搜索

[18459] 2019-01-03_企业安全体系建设之路之Web安全篇

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2019-01-03_企业安全体系建设之路之Web安全篇 企 业 安 全 体 系 建 设 之 路 之 W e b 安 全 篇 m o s i n   H A C K 学 习 呀   2 0 1 9 - 0 1 - 0 3 目 前 的 网 络 攻 击 主 要 还 是 以 目 前 的 网 络 攻 击 主 要 还 是 以 W E B 攻 击 为 主 流 ， 毕 竟 这 是 与 外 界 沟 通 获 取 知 识 和 了 解 世 界 的 主 要 桥 梁 。 攻 击 为 主 流 ， 毕 竟 这 是 与 外 界 沟 通 获 取 知 识 和 了 解 世 界 的 主 要 桥 梁 。 目 前 随 着 各 大 企 业 对 安 全 的 重 视 ， W e b 的 攻 击 成 本 逐 渐 高 于 了 防 御 成 本 ， 导 致 业 务 中 W e b 安 全 漏 洞 的 逐 渐 减 少 ， 甚 至 常 规 漏 洞 的 消 亡 。 当 然 ， 一 个 漏 洞 的 消 亡 必 会 有 新 的 漏 洞 或 者 攻 击 手 法 的 出 现 ， 攻 击 的 入 门 门 槛 随 之 而 然 逐 渐 的 提 高 。 攻 防 只 有 前 进 ， 没 有 倒 退 ， 即 使 目 前 W e b 安 全 的 攻 击 成 本 高 于 防 御 成 本 ， 防 御 W e b 攻 击 的 软 件 再 多 ， 我 们 也 不 能 放 松 每 一 个 防 御 点 。 W e b 攻 击 现 状 攻 击 现 状 D D o S 攻 击 和 W e b 应 用 攻 击 是 当 今 互 联 网 面 临 的 较 为 突 出 的 两 大 安 全 威 胁 ， D D o S 是 非 漏 洞 型 攻 击 ， 我 们 暂 且 不 谈 。 W e b 应 用 攻 击 占 了 网 络 攻 击 的 主 流 ， 由 于 其 地 位 ， 这 是 事 实 。 由 于 目 前 国 内 某 些 原 因 ， 导 致 以 前 以 技 术 为 主 导 的 现 状 不 在 ， 现 在 相 对 于 过 去 封 闭 ， 当 前 往 往 一 个 新 的 攻 击 手 法 出 现 ， 很 长 时 间 都 没 有 人 知 道 ， 只 在 某 一 小 圈 子 里 流 传 。 所 以 在 W e b 防 御 逐 渐 完 善 的 过 程 中 ， 我 们 可 以 感 觉 的 到 ， 渗 透 一 个 网 站 越 来 越 吃 力 ， 而 是 W e b 这 个 东 西 ， 目 前 已 知 的 漏 洞 挖 掘 方 向 点 就 那 么 多 ， 针 对 这 些 漏 洞 点 的 防 御 软 件 又 多 如 牛 毛 ， 防 御 者 把 这 些 走 已 知 常 规 漏 洞 路 给 堵 死 了 ， 一 般 的 攻 击 者 可 能 无 能 为 力 ， 但 是 对 于 一 些 高 水 平 的 攻 击 者 来 说 ， 也 许 并 不 是 无 路 可 走 。 所 以 ， 依 照 现 状 来 看 ， 目 前 的 W e b 漏 洞 利 用 走 向 开 始 往 逻 辑 漏 洞 方 面 走 ， 如 黑 产 最 喜 欢 的 薅 羊 毛 就 是 一 个 例 子 ， 现 在 想 要 拿 到 W e b 站 点 服 务 器 系 统 权 限 不 容 易 ， 不 过 利 用 逻 辑 漏 洞 拿 到 用 户 数 据 信 息 倒 是 不 难 。 目 前 常 规 的 攻 击 手 法 已 很 难 能 够 攻 破 防 护 做 的 比 较 好 的 企 业 ， 所 以 ， 为 了 了 解 最 新 攻 击 技 术 或 漏 洞 ， 我 们 需 要 搭 建 蜜 罐 系 统 来 捕 获 攻 击 样 本 ， 获 取 自 家 产 品 的 0 d a y 漏 洞 或 更 新 现 有 落 后 技 术 。 常 见 漏 洞 防 护 常 见 漏 洞 防 护 一 些 常 规 的 漏 洞 防 护 就 不 说 了 ， 防 护 的 软 件 已 经 有 很 多 了 ， 漏 洞 扫 描 器 都 可 以 扫 出 来 ， 扫 不 出 来 的 ， 好 一 点 的 防 护 软 件 也 是 可 以 识 别 的 。 按 道 理 来 讲 ， 我 们 应 用 部 署 安 全 监 控 软 件 是 可 以 防 护 常 见 漏 洞 的 ， 当 然 ， 我 们 企 业 自 身 也 可 以 通 过 漏 洞 攻 击 指 纹 进 行 攻 击 特 征 识 别 ， 攻 击 者 绕 过 防 护 软 件 进 行 攻 击 这 个 也 是 我 们 防 护 不 了 的 也 是 不 可 避 免 的 ， 只 要 按 照 标 准 化 安 全 编 程 手 册 ， 出 现 常 规 漏 洞 的 点 会 很 少 ， 至 少 显 性 漏 洞 不 可 见 。 