搜索

[14844] 2019-11-21_Web登录认证类漏洞分析防御总结和安全验证机制设计探讨

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2019-11-21_Web登录认证类漏洞分析防御总结和安全验证机制设计探讨 W e b 登 录 认 证 类 漏 洞 分 析 防 御 总 结 和 安 全 验 证 机 制 设 计 探 讨 少 帅 力   F r e e B u f   2 0 1 9 - 1 1 - 2 1 做 安 全 测 试 有 一 段 时 间 了 ， 发 现 登 录 方 面 的 问 题 特 别 多 ， 想 做 个 比 较 全 面 点 的 总 结 ， 我 尽 量 写 的 全 面 点 又 适 合 做 安 全 测 试 有 一 段 时 间 了 ， 发 现 登 录 方 面 的 问 题 特 别 多 ， 想 做 个 比 较 全 面 点 的 总 结 ， 我 尽 量 写 的 全 面 点 又 适 合 新 人 ， 这 篇 文 章 可 能 需 要 点 想 象 力 ， 因 为 问 题 比 较 多 我 不 可 能 去 海 找 各 种 例 子 举 出 来 ， 不 过 好 在 会 上 网 就 遇 到 新 人 ， 这 篇 文 章 可 能 需 要 点 想 象 力 ， 因 为 问 题 比 较 多 我 不 可 能 去 海 找 各 种 例 子 举 出 来 ， 不 过 好 在 会 上 网 就 遇 到 过 各 种 登 录 框 ， 所 以 大 家 都 比 较 了 解 过 各 种 登 录 框 ， 所 以 大 家 都 比 较 了 解 w e b 登 录 认 证 方 面 ， 从 子 功 能 上 可 以 划 分 为 登 录 框 登 录 、 忘 记 密 码 （ 密 码 重 置 ） 、 修 改 密 码 、 验 证 码 、 发 送 手 机 验 证 码 、 发 送 邮 箱 验 证 码 、 注 册 账 号 、 登 录 信 息 错 误 提 示 、 账 号 锁 定 等 等 小 功 能 组 成 （ 单 点 登 录 还 要 讲 原 理 ， 本 文 暂 不 涉 及 ） ， 每 个 w e b 站 点 的 登 录 大 约 由 上 面 小 功 能 的 全 部 或 者 一 部 分 组 成 （ 这 里 漏 洞 缺 陷 以 这 些 小 功 能 做 划 分 ， 更 有 针 对 性 覆 盖 也 全 面 一 点 ， 但 还 是 避 免 不 了 交 叉 ） 。 先 从 最 基 础 最 常 见 的 开 始 列 举 列 ： 登 录 框 登 录 框 登 录 框 账 号 密 码 服 务 端 持 久 化 ： 当 你 打 开 登 录 页 面 发 现 账 号 密 码 已 经 填 好 了 ， 点 击 登 录 直 接 进 后 台 哈 哈 修 复 方 案 ： 保 存 账 号 密 码 处 理 的 逻 辑 针 对 本 地 ， s e s s i o n 及 时 销 毁 信 息 泄 露 ： 登 录 框 提 供 个 示 例 用 户 名 ， 比 如 示 例 邮 箱 、 手 机 、 用 户 名 规 则 导 致 黑 客 掌 握 规 律 生 成 字 典 修 复 方 案 ： 不 显 示 示 例 用 户 名 s q l 注 入 ： 用 户 名 字 段 或 者 密 码 字 段 存 在 s q l 注 入 ， 比 较 典 型 的 是 万 能 密 码 登 录 （ 大 家 都 知 道 ） 修 复 方 案 ： 使 用 参 数 绑 定 方 式 查 询 和 预 编 译 语 句 ， 如 果 使 用 各 种 框 架 按 照 框 架 安 全 开 发 的 要 求 编 程 X S S ： 用 户 名 或 密 码 字 段 存 在 X S S ， 比 较 典 型 的 是 反 射 X S S 打 自 己 修 复 方 案 ： 使 用 各 种 X S S 过 滤 库 编 码 库 ， 详 细 请 百 度 ， 本 文 不 是 X S S 专 题 账 号 密 码 暴 力 破 解 ： 黑 客 通 过 