搜索

[28038] 2020-01-08_开发中最常见的Web应用程序漏洞

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-01-08_开发中最常见的Web应用程序漏洞 开 发 中 最 常 见 的 W e b 应 用 程 序 漏 洞 O t s 安 全   2 0 2 0 - 0 1 - 0 8 一 些 最 常 见 的 W e b 应 用 程 序 漏 洞 往 往 最 容 易 被 利 用 ， 因 为 它 们 很 难 被 发 现 ， 通 常 被 安 全 团 队 忽 略 并 受 到 攻 击 者 的 追 捧 。 这 些 漏 洞 在 生 产 环 境 中 显 现 的 另 一 个 原 因 是 ， 在 编 写 应 用 程 序 时 从 未 检 测 到 这 些 漏 洞 ， 这 表 明 安 全 性 并 未 纳 入 开 发 过 程 。 没 有 可 见 性 ， 安 全 性 就 处 于 黑 暗 之 中 ， 只 有 在 事 实 发 生 之 后 或 攻 击 者 或 用 户 找 到 它 们 之 后 ， 才 能 检 测 到 这 些 问 题 。 满 足 十 大 常 用 漏 洞 满 足 十 大 常 用 漏 洞 O W A S P 每 隔 几 年 会 根 据 对 5 0 0 多 个 行 业 专 家 的 调 查 （ 涵 盖 1 0 0 , 0 0 0 多 个 生 产 应 用 程 序 ） 汇 总 1 0 个 最 常 利 用 的 漏 洞 的 列 表 。 根 据 可 利 用 性 ， 可 检 测 性 和 影 响 选 择 漏 洞 。 结 果 是 一 个 列 表 ， 使 我 们 可 以 很 好 地 了 解 I n f o s e c 社 区 对 应 用 程 序 安 全 性 的 看 法 。 这 是 评 估 您 的 a p p s e c 态 势 ， 确 定 威 胁 优 先 级 并 进 行 补 救 的 好 方 法 。 在 下 面 了 解 它 们 的 每 个 ： 1 . S Q L 注 入 注 入 已 经 持 续 进 行 了 2 0 多 年 ， 因 为 它 们 可 以 采 用 多 种 形 式 ， 并 且 在 各 个 框 架 中 无 处 不 在 。 根 据 O W A S P 的 说 法 ， 当 将 不 可 信 数 据 作 为 命 令 或 查 询 的 一 部 分 发 送 到 解 释 器 时 ， 会 出 现 诸 如 S Q L ， N o S Q L ， O S 和 L D A P 的 注 入 漏 洞 。 攻 击 者 可 以 绕 过 任 何 授 权 ， 诱 使 解 释 器 执 行 命 令 或 访 问 数 据 。 如 果 被 利 用 ， 这 些 漏 洞 可 能 是 有 害 的 。 2 . 身 份 验 证 失 败 身 份 验 证 失 败 这 包 括 不 正 确 的 配 置 ， 较 弱 的 身 份 验 证 过 程 和 较 差 的 会 话 管 理 。 身 份 验 证 被 破 坏 后 ， 攻 击 者 可 以 临 时 或 永 久 地 破 坏 凭 据 或 模 拟 用 户 。 这 可 能 是 对 手 获 得 敏 感 和 有 价 值 的 信 息 或 系 统 的 快 速 通 道 。 3 . 敏 感 数 据 公 开 敏 感 数 据 公 开 由 于 不 正 确 的 加 密 和 数 据 的 宝 贵 性 质 导 致 的 个 人 身 份 信 息 （ P I I ） 危 害 有 所 增 加 ， 因 此 该 漏 洞 在 列 表 中 有 所 上 升 。 根 据 O W A S P 的 说 法 ， 许 多 W e b 应 用 程 序 和 A P I 不 能 适 当 地 保 护 敏 感 数 据 ， 如 P I I 或 财 务 信 息 ， 从 而 导 致 信 用 卡 欺 诈 和 身 份 盗 窃 等 事 件 。 4 .   X M L 外 部 实 体 （ 外 部 实 体 （ X X E ） ） 通 常 ， 较 旧 的 或 配 置 不 当 的 X M L 处 理 器 会 评 估 X M L 文 档 中 的 外 部 实 体 引 用 。 