这 里 主 要 讲 讲 逻 辑 漏 洞 问 题 。 逻 辑 问 题 层 出 不 穷 ， 其 他 的 常 规 漏 洞 防 范 已 经 有 了 规 范 化 流 程 ， 而 逻 辑 漏 洞 到 目 前 还 没 有 一 个 流 程 化 的 防 护 方 案 ， 因 为 其 特 殊 性 ， 所 以 我 们 也 得 特 殊 对 待 。 逻 辑 漏 洞 常 出 现 在 用 户 交 互 和 信 息 展 示 之 处 ， 当 然 还 有 与 系 统 进 行 交 互 的 地 方 ， 下 面 列 几 点 验 证 码 验 证 码 验 证 码 是 我 们 常 见 的 一 种 应 对 暴 力 攻 击 的 方 式 之 一 ， 主 要 是 为 了 区 分 人 和 非 人 的 产 物 ， 验 证 码 经 历 了 多 次 改 版 ， 几 乎 每 个 网 站 的 验 证 码 都 不
尽 相 同 ， 验 证 码 在 应 对 绕 过 和 攻 击 识 别 时 变 得 越 来 越 复 杂 ， 用 户 体 验 也 越 来 越 不 好 。 拿 以 前 的 1 2 3 0 6 的 验 证 码 为 例 。 请 点 击 下 面 所 有 的 熟 鸡 蛋 ， 鬼 都 不 知 道 哪 个 鸡 蛋 是 熟 鸡 蛋 ， 怎 么 猜 ？ 当 然 了 ， 这 个 只 是 个 笑 话 ， 但 是 也 恰 恰 说 明 了 问 题 ， 我 们 不 仅 要 做 好 验 证 码 ， 而 且 还 要 让 用 户 不 感 到 体 验 效 果 差 。 验 证 码 经 过 了 长 期 的 变 化 ， 目 前 主 要 分 为 以 下 这 几 类 ， 我 们 来 了 解 下 静 态 验 证 码 静 态 验 证 码 此 类 验 证 码 是 比 较 古 老 的 ， 应 该 说 是 最 初 的 验 证 码 了 ， 静 态 验 证 码 从 以 前 的 文 本 型 过 度 到 了 现 在 的 图 片 型 ， 虽 然 目 前 静 态 验 证 码 加 了 很 多 抗 干 扰 加 花 等 等 操 作 ， 但 是 目 前 能 够 识 别 静 态 验 证 码 的 手 段 还 是 很 多 的 ， 大 多 数 的 静 态 验 证 码 比 较 容 易 被 o c r 软 件 识 别 ， 通 过 打 码 平 台 等 ， 还 有 就 是 当 前 火 热 的 机 器 学 习 ， 通 过 训 练 机 器 ， 其 静 态 验 证 码 的 识 别 率 可 以 达 到 8 0 % 以 上 ， 所 以 现 在 很 多 站 点 都 开 始 弃 用 此 类 验 证 码 了 G i f 动 画 验 证 码 动 画 验 证 码 有 的 网 站 提 供 G I F 动 态 的 验 证 码 图 片 ， 由 于 在 G i f 验 证 码 中 ， 有 多 个 验 证 码 图 层 ， 这 些 都 是 随 机 的 ， 使 得 识 别 器 不 容 易 辨 识 哪 一 个 图 层 是 真 正 的 验 证 码 图 片 ， 可 以 更 有 效 得 防 止 识 别 器 的 识 别 。 但 是 也 是 有 弊 端 的 ， G i f 在 显 示 的 最 后 都 会 暂 停 供 用 户 识 别 ， 只 要 识 别 出 最 后 暂 停 的 那 张 图 层 ， 就 可 以 像 识 别 静 态 验 证 码 那 样 识 别 G i f 验 证 码 了 。 手 机 短 信 验 证 码 手 机 短 信 验 证 码 手 机 验 证 码 是 通 过 发 送 验 证 码 到 手 机 ， 这 个 是 比 较 好 的 验 证 手 段 ， 目 前 使 用 这 类 验 证 码 的 站 点 还 是 很 多 的 。 手 机 语 音 验 证 码 手 机 语 音 验 证 码 这 个 验 证 码 的 成 本 比 较 高 ， 一 般 用 于 金 融 等 站 点 的 验 证 码 ， 不 过 效 果 还 是 很 好 的 。
视 频 验 证 码 视 频 验 证 码 视 频 验 证 码 中 随 机 组 合 而 成 的 验 证 码 动 态 嵌 入 到 M P 4 ， f l v 等 格 式 的 视 频 中 ， 增 大 了 破 解 难 度 。 验 证 码 视 频 动 态 变 换 ， 随 机 响 应 ， 可 以 有 效 防 范 字 典 攻 击 、 穷 举 攻 击 等 攻 击 行 为 。 攻 击 者 可 以 通 过 抓 屏 的 方 式 进 行 识 别 ， 但 是 效 果 不 是 很 好 。 滑 动 验 证 码 滑 动 验 证 码 这 种 验 证 码 是 最 近 几 年 流 行 起 来 的 ， 这 个 验 证 码 需 要 与 用 户 进 行 交 互 ， 采 用 拼 图 或 滑 动 左 右 模 式 进 行 验 证 。 应 对 此 类 验 证 码 攻 击 者 一 般 是 通 过 网 站 的 验 证 码 接 口 找 突 破 ， 或 者 采 用 如 鼠 标 模 拟 等 操 作 进 行 验 证 码 识 别 。 