工 具 或 者 脚 本 加 载 账 号 密 码 字 典 不 断 尝 试 登 录 修 复 方 案 ： 添 加 验 证 码 （ 添 加 验 证 码 不 对 可 能 导 致 绕 过 等 ， 不 一 定 能 防 止 ， 下 文 详 说 ） 用 户 枚 举 ： 输 入 不 对 的 用 户 名 提 示 密 码 不 存 在 ， 输 入 对 的 用 户 名 提 示 密 码 错 误 ， 从 而 枚 举 用 户 名 修 复 方 案 ： 使 用 模 糊 的 错 误 提 示 ， 如 用 户 名 或 密 码 不 正 确 账 号 锁 定 ： 用 户 爆 破 的 时 候 错 误 次 数 过 多 锁 定 账 号 ， 然 后 黑 客 批 量 尝 试 用 户 名 导 致 大 部 分 用 户 名 被 锁 账 号 详 情 泄 露 ： 提 交 合 法 用 户 名 ， 服 务 器 返 回 关 于 用 户 名 相 关 的 账 号 、 身 份 、 密 码 等 详 细 信 息 修 复 方 案 ： 使 用 验 证 码 方 式 防 爆 破 ， 尽 量 不 要 使 用 登 录 次 数 太 多 锁 定 的 方 式 ， 或 者 设 置 短 时 锁 定 低 频 撞 库 爆 破 ： 利 用 脚 本 以 慢 频 率 持 久 爆 破 ， 针 对 限 制 频 率 数 字 比 较 大 的 防 御 策 略 修 复 方 案 ： 使 用 验 证 码 机 制 图 片 验 证 码 图 片 验 证 码 易 识 别 ： 验 证 码 杂 点 太 少 或 者 没 有 杂 点 导 致 可 以 用 程 序 识 别 出 验 证 码 的 内 容
验 证 码 前 端 生 成 ： 验 证 码 是 用 j s 做 的 ， 用 j s 生 成 点 随 机 字 符 填 充 到 前 端 d o m 单 独 验 证 ： 验 证 码 和 需 要 验 证 的 参 数 不 在 同 一 个 h t t p 请 求 ， 导 致 验 证 码 认 证 成 功 后 进 行 攻 击 ， 比 如 验 证 码 成 功 后 抓 到 正 在 的 用 户 名 密 码 的 请 求 进 行 暴 力 破 解 置 空 ： 当 验 证 码 的 值 或 者 参 数 置 空 的 时 候 ， 可 以 直 接 认 证 ， 这 是 服 务 端 逻 辑 判 断 少 了 一 个 验 证 码 为 空 的 判 断 验 证 码 复 用 ： 同 一 个 验 证 码 可 以 不 限 次 数 的 使 用 ， 或 者 验 证 码 用 完 没 销 毁 ， 导 致 可 以 爆 破 或 者 任 意 注 册 前 端 显 示 ： 服 务 端 生 成 的 验 证 码 不 是 图 片 ， 而 是 字 符 串 直 接 返 回 到 前 端 任 意 值 ： 拦 截 到 h t t p 请 求 ， 对 验 证 码 的 值 设 置 任 意 值 都 能 通 过 验 证 码 验 证 优 先 级 低 ： 同 一 个 h t t p 请 求 到 服 务 端 以 后 验 证 码 不 是 最 先 验 证 的 ， 比 如 先 验 证 用 户 名 ， 导 致 用 户 枚 举 打 码 平 台 ： 使 用 打 码 平 台 调 用 验 证 码 接 口 获 取 验 证 码 进 行 识 别 ， 返 回 验 证 码 修 复 方 案 ： 验 证 码 必 须 要 在 服 务 端 生 成 添 加 杂 点 干 扰 项 并 足 够 扭 曲 以 图 片 格 式 返 回 前 端 ， 前 端 带 验 证 码 和 需 要 验 证 参 数 在 一 个 请 求 里 发 送 到 服 务 端 ， 服 务 端 第 一 优 先 级 先 验 证 验 证 码 的 存 在 性 和 正 确 性 ， 一 个 验 证 码 使 用 一 次 后 销 毁 手 机 和 邮 箱 验 证 码 手 机 和 邮 箱 验 证 码 前 端 显 示 ： 服 务 器 生 成 的 验 证 码 返 回 到 页 面 前 端 ， 导 致 前 端 可 以 看 到 产 生 验 证 信 息 泄 露 复 杂 