外 部 实 体 可 以 用 于 使 用 文 件 U R I 处 理 程 序 ， 内 部 文 件 共 享 ， 内 部 端 口 扫 描 ， 远 程 代 码 执 行 和 拒 绝 服 务 攻 击 来 公 开 内 部 文 件 。 5 . 访 问 控 制 损 坏 访 问 控 制 损 坏 如 果 未 正 确 控 制 或 强 制 执 行 已 验 证 的 用 户 访 问 ， 则 会 发 生 这 种 情 况 。 这 可 能 导 致 比 正 常 情 况 高 的 访 问 权 限 ， 攻 击 者 可 以 利 用 这 些 漏 洞 并 访 问 未 经 授 权 的 功 能 或 数 据 。 随 着 攻 击 面 的 增 加 ， 诸 如 用 户 帐 户 ， 敏 感 文 件 和 访 问 权 限 之 类 的 内 容 可 能 会 受
到 威 胁 。 6 . 安 全 配 置 错 误 安 全 配 置 错 误 这 是 组 织 中 最 常 见 的 问 题 。 这 通 常 是 由 于 不 安 全 ， 不 完 整 或 临 时 的 默 认 配 置 ， 或 者 H T T P 标 头 配 置 错 误 ， 开 放 的 云 存 储 或 包 含 敏 感 信 息 的 错 误 消 息 所 致 。 这 意 味 着 不 仅 应 该 安 全 地 配 置 操 作 系 统 ， 框 架 ， 库 和 应 用 程 序 ， 而 且 还 必 须 定 期 对 其 进 行 修 补 和 升 级 以 确 保 安 全 。 7 . 跨 站 点 脚 本 （ 跨 站 点 脚 本 （ X S S ） ） X S S 非 常 普 遍 ， 但 是 由 于 近 来 基 于 浏 览 器 的 X S S 受 到 更 好 的 保 护 ， 因 此 在 O W A S P 列 表 中 显 示 的 位 置 较 低 ， 从 而 使 利 用 变 得 更 加 困 难 。 当 应 用 程 序 在 未 经 适 当 验 证 的 情 况 下 在 网 页 上 拥 有 不 受 信 任 的 数 据 时 ， 就 会 发 生 X S S 漏 洞 ， 从 而 使 攻 击 者 能 够 在 受 害 者 的 W e b 浏 览 器 中 执 行 脚 本 来 劫 持 其 会 话 ， 破 坏 网 站 或 将 用 户 重 定 向 到 恶 意 站 点 。 8 . 不 安 全 的 反 序 列 化 不 安 全 的 反 序 列 化 此 漏 洞 通 常 导 致 远 程 执 行 代 码 或 执 行 攻 击 ， 例 如 重 播 攻 击 ， 注 入 攻 击 和 特 权 升 级 攻 击 。 通 常 ， 通 过 严 格 验 证 和 控 制 反 序 列 化 的 内 容 和 / 或 重 大 的 体 系 结 构 更 改 ， 可 以 缓 解 这 种 情 况 。 9 . 使 用 具 有 已 知 漏 洞 的 组 件 使 用 具 有 已 知 漏 洞 的 组 件 您 组 织 中 的 某 人 最 后 一 次 使 用 具 有 已 知 漏 洞 的 组 件 是 什 么 时 候 ？ 大 多 数 组 织 都 不 知 道 ， 尤 其 是 在 分 散 管 理 的 情 况 下 。 如 果 诸 如 应 用 程 序 或 A P I 之 类 的 易 受 攻 击 的 组 件 具 有 已 知 漏 洞 并 被 利 用 ， 则 可 能 导 致 严 重 的 数 据 丢 失 或 服 务 器 接 管 。 1 0 . 日 志 和 监 控 不 足 日 志 和 监 控 不 足 最 后 但 并 非 最 不 重 要 的 一 点 是 ， 如 果 日 志 记 录 和 监 视 功 能 未 与 事 件 响 应 集 成 在 一 起 ， 则 攻 击 者 通 常 可 以 在 雷 达 下 飞 行 ， 以 深 入 到 系 统 中 ， 保 持 持 久 性 ， 转 向 更 多 系 统 ， 并 篡 改 ， 提 取 或 破 坏 数 据 。 由 于 检 测 到 平 均 违 规 的 时 间 超 过 2 0 0 天 ， 因 此 适 当 的 漏 洞 管 理 程 序 是 确 保 一 切 都 看 不 到 的 唯 一 方 法 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理