点 击 验 证 码 点 击 验 证 码 此 类 验 证 码 一 般 是 给 出 一 张 图 片 让 用 户 进 行 识 别 ， 如 1 2 3 0 6 的 验 证 码 识 别 。 应 对 此 类 验 证 码 攻 击 者 一 样 可 以 通 过 鼠 标 模 拟 等 操 作 进 行 验 证 码 识 别 。 智 力 验 证 码 智 力 验 证 码 顾 名 思 义 就 是 ， 给 用 户 出 一 道 题 ， 让 用 户 把 答 案 算 出 来 进 行 验 证 。 此 类 验 证 也 是 存 在 一 定 的 弊 端 的 ， 因 为 验 证 码 大 多 数 是 以 图 片 的 形 式 出 现 的 ， 而 相 对 于 比 较 低 级 的 算 数 题 类 验 证 码 ， 攻 击 者 可 以 用 静 态 验 证 码 识 别 的 手 段 进 行 问 题 提 取 ， 继 而 进 行 算 数 运 算 ， 从 而 达 到 识 别 此 类 验 证 码 的 目 的 。 交 互 验 证 码 交 互 验 证 码 此 类 验 证 应 该 算 是 目 前 前 端 验 证 码 验 证 比 较 安 全 的 验 证 码 了 。 在 有 客 户 端 的 站 点 上 应 用 比 较 广 泛 ， 首 先 要 登 录 站 点 ， 需 要 客 户 端 进 行 授 权 ， 如 扫 码 登 录 ， 客 户 端 验 证 后 ， 服 务 端 把 登 录 信 息 发 送 前 端 进 行 登 录 操 作 。 当 然 还 有 其 他 的 验 证 码 验 证 手 段 ， 这 里 就 不 一 一 介 绍 了 ， 具 体 使 用 什 么 验 证 码 还 得 看 站 点 的 特 性 和 业 务 的 类 型 ， 没 全 有 最 好 最 安 全 的 验 证 码 ， 只 有 最 适 合 的 验 证 码 。 交 互 逻 辑 交 互 逻 辑 交 互 逻 辑 漏 洞 虽 然 不 像 常 规 漏 洞 那 么 厉 害 ， 可 以 直 接 拿 下 系 统 权 限 ， 但 是 给 企 业 造 成 的 损 失 却 是 很 大 的 。 我 们 经 常 可 以 看 到 一 些 新 闻 ， 说 某 某 网 站 由 于 出 现 支 付 漏 洞 ， 导 致 损 失 多 少 钱 。 因 为 逻 辑 漏 洞 是 不 可 避 免 的 ， 它 不 像 常 规 漏 洞 可 以 容 易 的 被 漏 洞 扫 描 器 扫 出 ， 它 更 多 的 是 需 要 测 试 人 员 代 码 审 计 或 黑 盒 测 试 找 出 。 所 以 这 个 交 互 逻 辑 漏 洞 也 是 比 较 难 以 防 控 的 一 个 点 。 通 常 出 现 交 互 逻 辑 漏 洞 的 点 为 登 录 处 、 支 付 处 、 用 户 信 息 交 互 处 和 与 数 据 库 交 互 处 。 因 为 网 站 程 序 的 某 些 交 互 接 口 或 者 数 据 交 互 接 口 信 息 验 证 逻 辑 问 题 ， 对 提 交 的 数 据 参 数 审 计 不 严 格 ， 造 成 交 互 逻 辑 漏 洞 ， 下 面 列 出 比 较 常 见 的 交 互 逻 辑 漏 洞 。 登 录 交 互 逻 辑 登 录 交 互 逻 辑 在 登 陆 处 ， 一 般 的 测 试 会 测 试 站 点 是 否 严 格 控 制 登 录 交 互 ， 攻 击 者 通 过 抓 包 查 看 提 交 参 数 ， 查 看 是 否 有 可 以 利 用 的 交 互 逻 辑 漏 洞 ， 有 些 站 点 在 登 录 参 数 ， 也 就 是 帐 号 密 码 传 过 来 后 ， 会 验 证 帐 号 密 码 是 否 正 确 ， 然 后 返 回 t r u e 或 者 返 回 f a l s e ， 即 使 使 用 错 误 的 帐 号 密 码 ， 当 返 回 f a l s e 时 ， 那 么 我 们 就 可 以 改 返 回 数 据 包 为 t r u e ， 那 么 就 直 接 登 录 了 ， 更 有 胜 者 当 用 户 名 正 确 后 ， 无 论 密 码 是 否 正 确 ， 都 直 接 返 回 正 确 的 帐 号 密 码 。 有 人 可 能 会 想 ， 即 使 你 改 掉 包 ， 不 是 还 有 c o o k i e 或 者 t o k e n 吗 ？