度 低 ： 由 4 位 数 字 组 成 的 验 证 码 ， 如 果 服 务 端 没 次 数 限 制 可 以 枚 举 出 来 进 行 登 录 或 者 注 册 z h a _ 蛋 ： 通 过 脚 本 不 断 向 验 证 手 机 号 或 者 邮 箱 发 送 短 信 或 者 邮 件 ， 导 致 接 收 方 接 受 大 量 垃 圾 信 息 账 号 锁 定 ： 单 个 手 机 或 邮 箱 一 定 时 间 超 过 某 次 数 锁 定 一 定 时 间 ， 自 动 化 批 量 锁 定 账 号 不 匹 配 ： 比 如 同 请 求 用 户 名 和 手 机 不 匹 配 但 依 旧 发 送 验 证 码 ， 导 致 可 以 向 任 意 号 码 发 短 信 资 费 消 耗 ： 有 单 个 手 机 号 次 数 限 制 ， 使 用 大 量 不 同 手 机 号 短 时 间 内 发 送 数 万 级 短 信 修 复 方 案 ： 验 证 码 要 有 一 定 的 复 杂 度 ， 至 少 6 位 ， 不 能 返 回 前 端 ， 基 于 基 于 客 户 端 s e s s i o n 进 行 次 数 限 制 ， 制 定 合 适 的 锁 定 策 略 ， 对 比 账 号 和 绑 定 的 手 机 邮 箱 是 否 匹 配 忘 记 密 码 忘 记 密 码 账 号 枚 举 ： 你 输 入 用 户 名 提 交 以 后 系 统 提 示 用 户 不 存 在 等 认 证 方 式 篡 改 ： 输 入 合 法 用 户 名 以 后 输 入 其 他 邮 箱 或 者 手 机 可 以 接 受 到 验 证 码 密 码 重 置 密 码 重 置 验 证 码 绕 过 ： 图 片 验 证 码 或 手 机 验 证 码 和 被 重 置 的 账 号 不 在 同 一 请 求 或 者 利 用 文 中 技 术 绕 过 用 户 枚 举 ： 通 过 重 置 接 口 判 断 用 户 是 否 存 在 ， 获 取 用 户 名 任 意 账 号 重 置 ： 系 统 通 过 用 户 名 和 密 码 俩 参 数 进 行 密 码 重 置 ， 导 致 任 意 账 号 密 码 都 能 重 置 认 证 方 式 篡 改 ： 输 入 合 法 用 户 名 ， 使 用 黑 客 的 邮 箱 或 者 手 机 接 收 到 系 统 重 置 的 密 码 修 复 方 案 ： 判 断 账 号 和 绑 定 验 证 方 式 的 合 法 关 系 ， 重 要 请 求 中 要 带 有 验 证 码 机 制 ， 对 不 存 在 或 者 不 正 确 的 账 号 采 用 模 糊 的 报 错 提 示 信 息 任 意 注 册 任 意 注 册
用 户 枚 举 ： 注 册 时 系 统 提 示 用 户 名 已 注 册 ， 批 量 枚 举 用 户 验 证 码 绕 过 ： 使 用 正 确 的 图 像 验 证 码 或 者 手 机 邮 箱 验 证 码 后 ， 再 提 交 注 册 信 息 ， 其 他 绕 过 方 式 见 上 文 s q l 注 入 ： 注 册 字 段 没 有 预 编 译 参 数 绑 定 ， 导 致 注 入 手 机 验 证 码 爆 破 ： 手 机 或 者 邮 箱 的 验 证 码 太 短 ， 不 强 壮 被 暴 力 破 解 修 复 方 案 ： 把 验 证 码 和 注 册 信 息 在 同 一 请 求 提 交 ， 服 务 端 优 先 验 证 验 证 码 是 否 正 确 ， 验 证 码 机 制 见 上 文 组 合 绕 过 组 合 绕 过 通 过 上 文 各 种 安 全 绕 过 技 术 ， 我 们 可 以 尝 试 一 种 或 多 种 手 段 绕 过 验 证 码 、 手 机 验 证 等 等 ， 总 会 有 各 种 各 样 的 小 漏 洞 被 组 合 绕 过 进 而 进 行 攻 击 ， 具 体 的 看 认 证 机 制 使 用 了 哪 些 防 御 措 施 ， 比 如 是 否 使 用 图 片 验 证 码 、 手 机 验 证 码 、 用 户 枚 举 、 等 等 吧 安 全 的 认 证 机 制 安 全 的 认 证 机 制 上 文 中 ， 关 于 认 证 的 攻 击 绕 过 那 么 多 ， 那 么 样 的 认 证 机 制 是 安 全 的 ？ 