搜索

[18346] 2021-05-10_网络安全入门之owasptop10漏洞详解

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-05-10_网络安全入门之owasptop10漏洞详解 网 络 安 全 入 门 之 o w a s p   t o p 1 0 漏 洞 详 解 原 创   h 4 m 5 t   H A C K 之 道   2 0 2 1 - 0 5 - 1 0 收 录 于 话 题 # o w a s p   t o p 1 0   , 1 # 漏 洞 详 解   , 1 # 白 帽 子   , 2 T O P 1 - 注 入 注 入   简 单 来 说 ， 注 入 往 往 是 应 用 程 序 缺 少 对 输 入 进 行 安 全 型 检 查 所 引 起 的 ， 攻 击 者 把 一 些 包 含 指 令 的 数 据 发 送 给 解 释 器 ， 解 释 器 会 把 收 到 的 数 据 转 换 成 指 令 执 行 。 常 见 的 注 入 包 括 s q l 注 入 ， - - o s - s h e l l ， L D A P （ 轻 量 目 录 访 问 协 议 ） ， x p a t h （ X P a t h 即 为 X M L 路 径 语 言 ， 它 是 一 种 用 来 确 定 X M L （ 标 准 通 用 标 记 语 言 的 子 集 ） 文 档 中 某 部 分 位 置 的 语 言 ） ， H Q L 注 入 等 。 危 害 如 下 ： 危 害 如 下 ： 注 入 可 以 导 致 数 据 丢 失 或 被 破 坏 ， 缺 乏 可 审 计 性 或 拒 绝 服 务 。 注 入 漏 洞 有 时 甚 至 可 导 致 完 全 接 管 主 机 如 何 防 范 ： 如 何 防 范 ： 1 . 使 用 安 全 的 A P I ， 避 免 使 用 解 释 器 2 . 对 输 入 的 特 殊 的 字 符 进 行 E S C A P E 转 义 处 理 例 子 ： L I K E   ' % M % '   E S C A P E   ‘ M ’ 使 用 E S C A P E 关 键 字 定 义 了 转 义 字 符 “ M ” ， 告 诉 D B M S 将 搜 索 字 符 串 “ % M % ” 中 的 第 二 个 百 分 符 （ % ） 作 为 实 际 值 ， 而 不 是 通 配 符 3 . 使 用 白 名 单 来 规 范 化 的 输 入 验 证 方 法
T O P 2 - 失 效 的 身 份 认 证 和 会 话 管 理 失 效 的 身 份 认 证 和 会 话 管 理   与 认 证 和 会 话 管 理 相 关 的 应 用 程 序 功 能 往 往 得 不 到 正 确 实 施 ， 导 致 了 攻 击 者 可 以 破 坏 密 码 ， 密 钥 ， 会 话 令 牌 或 实 施 漏 洞 冒 充 其 他 用 户 身 份 危 害 如 下 ： 危 害 如 下 ： 这 些 漏 洞 可 能 导 致 部 分 甚 至 全 部 账 户 遭 受 攻 击 ， 一 旦 攻 击 成 功 ， 攻 击 者 就 能 执 行 合 法 的 任 何 操 作 如 何 防 范 如 何 防 范 ： 1 . 使 用 内 置 的 会 话 管 理 功 能 2 . 通 过 认 证 的 问 候 3 . 使 用 单 一 的 入 口 点 4 . 确 保 在 一 开 始 登 录 S S L 保 护 的 网 页 T O P 3 - 跨 站 跨 站 X S S   跨 站 脚 本 是 最 普 遍 的 w e b 应 用 安 全 漏 洞 。 当 应 用 程 序 在 发 送 给 浏 览 器 的 页 面 中 包 含 用 户 提 供 的 数 据 ， 但 没 有 经 过 适 当 验 证 和 转 义 ， 就 会 导 致 跨 站 危 害 如 下 ： 危 害 如 下 ： 攻 击 者 在 受 害 者 浏 览 器 中 执 行 脚 本 以 劫 持 用 户 会 话 ， 插 入 恶 意 内 容 ， 重 定 向 用 户 ， 使 用 恶 意 软 件 劫 持 用 户 浏 览 器 等 种 类 ： 种 类 ： 存 储 型 ， 反 射 型 ， D O M 型 如 何 防 范 ： 如 何 防 范 ： 1 . 