话 虽 没 错 ， 但 是 某 些 站 点 的 c o o k i e 是 直 接 在 前 端 生 成 ， 或 者 在 我 们 改 掉 包 后 ， 服 务 器 端 会 把 正 确 的 c o o k i e 给 你 返 回 回 来 。 还 有 在 找 回 密 码 处 ， 通 过 找 回 密 码 这 个 交 互 逻 辑 漏 洞 ， 攻 击 者 可 以 重 置 任 意 账 户 密 码 ， 从 而 达 到 自 己 的 目 的 ， 这 对 于 金 融 行 业 和 电 商 行 业 等 用 户 量 大 的 站 点 ， 造 成 用 户 信 息 泄 漏 或 者 资 金 被 盗 甚 至 对 用 户 造 成 诈 骗 等 后 果 ， 这 对 企 业 的 声 誉 和 发 展 都 会 造 成 影 响 和 损 失 。 在 找 回 密 码 处 ， 攻 击 者 一 般 通 过 验 证 邮 箱 或 者 手 机 号 找 回 密 码 ， 如 果 帐 号 匹 配 ， 服 务 器 一 般 会 发 送 短 信 验 证 码 或 者 邮 箱 验 证 码 到 用 户 手 里 ， 那 么 这 个 过 程 如 果 服 务 器 端 验 证 不 严 格 就 有 可 能 会 造 成 交 互 逻 辑 漏 洞 的 发 生 。 重 置 密 码 的 攻 击 逻 辑 常 见 的 有 如 下 几 点 攻 击 者 通 过 修 改 返 回 包 ， 绕 过 验 证 步 骤 ， 直 接 到 达 修 改 密 码 处 攻 击 者 通 过 修 改 返 回 包 ， 把 当 前 重 置 帐 号 （ 如 手 机 号 ， 邮 箱 地 址 ） ， 修 改 为 自 己 的 帐 号 （ 如 手 机 号 ， 邮 箱 地 址 ） ， 那 么 在 服 务 器 没 有 对 帐 号 进 行 严 格 验 证 的 情 况 下 ， 服 务 器 端 会 直 接 把 重 置 验 证 凭 证 发 送 到 攻 击 者 的 手 里 攻 击 者 通 过 抓 取 返 回 包 ， 由 于 服 务 器 端 的 自 身 逻 辑 问 题 ， 可 能 会 把 帐 号 密 码 等 等 与 当 前 重 置 帐 号 的 相 关 信 息 给 返 回 过 来 ， 不 用 重 置 ， 就 知 道 了 用 户 密 码 站 点 找 回 密 码 设 计 问 题 ， 当 重 置 密 码 后 ， 服 务 器 会 发 送 新 的 密 码 到 用 户 手 中 ， 而 这 个 密 码 是 几 位 的 纯 数 字 ， 攻 击 者 是 可 以 通 过 暴 力 穷 举 的 方 式 知 道 重 置 的 密 码 ， 更 有 趣 的 是 ， 某 些 站 点 直 接 是 重 置 密 码 为 固 定 的 密 码 字 符 串 网 页 验 证 不 严 格 ， 可 通 过 u r l 直 接 到 达 修 改 密 码 处 某 些 通 过 邮 件 找 回 的 ， 其 重 置 密 码 的 链 接 是 可 以 猜 测 和 预 知 的 还 有 就 是 验 证 码 逻 辑 问 题 ， 某 些 验 证 码 虽 然 在 前 端 进 行 了 验 证 ， 但 是 在 后 端 却 没 有 进 行 很 严 格 的 检 查 ， 攻 击 者 可 以 通 过 删 除 验 证 码 或 者 验 证 码 是 不 变 的 ， 可 有 可 无 的 ， 那 么 攻 击 者 就 可 以 实 施 撞 库 或 这 暴 力 破 解 用 户 帐 号 密 码 了 。 在 用 手 机 或 邮 箱 或 其 他 接 收 攻 击 接 收 登 录 或 重 置 密 码 时 ， 可 能 出 现 验 证 码 交 互 逻 辑 漏 洞 。 我 们 知 道 ， 一 般 情 况 下 ， 站 点 发 送 的 验 证 码 是 有 时 间 限 制 的 ， 通 常 为 几 分 钟 ， 如 果 验 证 码 在 后 端 发 送 逻 辑 有 问 题 的 话 ， 就 会 出 现 问 题 。 如 ， 当 攻 击 者 在 爆 破 时 ， 验 证 码 过 期 时 间 为 5 分 钟 ， 时 间 快 到 了 时 ， 攻 击 者 再 发 送 一 次 请 求 ， 因 为 后 端 没 有 做 失 效 控 制 策 略 ， 就 又 会 收 到 一 次 一 模 一 样 的 验 证 码 ， 而 且 时 间 又 是 5 分 钟 ， 那 么 想 要 爆 破 某 一 个 帐 号 的 密 码 就 不 再 是 什 么 难 事 了 。 当 然 还 有 站 点 直 接 返 回 验 证 码 的 ， 或 者 验 证 码 是 在 前 端 生 成 通 过 后 端 直 接 发 送 到 用 户 手 中 的 。 想 要 防 护 登 录 交 互 逻 辑 此 类 的 漏 洞 也 很 简 单 ， 就 是 要 对 相 关 的 参 数 做 个 严 格 的 验 证 ， 如 登 录 的 逻 辑 不 返 回 前 端 ， 由 后 端 管 控 ， 前 端 进 行 调 用 验 证 码 失 效 时 间 进 行 严 格 控 制 ， 验 证 码 不 能 多 次 使 用 ， 为 一 次 性 验 证 码 ， 获 取 验 证 码 的 时 间 也 要 有 时 间 限 制 ， 由 后 端 管 控 ， 预 防 被 用 于 短 信 轰 炸 所 有 的 账 户 重 置 信 息 都 不 返 回 给 前 端 生 成 的 重 置 密 码 连 接 是 不 可 预 知 的 ， 随 机 的 当 然 ， 防 护 手 端 多 种 多 样 ， 最 主 要 的 只 有 一 点 ， 那 就 是 严 格 检 查 参 数 ， 对 参 数 进 行 严 格 的 校 检 ， 预 防 此 类 漏 洞 就 只 能 是 提 高 验 证 逻 辑 。 支 付 逻 辑 支 付 逻 辑
