搜索

[15273] 2020-04-19_WebApplication核心防御机制记要

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2020-04-19_WebApplication核心防御机制记要 W e b   A p p l i c a t i o n 核 心 防 御 机 制 记 要 原 创   灭 迹 下 的 荒 诞   F r e e B u f   2 0 2 0 - 0 4 - 1 9 w e b 应 用 程 序 的 核 心 安 全 问 题 是 ： 用 户 输 入 皆 不 可 信 。 为 防 止 恶 意 输 入 ， 应 用 程 序 实 施 了 大 量 的 安 全 机 制 ， 而 这 些 安 全 机 制 在 概 念 上 都 具 有 相 似 性 。 为 防 止 恶 意 输 入 ， 应 用 程 序 实 施 了 大 量 的 安 全 机 制 ， 而 这 些 安 全 机 制 在 概 念 上 都 具 有 相 似 性 。 这 些 安 全 机 制 由 以 下 几 个 方 面 组 成 ： 1 、 处 理 用 户 访 问 w e b 应 用 程 序 的 数 据 与 功 能 （ 防 止 未 授 权 访 问 ） 2 、 处 理 用 户 对 w e b 应 用 程 序 功 能 输 入 的 数 据 （ 防 止 构 造 恶 意 数 据 ） 3 、 应 对 攻 击 （ 处 理 预 料 外 的 报 错 、 自 动 阻 止 明 显 的 攻 击 、 自 动 向 管 理 员 发 送 警 报 、 维 护 程 序 的 访 问 日 志 ） 4 、 管 理 与 维 护 应 用 程 序 处 理 访 问 处 理 访 问 通 常 一 个 应 用 程 序 的 用 户 有 不 同 类 型 如 ， 普 通 用 户 、 登 录 验 证 用 户 、 管 理 员 。 对 不 同 用 户 w e b 应 用 程 序 给 予 不 同 的 权 限 ， 他 们 只 能 访 问 不 同 的 数 据 与 功 能 。 w e b 应 用 程 序 是 通 过 三 层 互 相 关 联 的 安 全 机 制 来 处 理 用 户 的 访 问 ： 1 、 身 份 验 证 （ A u t h e n t i c a t i o n ） 2 、 会 话 管 理 （ S e s s i o n   M a n a g e m e n t ） 3 、 访 问 控 制 （ A c c e s s   C o n t r o l ） 这 三 个 机 制 处 理 用 户 对 应 用 程 序 的 访 问 ， 同 时 它 也 是 三 个 受 攻 击 面 （ a t t a c k   s u r f a c e ） ； 而 且 这 三 者 相 互 依 赖 缺 一 不 可 ， 无 论 哪 个 地 方 出 了 问 题 都 会 造 成 未 授 权 访 问 （ 木 桶 原 理 ） 。 身 份 验 证 身 份 验 证 身 份 验 证 是 处 理 用 户 访 问 的 第 一 道 机 制 ， 除 非 网 站 只 有 一 种 用 户 ， 否 则 必 须 使 用 身 份 验 证 。 如 今 w e b 应 用 程 序 大 都 使 用 传 统 身 份 验 证 模 型 ， 即 用 户 名 密 码 。 在 银 行 等 安 全 性 较 高 的 应 用 程 序 中 会 使 用 其 他 证 书 、 双 因 素 认 证 等 来 强 化 这 个 模 型 ； 在 安 全 性 要 求 更 高 的 应 用 程 序 中 可 能 需 要 客 户 端 证 书 、 智 能 卡 或 询 问 - 应 答 机 制 等 其 他 身 份 验 证 模 型 。 身 份 验 证 机 制 往 往 还 需 要 一 系 列 其 他 支 持 功 能 ， 如 注 册 、 忘 记 密 码 、 修 改 密 码 等 。 身 份 验 证 机 制 存 在 一 些 普 遍 的 漏 洞 ， 如 遍 历 用 户 名 、 弱 口 令 、 逻 辑 缺 陷 避 开 登 录 、 社 工 库 查 询 等 等 。 会 话 管 理 会 话 管 理 通 过 验 证 之 后 ， 就 是 管 理 用 户 的 会 话 了 。 