上 面 重 放 攻 击 那 么 多 ， 什 么 是 对 抗 重 放 攻 击 最 有 效 的 手 段 ？ 对 于 可 以 使 用 脚 本 或 者 程 序 自 动 化 攻 击 的 ， 最 有 效 的 防 御 手 段 就 是 验 证 码 ！ ！ 防 御 手 段 有 哪 些 关 键 点 呢 ？ 防 御 手 段 有 哪 些 关 键 点 呢 ？ 如 何 尽 可 能 的 避 免 各 种 逻 辑 绕 过 的 漏 洞 ？ 最 好 减 少 人 造 石 步 骤 ， 甚 至 把 需 要 认 证 的 参 数 全 放 一 个 h t t p 请 求 中 ！ 对 于 参 数 过 滤 ， 可 以 使 用 正 则 匹 配 就 使 用 正 则 ， 比 如 邮 箱 、 手 机 、 * 使 用 正 则 验 证 ， 完 全 可 以 避 免 s q l 注 入 X S S 这 些 对 于 不 能 使 用 正 则 匹 配 的 ， 对 参 数 使 用 o w a s p 等 组 织 开 源 的 过 滤 库 防 止 X S S 对 于 同 一 个 h t t p 请 求 的 参 数 ， 验 证 码 拥 有 最 高 优 先 级 验 证 ， 验 证 码 验 证 时 要 验 证 其 存 在 性 、 参 数 的 存 在 性 、 一 次 性 尽 量 不 要 使 用 接 口 ， 因 为 接 口 一 般 不 能 使 用 验 证 码 往 前 端 返 回 信 息 ， 使 用 最 小 信 息 原 则 ， 只 返 回 必 要 的 信 息 一 个 安 全 的 认 证 机 制 的 设 计 一 个 安 全 的 认 证 机 制 的 设 计 登 录 功 能 ： 把 用 户 名 密 码 和 其 他 需 要 的 字 段 （ 如 验 证 码 ， 验 证 码 只 有 一 次 ， 并 足 够 杂 点 和 复 杂 度 ） 放 前 端 让 客 户 一 起 填 写 ， 然 后 放 到 同 一 个 h t t p 请 求 提 交 给 后 端 ， 后 端 判 断 是 否 有 验 证 码 参 数 ， 然 后 判 断 验 证 码 是 否 正 确 ， 再 然 后 正 则 判 断 部 分 字 段 ， 不 能 正 则 的 对 参 数 进 行 过 滤 转 码 ， 然 后 使 用 参 数 绑 定 和 预 编 译 查 询 数 据 库 ， 出 错 或 者 不 存 在 的 提 示 前 端 用 户 名 或 者 密 码 错 误 ， 这 样 就 防 止 了 自 动 化 攻 击 和 S Q L 注 入 信 息 泄 露 等 等 密 码 重 置 功 能 ： 把 验 证 码 、 用 户 名 、 认 证 因 子 （ 邮 箱 、 手 机 等 ） 放 到 同 一 个 h t t p 请 求 中 ， 优 先 验 证 验 证 码 的 存 在 性 、 正 确 性 、 一 次 性 ， 其 次 对 参 数 进 行 正 则 格 式 验 证 、 之 后 对 不 能 验 证 参 数 进 行 过 滤 编 码 、 验 证 用 户 名 和 认 证 因 子 的 匹 配 性 、 最 后 再 触 发 相 关 功 能 上 面 两 种 情 况 ， 即 使 攻 击 者 想 撞 库 、 锁 定 账 号 、 批 量 重 置 等 操 作 ， 也 会 因 为 验 证 码 而 只 能 影 响 个 位 数 的 账 号 ， 对 系 统 整 体 影 响 不 大 。 其 他 功 能 同 理 ， 要 结 合 实 际 的 场 景 进 行 设 计 ， 即 可 把 风 险 控 制 到 最 小 ！
* 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 少 帅 力 ， 本 文 属 于 少 帅 力 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理