支 付 漏 洞 可 以 说 是 比 较 严 重 的 逻 辑 漏 洞 了 ， 毕 竟 是 涉 及 到 钱 这 个 问 题 。 一 个 支 付 漏 洞 有 可 能 会 对 企 业 造 成 巨 大 的 损 失 。 支 付 漏 洞 的 产 生 符 合 逻 辑 漏 洞 特 点 ， 都 是 其 修 改 自 身 逻 辑 达 到 欺 骗 的 效 果 。 支 付 的 一 般 流 程 为 ： 确 认 信 息 = > 提 交 订 单 = > 支 付 = > 支 付 成 功 主 要 的 漏 洞 点 如 下 1 . 修 改 参 数 属 性 值 修 改 参 数 属 性 值 参 数 的 属 性 值 有 支 付 金 额 代 金 卷 积 分 其 他 这 几 个 属 性 值 也 是 最 为 基 础 和 常 见 的 支 付 逻 辑 漏 洞 发 生 点 ， 攻 击 者 一 般 的 攻 击 手 法 为 修 改 支 付 金 额 的 多 少 来 进 行 测 试 ， 出 现 漏 洞 的 支 付 步 骤 一 般 在 提 交 订 单 时 或 提 交 订 单 之 后 ， 通 过 把 支 付 的 金 额 修 改 成 低 价 格 或 者 修 改 为 负 数 ， 如 果 后 端 判 断 逻 辑 有 问 题 ， 那 么 就 会 出 现 支 付 逻 辑 漏 洞 了 。 所 以 ， 在 后 端 进 行 判 断 时 ， 要 对 相 关 参 数 进 行 绑 定 ， 即 使 在 前 端 修 改 了 ， 后 端 也 是 可 以 初 始 化 参 数 的 。 2 . 修 改 数 量 值 修 改 数 量 值 这 个 和 修 改 参 数 属 性 值 差 不 多 ， 也 是 把 商 品 数 量 修 改 为 负 数 达 到 支 付 金 额 成 负 数 的 效 果 ， 当 然 还 有 一 种 就 是 商 品 差 价 修 改 ， 用 一 种 低 价 格 商 品 的 数 量 总 金 额 去 支 付 高 价 格 商 品 的 数 量 总 金 额 ， 如 果 后 端 逻 辑 有 问 题 ， 那 么 就 可 以 低 价 格 购 买 高 价 格 商 品 了 。 3 . 越 权 支 付 越 权 支 付 越 权 一 般 发 生 在 支 付 环 节 ， 攻 击 者 可 以 通 过 修 改 自 身 I D 为 其 他 用 户 的 I D 值 ， 如 果 没 有 严 格 的 支 付 密 码 或 验 证 码 的 话 ， 就 可 以 达 到 用 他 人 账 户 为 自 己 的 商 品 买 单 的 效 果 ， 当 然 还 有 其 他 的 越 权 支 付 手 段 ， 如 越 权 支 付 他 人 账 单 ， 越 权 提 现 他 人 现 金 等 。 4 . 条 件 竞 争 条 件 竞 争 条 件 竞 争 这 个 词 我 们 在 W e b 漏 洞 或 是 其 他 系 统 漏 洞 中 都 是 可 以 看 到 的 ， 条 件 竞 争 利 用 其 高 并 发 线 程 ， 利 用 时 钟 延 迟 （ 后 台 处 理 延 迟 ） 达 到 多 出 或 或 高 于 现 有 正 常 结 果 。 如 L F I 漏 洞 ， 通 过 不 断 写 入 t m p 文 件 ， 达 到 g e t s h e l l 的 目 的 。 同 样 ， 如 提 现 功 能 来 说 ， 如 果 我 们 把 要 提 现 的 金 额 分 成 多 份 ， 通 过 高 并 发 线 程 ， 如 果 后 端 处 理 能 力 或 者 逻 辑 判 断 能 力 存 在 缺 陷 的 话 ， 那 么 我 们 就 可 以 提 现 高 于 提 现 次 数 的 金 额 。 5 . 支 付 状 态 支 付 状 态 通 常 在 我 们 支 付 成 功 后 ， 服 务 器 会 返 回 一 个 支 付 成 功 或 支 付 失 败 的 结 果 ， 如 果 在 后 端 没 有 对 支 付 状 态 和 订 单 号 进 行 绑 定 的 话 ， 那 么 攻 击 者 只 需 要 修 改 返 回 状 态 为 T r u e 就 会 成 功 购 买 商 品 ， 而 无 论 支 付 是 否 成 功 。 支 付 逻 辑 漏 洞 主 要 是 代 码 层 方 面 的 防 护 ， 如 果 后 端 对 提 交 的 参 数 进 行 了 绑 定 ， 那 么 无 论 前 端 怎 么 的 修 改 ， 后 端 都 是 可 以 判 断 和 初 始 化 参 数 的 ; 对 于 支 付 接 口 来 说 ， 如 果 调 用 第 三 方 支 付 接 口 的 话 ， 也 是 要 对 接 口 进 行 绑 定 ， 最 好 对 订 单 号 进 行 绑 定 ， 避 免 用 不 存 在 的 支 付 接 口 支 付 成 功