为 了 实 施 访 问 控 制 ， 应 用 程 序 需 要 识 别 不 同 用 户 提 交 的 各 种 请 求 ； 为 此 ， 应 用 程 序 需 要 为 每 个 用 户 建 立 一 个 会 话 ， 并 向 用 户 发 送 一 个 表 示 会 话 的 令 牌 即 s e s s i o n   t o k e n 。 会 话 本 身 是 保 存 在 服 务 器 上 的 一 组 数 据 结 构 ， 用 于 追 踪 用 户 和 应 用 程 序 的 交 互 状 态 。 会 话 令 牌 一 般 在 c o o k i e 中 传 递 ， 有 时 也 会 出 现 在 隐 藏 表 单 字 段 或 者 u r l 查 询 字 符 串 上 ， 会 话 令 牌 会 在 停 止 请 求 后 一 段 时 间 内 失 效 。
有 些 应 用 程 序 不 使 用 会 话 令 牌 来 识 别 会 话 ， 而 是 通 过 反 复 提 交 用 户 证 书 识 别 会 话 （ h t t p 内 置 身 份 验 证 机 制 就 是 这 样 ， 通 过 反 复 提 交 通 过 b a s e 6 4 加 密 的 账 号 密 码 来 识 别 会 话 ） 。 在 一 些 情 况 下 会 话 信 息 不 保 存 在 服 务 器 上 ， 而 是 保 存 在 客 户 端 ， 为 了 防 止 用 户 修 改 ， 一 般 会 对 其 进 行 加 密 。 会 话 管 理 的 受 攻 击 面 就 是 会 话 令 牌 本 身 ， 推 测 出 会 话 令 牌 的 生 成 规 则 或 者 截 获 到 其 他 用 户 的 会 话 令 牌 便 可 以 以 他 人 身 份 访 问 未 经 授 权 的 功 能 与 数 据 。 访 问 控 制 访 问 控 制 如 果 前 面 的 身 份 验 证 与 会 话 管 理 运 行 正 常 ， 应 用 程 序 便 可 以 通 过 每 个 请 求 中 的 会 话 令 牌 确 认 每 个 用 户 的 身 份 与 交 互 状 态 ， 于 是 便 可 决 定 是 否 同 意 用 户 的 请 求 。 因 为 典 型 访 问 控 制 的 要 求 比 较 复 杂 ， 每 个 角 色 有 不 同 的 权 限 ， 每 个 用 户 只 允 许 访 问 应 用 程 序 中 的 一 部 分 数 据 与 功 能 ， 因 此 这 个 机 制 中 一 般 存 在 大 量 漏 洞 ， 可 以 造 成 未 授 权 访 问 。 处 理 输 入 处 理 输 入 所 有 的 用 户 输 入 都 不 可 信 ， 大 部 分 对 w e b 应 用 程 序 的 攻 击 都 与 攻 击 者 专 门 构 造 的 输 入 有 关 ， 所 以 安 全 的 处 理 用 户 的 输 入 是 保 障 应 用 程 序 安 全 的 关 键 。 输 入 的 多 样 性 输 入 的 多 样 性 w e b 应 用 程 序 可 能 对 一 些 特 殊 的 输 入 执 行 非 常 严 格 的 检 查 ， 例 如 长 度 限 制 、 字 符 限 制 等 ； 有 时 候 则 可 能 需 要 接 受 用 户 提 交 的 任 意 输 入 ； 而 隐 藏 表 单 字 段 和 c o o k i e 等 是 在 服 务 器 上 生 成 传 回 客 户 端 ， 再 由 用 户 的 请 求 传 回 服 务 器 ， 在 这 个 过 程 中 攻 击 者 却 可 以 查 看 并 修 改 它 们 。 输 入 处 理 方 法 输 入 处 理 方 法 不 同 的 情 况 使 用 不 同 的 处 理 方 法 ， 或 者 搭 配 使 用 。 1 、 黑 名 单 黑 名 单 包 含 一 组 在 攻 击 中 会 使 用 的 字 符 串 或 模 式 ， 所 有 与 黑 名 单 匹 配 的 数 据 都 会 阻 止 。 黑 名 单 是 输 入 确 认 效 果 最 差 的 方 法 。 原 因 有 二 ： 1 ） 用 户 的 输 入 可 以 通 过 各 种 编 码 或 者 其 他 的 表 现 形 式 进 行 绕 过 ， 比 如 遗 漏 一 些 有 相 同 作 用 的 字 符 。 