验 证 输 入 2 . 编 码 输 出 （ 用 来 确 保 输 入 的 字 符 被 视 为 数 据 ， 而 不 是 作 为 h t m l 被 浏 览 器 所 解 析 ） T O P 4 - 不 安 全 的 对 象 直 接 引 用 不 安 全 的 对 象 直 接 引 用   意 指 一 个 已 经 授 权 的 用 户 通 过 更 改 访 问 时 的 一 个 参 数 ， 从 而 访 问 到 原 本 其 并 没 有 得 到 授 权 的 对 象 危 害 如 下 ： 危 害 如 下 ： 这 种 漏 洞 可 以 损 坏 参 数 所 引 用 的 所 有 数 据 如 何 防 范 ： 如 何 防 范 ： 1 . 使 用 基 于 用 户 或 会 话 的 间 接 对 象 访 问 ， 这 样 可 防 止 攻 击 者 直 接 攻 击 为 授 权 资 源
2 . 访 问 检 查 ： 对 任 何 来 自 不 受 信 源 所 使 用 的 所 有 对 象 进 行 访 问 控 制 检 查 3 . 避 免 在 u r l 或 网 页 中 直 接 引 用 内 部 文 件 名 或 数 据 库 关 键 字 4 . 验 证 用 户 输 入 和 u r l 请 求 ， 拒 绝 包 含 . /   . . / 的 请 求 T O P 5 - 伪 造 跨 站 请 求 （ 伪 造 跨 站 请 求 （ C S R F ） ）   跨 站 请 求 伪 造 ， 利 用 了 网 站 允 许 攻 击 者 预 测 特 定 操 作 所 有 细 节 这 一 特 点 。 由 于 浏 览 器 自 动 发 送 会 话 c o o k i e 等 认 证 凭 证 ， 导 致 攻 击 者 可 以 创 建 恶 意 的 w e b 页 面 来 产 生 伪 造 请 求 。 这 些 伪 造 的 请 求 很 难 和 合 法 的 请 求 区 分 开 危 害 如 下 ： 危 害 如 下 ： 攻 击 者 可 以 让 受 害 者 用 户 修 改 任 何 允 许 修 改 的 数 据 ， 执 行 任 何 用 户 允 许 的 操 作 ， 例 如 修 改 密 码 ， 登 录 注 销 等 如 何 防 范 ： 如 何 防 范 ： 1 . 给 每 个 H T T P 请 求 添 加 一 个 不 可 预 测 的 令 牌 ， 并 保 证 该 令 牌 对 每 个 用 户 会 话 来 说 是 唯 一 的 。 最 好 的 办 法 就 是 将 独 有 的 令 牌 包 含 在 隐 藏 字 段 中 ， 通 过 H T T P 请 求 发 送 ， 避 免 在 U R L 中 暴 露 出 来 2 . 要 求 用 户 重 新 认 证 或 判 断 他 们 是 一 个 真 实 德 用 户 T O P 6 - 安 全 安 全 配 置 配 置 错 误 错 误 安 全 配 置 错 误 可 以 发 生 在 一 个 应 用 程 序 堆 栈 的 任 何 层 面 ， 包 括 平 台 ， w e b 服 务 器 ， 应 用 服 务 器 ， 数 据 库 ， 架 构 和 自 定 义 的 代 码 。 攻 击 者 通 过 访 问 默 认 账 户 ， 未 使 用 的 网 页 ， 未 安 装 的 补 丁 的 漏 洞 ， 未 被 保 护 的 文 件 和 目 录 等 ， 以 获 得 对 系 统 为 授 权 的 访 问 危 害 如 下 ； 系 统 可 能 在 未 知 的 情 况 下 被 完 全 攻 破 ， 用 户 数 据 可 能 随 着 时 间 被 全 部 盗 走 或 篡 改 。 甚 至 导 致 整 个 系 统 被 完 全 破 坏 如 何 防 范 ： 1 . 自 动 化 安 装 部 署 2 . 及 时 了 解 并 部 署 每 个 环 节 的 软 件 更 新 和 补 丁 信 息 3 . 实 施 漏 洞 扫 描 和 安 全 审 计 T O P 7 - 限 制 限 制 U R L 访 问 失 败 （ 缺 少 功 能 级 访 问 控 制 ） 访 问 失 败 （ 缺 少 功 能 级 访 问 控 制 ）   这 个 漏 洞 也 是 与 认 证 相 关 的 ， 这 种 漏 洞 具 体 是 指 在 系 统 已 经 对 u r l 的 访 问 做 了 限 制 的 情 况 下 ， 但 这 种 限 制 并 没 有 生 效 。 常 见 的 例 子 是 系 统 没 有 对 用 户 进 行 角 色 的 检 查 ， 以 及 用 户 通 过 修 改 U R L 的 a c t i o n 并 指 向 未 被 授 权 页 面 就 能 访 问 该 页 面 同 样 是 个 漏 洞 危 害 如 下 ： 危 害 如 下 ：