。 对 于 此 类 支 付 漏 洞 来 讲 ， 我 们 能 做 的 就 是 提 高 风 控 手 段 ， 所 有 的 支 付 结 果 要 进 行 延 时 处 理 ， 把 支 付 结 果 与 订 单 之 前 的 结 果 进 行 对 比 ， 查 看 是 否 异 常 ， 必 要 时 加 入 人 工 审 核 ， 以 此 来 减 小 事 故 发 生 几 率 。 越 权 越 权 对 于 越 权 ， 越 权 也 是 属 于 逻 辑 漏 洞 的 一 种 。 越 权 漏 洞 的 存 在 环 境 ， 在 W e b 环 境 中 的 不 同 而 不 同 ， 拿 有 登 录 操 作 的 站 点 来 聊 聊 。 在 这 类 站 点 中 ， 越 权 一 般 出 现 在 个 人 信 息 处 ， 如 我 们 点 击 个 人 信 息 ， 通 常 在 个 人 信 息 链 接 数 据 包 里 会 带 有 用 户 u s e r i d ， 不 出 意 外 的 话 ， 我 们 修 改 其 u s e r i d 为 其 他 用 户 u s e r i d 会 出 现 其 他 用 户 的 信 息 。 这 个 漏 洞 的 产 生 是 后 端 对 用 户 的 权 限 或 登 录 状 态 判 断 不 严 造 成 的 ， 对 于 此 类 漏 洞 站 点 一 般 的 做 法 是 添 加 用 户 t o k e n 或 附 带 其 他 什 么 乱 七 八 糟 的 验 证 ， 对 于 越 权 也 算 是 比 较 好 的 防 范 了 。 当 然 ， 逻 辑 漏 洞 远 不 止 上 面 提 到 的 这 么 多 ， 逻 辑 漏 洞 的 防 范 是 一 个 长 期 的 过 程 ， 随 着 站 点 的 业 务 和 功 能 的 拓 展 ， 其 逻 辑 复 杂 度 也 在 增 加 ， 只 要 企 业 把 控 好 权 限 、 验 证 、 输 出 这 三 个 点 ， 逻 辑 漏 洞 出 现 的 几 率 也 就 小 了 许 多 。 系 统 错 误 配 置 系 统 错 误 配 置 某 些 站 点 的 安 全 管 控 做 的 非 常 好 ， 但 是 细 节 却 处 理 的 不 好 ， 其 中 不 乏 一 些 大 的 厂 商 ， 站 点 不 出 现 漏 洞 ， 但 是 支 持 站 点 运 行 的 服 务 器 软 件 由 于 站 点 管 理 员 的 违 规 操 作 可 能 会 导 致 大 的 漏 洞 产 生 。 如 A p a c h e 开 放 了 P U T 功 能 ， 权 限 管 控 不 到 位 所 导 致 的 目 录 遍 历 操 作 ， I I S 的 短 文 件 名 漏 洞 等 。 所 以 按 照 规 范 定 期 进 行 服 务 器 基 线 检 查 是 非 常 有 必 要 的 。 数 据 库 漏 洞 数 据 库 漏 洞 数 据 库 漏 洞 一 般 就 是 弱 口 令 或 未 授 权 访 问 ， 其 余 的 如 R E C 等 漏 洞 或 多 或 少 还 是 需 要 点 权 限 的 ， 随 着 企 业 的 安 全 意 识 提 高 ， 建 站 一 般 会 使 用 站 库 分 离 的 做 法 ， 这 样 做 可 以 很 好 的 保 护 数 据 库 服 务 器 和 提 高 站 点 服 务 器 的 系 统 资 源 利 用 率 ， 提 高 站 点 安 全 性 。 当 然 ， 站 点 的 权 限 如 非 必 要 ， 最 好 还 是 进 行 降 权 账 号 登 录 ， 很 多 的 数 据 库 漏 洞 都 是 因 为 暴 露 在 公 网 导 致 的 被 入 侵 ， 如 果 权 限 较 低 的 话 ， 那 么 被 攻 下 的 难 度 就 很 高 了 。 从 站 点 的 S Q L 注 入 漏 洞 来 讲 ， 这 本 身 就 不 属 于 数 据 库 漏 洞 了 ， 属 于 站 点 自 身 的 漏 洞 ， 所 以 S Q L 注 入 的 根 源 在 于 站 点 代 码 ， 而 非 数 据 库 。 薅 羊 毛 薅 羊 毛 薅 羊 毛 这 个 虽 不 能 算 是 漏 洞 （ 也 可 以 说 和 漏 洞 危 害 差 不 多 ） ， 但 是 对 企 业 造 成 的 损 失 还 是 很 大 的 ， 目 前 薅 羊 毛 现 已 经 成 为 了 一 个 产 业 链 ， 羊 毛 党 利 用 网 站 漏 洞 或 者 人 员 条 件 （ 黑 产 ） 等 其 他 优 势 ， 合 法 占 用 企 业 资 源 ， 使 企 业 的 宣 传 或 活 动 达 不 到 预 期 的 效 果 ， 浪 费 企 业 资 源 ， 甚 至 造 成 损 失 。 当 企 业 辛 辛 苦 苦 策 划 出 来 的 活 动 被 羊 毛 党 利 用 ， 企 业 投 入 了 大 量 物 力 换 来 的 是 羊 毛 党 的 流 量 ， 那 么 ， 我 们 有 什 么 方 法 能 减 少 被 薅 羊 毛 额 几 率 呢 ？ 防 范 羊 毛 党 可 以 从 以 下 几 个 方 面 着 手 严 控 注 册 流 程 ， 阻 止 非 法 注 册 定 期 清 理 垃 圾 帐 号