例 如 a l e r t ( ‘ x s s ’ ) 被 阻 止 , 还 可 以 使 用 p r o m p t ( ‘ x s s ’ ) 、 例 如 w e b 应 用 防 火 墙 常 受 到 空 字 节 （ n u l l ） 攻 击 ， 这 是 因 为 在 托 管 与 非 托 管 情 况 下 处 理 字 符 串 的 方 式 不 同 。 2 ） 术 飞 速 的 发 展 ， 使 之 产 生 一 些 新 型 的 漏 洞 利 用 方 法 。 2 、 白 名 单 白 名 单 包 含 一 组 良 性 的 字 符 串 、 模 式 或 一 组 标 准 。 所 有 不 与 白 名 单 匹 配 的 数 据 都 会 被 阻 止 。 白 名 单 是 输 入 确 认 效 果 最 好 的 方 法 ， 因 为 指 定 白 名 单 时 只 会 留 下 安 全 的 字 符 串 ， 攻 击 者 无 法 构 造 输 入 。 但 是 白 名 单 具 有 局 限 性 。 在 许 多 情 况 下 w e b 应 用 程 序 必 须 接 受 一 些 不 符 合 安 全 标 准 的 字 符 ， 例 如 应 用 程 序 需 要 用 户 以 真 实 姓 名 注 册 ， 但 是 姓 名 中 却 包 含 一 些 连 字 符 、 撇 号 等 可 能 对 数 据 库 造 成 攻 击 的 字 符 。 所 以 白 名 单 具 有 局 限 性 ， 并 非 解 决 不 安 全 输 入 的 万 能 方 法 。 3 、 净 化 这 种 方 式 解 决 了 白 名 单 无 法 处 理 的 部 分 ， 它 接 受 一 些 无 法 保 证 安 全 的 数 据 输 入 ， 但 是 会 对 其 进 行 净 化 ， 例 如 删 除 、 转
义 、 编 码 等 净 化 可 以 作 为 一 种 通 用 的 方 法 ， 但 是 需 要 注 意 的 是 如 果 一 个 输 入 项 中 需 要 容 纳 几 种 可 能 的 恶 意 数 据 ， 就 很 能 对 其 进 行 有 效 的 进 化 。 这 时 需 要 使 用 边 界 确 认 。 4 、 安 全 数 据 处 理 以 不 安 全 的 方 式 处 理 用 户 提 交 的 数 据 ， 是 许 多 w e b 应 用 程 序 漏 洞 形 成 的 根 本 原 因 。 安 全 的 数 据 处 理 方 式 ， 不 需 要 纠 结 于 对 用 户 输 入 数 据 的 确 认 ， 转 而 确 保 处 理 过 程 的 绝 对 安 全 。 例 如 防 止 s q l 注 入 的 参 数 化 查 询 。 但 是 这 项 方 法 不 适 用 于 w e b 应 用 程 序 需 要 执 行 的 每 一 项 任 务 ， 如 果 适 用 ， 它 就 是 处 理 恶 意 输 入 的 通 用 处 理 方 法 了 。 5 、 逻 辑 检 查 在 一 些 漏 洞 中 攻 击 者 与 正 常 用 户 的 输 入 完 全 相 同 ， 仅 仅 是 动 机 不 同 ， 在 这 种 情 况 下 ， 以 上 机 制 几 乎 完 全 无 效 。 例 如 攻 击 这 通 过 修 改 隐 藏 表 单 字 段 提 交 的 账 号 ， 企 图 访 问 其 他 用 户 账 号 。 此 时 再 多 的 输 入 确 认 也 无 法 区 别 攻 击 者 与 正 常 用 户 的 数 据 。 为 防 止 未 授 权 访 问 ， 应 用 程 序 必 须 确 认 所 提 交 账 号 属 于 之 前 提 交 该 账 号 的 用 户 。 边 界 确 认 边 界 确 认 鉴 于 核 心 安 全 问 题 的 本 质 （ 所 有 用 户 输 入 皆 不 可 信 ） ， 可 以 将 因 特 网 （ 不 可 信 ） 与 服 务 器 应 用 程 序 （ 可 信 ） 之 间 作 为 边 界 ， 然 后 在 边 界 净 化 所 有 来 自 因 特 网 的 输 入 ， 将 净 化 后 的 数 据 交 给 服 务 器 应 用 程 序 。 以 上 ， 是 一 种 简 单 的 边 界 确 认 ， 在 分 析 实 际 的 漏 洞 时 发 现 执 行 这 种 简 单 的 输 入 确 认 是 不 够 的 。 基 于 应 用 程 序 执 行 功 能 的 广 泛 性 及 其 采 用 技 术 的 多 样 性 ， 一 个 典 型 的 应 用 程 序 需 要 防 御 大 量 的 各 种 各 样 的 输 入 攻 击 ， 每 种 攻 击 可 能 采 用 一 种 截 然 不 同 的 专 门 设 计 的 数 据 ， 因 此 很 难 在 外 部 边 界 建 立 一 个 简 单 的 机 制 防 御 所 有 的 攻 击 。 