 作 ， 则 销 毁   s e s s i o n 。 . n e t   会 话 超 时 默 认 为   3 0   分 钟 ， 这 里 以   1 5   分 钟 为 例 ， 示 例 如 下 。 j a v a   示 例 如 下 。 p h p   示 例 如 下 ， 单 位 为 秒 ： < a u t h e n t i c a t i o n   m o d e = " F o r m s " > < f o r m s   l o g i n U r l = " m e m b e r _ l o g i n . a s p x "   c o o k i e l e s s = " U s e C o o k i e s "   r e q u i r e S S L = " t r u e "   p a t h = " / M y A p p l i c a t i o n " / > < / a u t h e n t i c a t i o n > < s e s s i o n - c o n f i g > < c o o k i e - c o n f i g > < s e c u r e > t r u e < / s e c i r e > < / c o o k i e - c o n f i g > < / s e s s i o n - c o n f i g > v o i d   s e s s i o n _ s e t _ c o o k i e _ p a r a m s ( i n t   $ l i f e t i m e [ ,   s t r i n g   $ p a t h [ ,   s t r i n g   $ d o m a i n [ ,   b o o l   $ s e c u r e   =   t r u e [ ,   b o o l < s y s t e m . W e b >         < s e s s i o n S t a t e   m o d e = " I n P r o c "   c o o k i e l e s s = " t r u e "   t i m e o u t = " 1 5 " / > < s y s t e m . W e b > < s e s s i o n - c o n f i g >         < s e s s i o n - t i m e o u t > 1 5 < / s e s s i o n - t i m e o u t > < / s e s s i o n - c o n f i g > i n i _ s e t ( ' s e s s i o n . g c _ m a x l i f e t i m e ' ,   " 2 4 0 " ) ; i n i _ s e t ( " s e s s i o n . c o o k i e _ l i f e t i m e " , " 2 4 0 " ) ;
上 述 设 置 在 进 行 渗 透 时 ， 可 以 在 出 去 或 者 吃 饭 回 来 后 ， 将 之 前 拦 截 的 数 据 包 再 进 行 发 送 以 此 ， 看 是 否 可 以 请 求 成 功 。 3 ， 第 三 个 是 会 话 的 一 些 敏 感 信 息 内 容 应 该 放 在   c o o k i e   中 ， 有 很 多 程 序 都 有 类 似 的 功 能 ， 例 如 一 些 下 载 文 件 等 操 作 ， 实 际 的 数 据 包 中   c o o k i e   并 未 生 效 或 者 是 没 有   c o o k i e ， 而 下 载 地 址 的   u r l   存 在   t o k e n   这 种 验 证 身 份 的 信 息 ， 可 导 致 会 话 攻 击 ， 也 算 作 未 授 权 访 问 ， t o k e n   存 在   u r l   中 ， 则 恶 意 攻 击 者 则 可 以 从 浏 览 记 录 或 者 是   h t t p   r e f e r r e r s   中 获 取 。 4 ， 第 四 个 是 多 位 置 地 点 登 录 ， 就 是 用 户 在 某 台 设 备 登 录 后 ， 也 可 以 在 另 外 一 台 设 备 进 行 登 录 ， 两 端 同 时 访 问 和 操 作 ， 审 计 时 可 以 看 是 否 有 这 种 防 护 机 制 ， 渗 透 的 时 候 可 以 开 两 个 浏 览 器 测 试 ， 或 者 同 一 个 浏 览 器 的 隐 私 浏 览 等 。 5 ， 第 五 个 是 固 定 的 会 话   i d ， 很 多 程 序 在 用 户 登 录 后 都 会 使 用 同 一 个   s e s s i o n i d ， 当 用 户 退 出 后 ， 再 次 登 录 其   s e s s i o n i d   并 没 有 改 变 。 审 计 时 可 以 查 看 其 会 话 操 作 部 分 是 否 有 销 毁   s e s s i o n   并 随 机 生 成 的 机 制 ， 渗 透 过 程 中 登 录 后 记 录   s e s s i o n i d ， 退 出 再 次 登 录 ， 查 看   s e s s i o n i d   是 否 一 致 。 0 x 0 5 ： ： 总 结 总 结 以 上 就 是 失 效 的 身 份 认 证 和 会 话 管 理 部 分 ， 没 有 太 多 的 代 码 ， 基 本 都 是 理 论 的 东 西 ， 需 要 大 家 多 去 实 践 。 同 时 这 里 需 要 提 一 下 的 是 ， 文 章 中 很 多 东 西 属 于 低 危 的 内 容 ， 例 如 明 文 传 输 ， 会 话 超 时 ， 会 话   h t t p o n l y 、 s e c u r e   属 性 等 ， 但 并 不 是 不 存 在 跨 站 就 不 需 要 设 置   h t t p o n l y   属 性 这 种 ， 首 先 我 们 并 不 能 确 定 一 个 程 序 百 分 百 没 有 跨 站 问 题 ， 其 次 我 们 在 不 论 审 计 还 是 渗 透 时 ， 目 的 是 找 出 攻 击 面 ， 减 少 攻 击 面 ， 哪 怕 问 题 很 小 ， 毕 竟 老 话 说 的 好 ， 千 里 之 堤 毁 于 蚁 穴 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理