提 高 参 加 活 动 的 门 槛 对 参 加 活 动 的 用 户 进 行 严 格 的 资 格 审 核 ， 提 高 用 户 真 实 性 平 台 漏 洞 ： 严 控 相 关 活 动 的 接 口 调 用 逻 辑 ， 确 保 通 过 了 安 全 检 测 后 上 线 延 迟 活 动 奖 励 的 时 限 增 加 和 提 高 合 法 用 户 真 实 性 （ 人 机 用 户 ） 验 证 机 制 当 然 ， 具 体 的 防 范 措 施 也 不 是 依 照 以 上 几 种 防 范 措 施 就 能 完 全 杜 绝 薅 羊 毛 的 行 为 ， 所 谓 完 善 的 安 全 管 控 体 系 ， 都 是 建 立 在 具 体 实 践 的 基 础 上 的 ， 防 范 管 控 经 验 都 是 在 经 历 了 ” 具 体 事 故 “ 才 能 很 完 美 的 总 结 出 来 ， 这 样 才 能 对 企 业 自 身 或 者 具 体 业 务 量 身 定 制 一 套 薅 羊 毛 应 对 措 施 ， 往 大 了 说 还 能 通 用 于 某 一 行 业 的 所 有 产 品 。 第 三 方 程 序 管 控 第 三 方 程 序 管 控 一 个 企 业 里 面 ， 用 到 的 W e b 程 序 不 敢 说 都 是 自 己 开 发 的 , 或 多 或 少 会 用 到 其 他 企 业 的 开 源 或 收 费 的 W e b 程 序 ， 那 么 这 些 W e b 程 序 又 该 如 何 管 控 呢 ？ 对 于 此 类 应 用 来 说 ， 上 线 和 自 身 产 品 差 不 多 ， 都 是 需 要 经 过 安 全 评 估 的 ， 通 过 了 安 全 评 估 以 后 ， 进 行 备 案 上 线 。 后 续 需 定 期 关 注 官 网 补 丁 并 及 时 进 行 补 丁 更 新 ， 如 果 W e b 程 序 存 在 0 d a y 漏 洞 的 话 ， 结 合 当 前 服 务 器 的 安 全 策 略 进 行 管 控 。 权 限 管 控 权 限 管 控 权 限 这 个 问 题 是 站 点 被 攻 破 后 的 最 后 一 道 防 御 点 ， 如 果 站 点 权 限 出 现 问 题 ， 那 么 整 个 站 点 就 真 的 沦 陷 了 。 在 W e b 的 渗 透 测 试 中 ， 攻 击 者 在 拿 到 了 可 以 操 控 站 点 的 权 限 时 （ 如 后 台 登 录 权 限 ） ， 首 先 想 到 的 就 是 上 传 脚 本 木 马 来 控 制 服 务 器 ， 然 后 利 用 脚 本 木 马 来 进 行 提 权 操 作 ， 最 后 内 网 渗 透 等 等 。 所 以 在 攻 击 者 有 了 操 作 站 点 权 限 的 这 个 节 点 时 是 企 业 管 控 W e b 这 最 后 一 道 防 线 的 关 键 点 ， 下 面 我 们 来 讨 论 下 权 限 问 题 。 站 点 的 启 动 一 般 不 用 最 高 权 限 启 动 ， 一 般 管 理 员 会 新 建 一 个 低 权 限 的 账 号 来 启 动 W e b 站 点 服 务 ， 用 低 权 限 启 动 的 W e b 服 务 权 限 有 限 ， 无 法 执 行 创 建 修 改 或 删 除 文 件 等 高 权 限 操 作 ， 所 以 对 脚 本 木 马 的 写 入 有 一 定 的 防 范 作 用 ； 但 是 有 一 些 站 点 因 为 要 使 用 某 些 第 三 方 库 ， 或 者 需 要 执 行 某 些 合 法 的 敏 感 操 作 ， 可 能 会 要 求 请 求 高 权 限 启 动 ， 这 个 时 候 权 限 管 控 就 会 有 一 定 风 险 存 在 了 ， 企 业 能 做 的 就 是 对 整 个 站 点 进 行 旁 路 权 限 管 控 ， 如 ： 上 传 目 录 的 脚 本 解 析 和 执 行 权 限 站 点 的 命 令 执 行 权 限 跨 目 录 权 限 所 以 ， 权 限 最 大 的 问 题 在 于 执 行 上 ， 如 果 控 制 了 执 行 权 限 ， 那 么 无 论 你 怎 么 上 传 ， 上 传 什 么 文 件 ， 都 执 行 不 起 来 。 权 限 管 控 是 一 个 老 生 常 谈 的 问 题 ， 权 限 和 业 务 有 着 比 较 矛 盾 的 问 题 ， 因 为 有 些 情 况 下 需 要 开 启 高 权 限 来 支 撑 站 点 的 某 一 功 能 ， 但 是 在 该 功 能 的 高 权 限 开 启 情 况 下 又 会 出 现 安 全 问 题 。 所 以 说 ， 权 限 管 控 并 不 难 ， 难 就 难 在 要 配 合 具 体 业 务 场 景 而 又 不 要 出 现 安 全 问 题 上 。 日 常 监 控 日 常 监 控