许 多 应 用 程 序 功 能 都 设 计 组 合 一 系 列 不 同 的 处 理 过 程 ， 用 户 的 一 个 输 入 ， 可 能 在 许 多 组 件 中 执 行 许 多 操 作 ， 其 中 前 一 个 操 作 的 输 出 结 果 被 用 于 后 一 个 操 作 。 数 据 经 过 转 换 后 与 原 始 输 入 完 全 不 同 。 而 经 验 丰 富 的 攻 击 者 却 能 利 用 这 种 不 同 ， 在 关 键 步 骤 生 成 恶 意 数 据 ， 攻 击 接 受 数 据 的 组 件 。 因 此 很 难 在 外 部 边 界 建 立 一 个 简 单 的 机 制 防 御 所 有 的 攻 击 。 边 界 确 认 是 一 种 更 加 有 效 的 模 型 。 这 里 的 边 界 不 在 局 限 于 因 特 网 与 w e b 应 用 程 序 之 间 的 边 界 ， w e b 应 用 程 序 的 每 个 组 件 或 功 能 单 元 都 有 边 界 。 如 此 ， 每 个 组 件 都 可 以 防 御 它 收 到 的 特 殊 类 型 的 专 门 设 计 的 输 入 。 当 数 据 通 过 不 同 的 组 件 ， 即 可 对 前 面 生 成 的 数 据 执 行 确 认 检 查 ， 而 且 由 于 不 同 的 处 理 阶 段 执 行 不 同 的 确 认 检 查 ， 它 们 之 间 不 可 能 发 生 冲 突 。 例 如 下 图 ：
多 步 确 认 与 规 范 化 多 步 确 认 与 规 范 化 在 确 认 检 查 过 程 中 ， 当 需 要 在 几 个 步 骤 中 处 理 用 户 的 输 入 时 ， 就 会 出 现 一 个 输 入 机 制 经 常 遇 到 的 问 题 。 当 应 用 程 序 试 图 通 过 删 除 或 者 编 码 某 些 字 符 达 到 净 化 用 户 输 入 时 ， 就 会 出 现 这 种 问 题 。 如 果 不 谨 慎 处 理 这 个 问 题 ， 攻 击 者 就 能 构 造 专 门 的 输 入 ， 使 恶 意 数 据 成 功 避 开 确 认 机 制 。 例 如 双 写 绕 过 、 利 用 步 骤 执 行 顺 序 绕 过 。 数 据 规 范 化 会 造 成 另 一 个 问 题 。 为 了 通 过 h t t p 传 送 一 些 不 常 见 的 字 符 和 二 进 制 数 据 ， 通 常 会 通 过 编 码 对 其 进 行 规 范 化 ， 但 是 如 何 在 实 施 过 滤 之 后 才 进 行 解 码 ， 攻 击 者 就 可 以 通 过 编 码 避 开 确 认 机 制 。 除 了 供 w e b 应 用 程 序 使 用 的 标 准 编 码 方 案 外 ， 其 他 情 况 下 ， 如 果 应 用 程 序 的 组 件 将 数 据 从 一 个 字 符 集 转 换 为 另 一 个 字 符 集 ， 这 也 会 导 致 规 范 化 问 题 。 例 如 Ÿ 和 Â 则 被 转 换 为 Y 和 A ， 攻 击 者 经 常 使 用 这 种 方 法 传 送 受 阻 止 的 字 符 和 关 键 字 。 有 时 候 很 难 避 免 多 步 确 认 和 规 范 化 造 成 的 问 题 ， 也 不 存 在 解 决 和 这 类 问 题 的 唯 一 方 案 。 如 何 可 能 一 般 避 免 净 化 不 良 输 入 ， 而 是 完 全 拒 绝 这 种 输 入 。 应 对 攻 击 应 对 攻 击 以 上 我 们 已 经 尽 可 能 的 阻 止 了 攻 击 者 的 入 侵 ， 但 是 没 有 一 个 绝 对 安 全 的 系 统 ， 若 发 生 安 全 事 件 w e b 应 用 程 序 应 当 如 何 应 对 攻 击 呢 ， 处 理 措 施 一 般 为 以 下 几 条 ： 1 、 处 理 预 料 外 的 报 错 2 、 自 动 阻 止 明 显 的 攻 击 3 、 自 动 向 管 理 员 发 送 警 报 4 、 维 护 程 序 的 访 问 日 志 处 理 错 误 处 理 错 误 应 用 程 序 的 一 个 关 键 机 制 就 是 如 何 处 理 意 料 之 外 的 错 误 。 