攻 击 者 很 容 易 就 能 把 网 址 改 成 享 有 特 权 的 网 页 ， 这 样 就 可 以 使 用 匿 名 或 普 通 用 户 访 问 未 授 保 护 的 私 人 页 面 ， 从 而 提 升 未 授 权 功 能 和 相 关 数 据 信 息 如 何 防 范 ： 如 何 防 范 ： 1 . 检 查 管 理 权 限 的 过 程 并 确 保 能 够 容 易 进 行 升 级 和 审 计 2 . 默 认 缺 省 情 况 下 ， 应 该 拒 绝 所 有 访 问 的 执 行 权 限 。 对 于 每 个 功 能 得 访 问 ， 需 要 明 确 的 角 色 授 权 3 . 检 查 每 个 功 能 分 配 的 权 限 合 理 有 效 T O P 8 - 未 验 证 的 重 定 向 和 转 发 未 验 证 的 重 定 向 和 转 发   在 W e b 应 用 中 重 定 向 是 极 为 普 通 的 ， 并 且 通 常 重 定 向 所 引 发 的 目 的 是 带 有 用 户 输 入 参 数 的 目 的 u r l ， 而 如 果 这 些 重 定 向 未 被 验 证 ， 那 么 攻 击 者 就 可 以 引 导 用 户 访 问 他 们 想 要 用 户 访 问 的 站 点 同 样 ， 转 发 也 是 极 为 普 遍 的 ， 本 质 上 转 发 是 在 同 一 个 应 用 中 对 一 个 新 页 面 发 送 请 求 ， 并 且 有 时 是 用 参 数 来 定 义 目 标 页 面 的 。 同 样 ， 如 果 参 数 未 被 验 证 ， 那 么 攻 击 者 就 可 以 利 用 其 来 绕 过 认 证 或 是 授 权 检 查 危 害 如 下 ： 危 害 如 下 ： 攻 击 者 通 过 重 定 向 可 以 试 图 安 装 恶 意 软 件 或 诱 使 受 害 人 泄 露 密 码 等 铭 感 信 息 ， 通 过 转 发 可 以 绕 过 访 问 限 制 如 何 防 范 ： 如 何 防 范 ： 1 . 避 免 使 用 重 定 向 和 转 发 2 . 如 果 使 用 了 ， 不 要 在 确 定 目 标 时 涉 及 到 用 户 参 数 3 . 如 果 无 法 避 免 使 用 用 户 参 数 ， 则 应 确 保 目 标 参 数 值 对 于 当 前 用 户 是 有 效 的 并 已 授 权 如 果 是 需 要 登 录 的 ， 可 以 从 s e s s i o n 当 中 获 取 登 录 信 息 ， 然 后 判 断 T O P 9 - 应 用 已 知 脆 弱 性 的 组 件 应 用 已 知 脆 弱 性 的 组 件   应 用 程 序 使 用 带 有 已 知 漏 洞 的 组 件 会 破 坏 应 用 程 序 防 御 系 统 ， 可 能 导 致 严 重 的 数 据 丢 失 或 服 务 器 接 管 如 何 防 范 ： 如 何 防 范 ： 1 . 识 别 正 在 使 用 的 组 件 和 版 本 ， 包 括 所 有 的 依 赖 2 . 更 新 组 件 或 引 用 的 库 文 件 到 最 新 3 . 建 立 安 全 策 略 来 管 理 组 件 的 使 用 T O P 1 0 - 敏 感 信 息 暴 露   这 个 好 像 没 什 么 可 说 的 ， 就 注 重 对 敏 感 数 据 的 保 护 即 可
● 干 货 | 渗 透 学 习 资 料 大 集 合 （ 书 籍 、 工 具 、 技 术 文 档 、 视 频 教 程 ） 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理