一 般 在 生 产 环 境 下 ， 应 用 程 序 不 应 该 向 用 户 返 回 任 何 系 统 生 成 的 信 息 或 者 其 他 调 试 信 息 。 这 些 信 息 对 于 攻 击 者 而 言 是 为 下 一 步 的 进 攻 提 供 了 很 好 的 参 考 信 息 。 而 且 意 料 之 外 的 错 误 往 往 指 明 了 程 序 的 防 御 机 制 中 的 一 些 缺 陷 。 错 误 处 理 机 制 通 常 与 日 志 机 制 整 合 在 一 起 。 应 对 攻 击 应 对 攻 击
很 多 攻 击 都 会 发 送 大 量 的 常 见 恶 意 字 符 ， 遇 到 这 类 情 况 应 用 程 序 应 采 取 自 动 反 应 措 施 阻 止 攻 击 者 的 探 查 。 例 如 终 止 会 话 、 要 求 重 新 登 录 、 禁 止 i p 等 等 维 护 日 志 维 护 日 志 日 志 会 对 入 侵 情 况 进 行 记 录 ， 入 侵 过 后 仍 能 还 原 入 侵 过 程 。 重 要 的 应 用 程 序 日 志 应 记 录 所 有 请 求 。 一 般 情 况 下 应 至 少 包 括 一 下 几 项 ： 1 、 所 有 与 身 份 验 证 相 关 的 事 件 ， 如 成 功 或 失 败 的 登 录 、 密 码 修 改 2 、 关 键 操 作 ， 如 转 账 等 3 、 被 访 问 控 制 阻 止 的 请 求 4 、 包 含 已 知 攻 击 字 符 串 日 志 会 记 录 每 个 事 件 的 时 间 、 i p 、 用 户 账 户 。 日 志 需 要 严 格 保 护 ， 避 免 未 授 权 的 读 取 。 写 入 ， 修 改 等 等 日 志 同 样 也 会 成 为 一 个 攻 击 面 ， 例 如 可 以 未 授 权 访 问 的 日 志 会 为 攻 击 者 提 供 会 话 令 牌 、 请 求 参 数 等 等 敏 感 信 息 。 向 管 理 员 发 出 警 报 向 管 理 员 发 出 警 报 核 心 问 题 就 是 误 报 和 漏 报 ， 将 警 报 机 制 与 确 认 机 制 和 其 他 控 制 方 法 结 合 起 来 可 以 得 到 一 些 改 善 。 一 般 而 言 监 控 到 的 反 常 事 件 包 括 以 下 几 种 ： 1 、 应 用 反 常 ， 如 接 收 到 一 个 i p 的 大 量 的 请 求 2 、 交 易 反 常 ， 如 一 个 银 行 账 户 所 转 入 转 出 的 资 金 数 量 出 现 异 常 3 、 包 含 已 知 攻 击 字 符 串 4 、 请 求 中 普 通 用 户 无 法 查 看 的 数 据 被 修 改 管 理 应 用 程 序 管 理 应 用 程 序 管 理 程 序 可 以 帮 助 管 理 员 管 理 用 户 账 户 与 角 色 、 应 用 监 控 与 审 计 功 能 、 执 行 诊 断 任 务 并 配 置 应 用 程 序 的 各 种 功 能 。 管 理 机 制 是 应 用 程 序 主 要 受 攻 击 面 之 一 ， 管 理 机 制 往 往 都 拥 有 很 高 的 权 限 。 获 得 了 管 理 机 制 控 制 权 ， 就 是 获 得 了 应 用 程 序 的 控 制 权 。 而 且 管 理 机 制 中 往 往 会 存 在 一 些 比 较 明 显 的 漏 洞 和 敏 感 的 功 能 。 获 得 管 理 员 的 权 限 的 漏 洞 一 般 出 现 在 处 理 用 户 访 问 机 制 上 ， 如 未 授 权 访 问 、 弱 口 令 等 ， 如 果 管 理 后 台 可 以 处 理 普 通 用 户 发 送 的 请 求 ， 可 以 尝 试 x s s 漏 洞 盲 打 后 台 。 参 考 ： 《 黑 客 攻 防 技 术 宝 典 ： w e b 实 战 篇 》 核 心 防 御 机 制 * 本 文 作 者 ： 灭 迹 下 的 荒 诞 ， 转 载 请 注 明 来 自 本 文 作 者 ： 灭 迹 下 的 荒 诞 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理