监 控 站 点 是 一 种 了 解 当 前 站 点 运 行 状 态 的 必 要 手 段 ， 也 是 一 种 获 取 攻 击 和 威 胁 情 报 的 来 源 之 一 。 监 控 的 手 段 一 般 为 日 志 监 控 通 信 流 量 监 控 文 件 监 控 系 统 操 作 监 控 通 过 监 控 手 段 ， 企 业 可 以 获 取 大 量 有 用 的 信 息 ， 能 够 帮 助 企 业 改 善 产 品 、 获 取 威 胁 情 报 、 调 查 取 证 等 方 面 有 着 很 大 的 帮 助 。 日 志 监 控 主 要 是 针 对 于 W e b 服 务 器 和 站 点 所 产 生 的 日 志 情 况 ， 提 取 日 志 中 所 产 生 的 异 常 并 针 对 性 的 进 行 处 理 。 通 信 流 量 监 控 主 要 是 针 对 W e b 站 点 的 所 有 流 量 进 行 的 监 控 ， 在 通 信 流 量 里 面 一 般 会 包 含 攻 击 行 为 ， 那 么 对 于 匹 配 性 的 攻 击 行 为 进 行 预 警 ， 筛 选 出 攻 击 流 量 进 行 分 析 ， 如 果 可 靠 的 话 ， 我 们 有 一 定 的 几 率 可 以 获 得 新 的 攻 击 技 巧 、 0 d a y 漏 洞 或 者 发 现 站 点 新 的 漏 洞 等 。 对 于 某 些 攻 击 流 量 来 说 ， 一 个 站 点 存 在 命 令 执 行 ， 在 流 量 中 会 出 现 系 统 命 令 或 其 他 第 三 方 命 令 等 特 征 字 符 。 文 件 监 控 是 站 点 监 控 里 比 较 重 要 的 监 控 之 一 了 ， 因 为 攻 击 者 攻 击 站 点 时 一 般 都 会 对 文 件 进 行 操 作 ， 文 件 的 变 动 可 以 让 被 入 侵 的 站 点 快 速 定 位 入 侵 点 ， 从 而 应 急 及 时 ， 减 小 损 失 ; 文 件 监 控 对 于 权 限 管 控 不 到 位 而 造 成 的 安 全 问 题 有 着 比 较 好 的 支 撑 ， 对 于 那 些 正 常 文 件 被 写 入 脚 本 木 马 的 文 件 来 说 ， 我 们 可 以 知 道 写 入 的 代 码 是 否 为 木 马 代 码 ， 是 否 为 正 常 代 码 ， 是 否 为 非 法 写 入 。 系 统 操 作 监 控 主 要 为 针 对 W e b 站 点 所 执 行 的 系 统 操 作 ， 在 系 统 操 作 监 控 里 面 ， 我 们 可 以 看 到 W e b 站 点 和 系 统 的 所 有 交 互 行 为 ， 通 过 监 控 日 志 ， 我 们 可 以 分 析 得 出 ， W e b 站 点 的 哪 些 文 件 在 与 系 统 进 行 交 互 ， 执 行 的 行 为 是 否 为 正 当 合 法 的 行 为 ( 和 s y s l o g 取 证 差 不 多 ) 。 通 过 监 控 的 手 段 ， 我 们 可 以 清 楚 的 了 解 到 站 点 服 务 器 都 做 了 些 什 么 ， 它 们 所 做 的 事 情 是 否 是 正 当 的 。 监 控 手 段 所 带 来 的 好 处 就 是 ， 如 果 出 现 安 全 问 题 能 够 在 第 一 时 间 找 出 问 题 所 在 ， 监 控 手 段 在 检 测 到 疑 是 攻 击 行 为 时 ， 可 以 进 行 有 效 的 攻 击 阻 断 ， 即 使 是 W e b 站 点 存 在 漏 洞 情 况 下 。 这 一 点 就 和 W A F 的 功 能 有 相 识 之 处 了 。 W A F 权 限 管 控 是 W e b 安 全 的 最 后 一 道 防 线 ， 那 么 W A F ( W e b   A p p l i c a t i o n   F i r e w a l l ) 可 以 说 是 W e b 安 全 中 的 第 一 道 防 线 。 在 目 前 互 联 网 的 W e b 站 点 中 ， 无 论 网 站 大 小 或 多 或 少 会 安 装 W A F 来 保 护 网 站 ， 在 安 装 了 W A F 的 网 站 比 不 安 装 W A F 的 网 站 安 全 性 要 高 ， 站 点 安 装 了 W A F 提 高 了 攻 击 的 门 槛 ， 可 以 防 范 一 般 的 （ 没 有 什 么 技 术 能 力 的 ） 攻 击 者 。 随 着 技 术 的 发 展 和 安 全 攻 防 的 交 锋 加 剧 ， W A F 的 功 能 也 从 以 前 的 功 能 单 一 逐 渐 变 为 现 在 的 多 功 能 W A F ， 不 仅 能 够 拦 截 过 滤 还 能 杀 毒 等 。 当 然 ， 不 得 不 说 的 就 是 现 在 常 用 的 加 速 器 C D N （ C o n t e n t   D e l i v e r y   N e t w o r k ） 了 ， C D N 发 展 也 是 差 不 多 ， 以 前 只 是 单 一 个 给 网 站 加 个 速 ， 发 展 到 现 在 ， C D N 有 了 W A F 的 功 能 ， 能 够 代 替 W A F 做 一 些 攻 击 拦 截 的 事 情 ， 当 然 不 是 有 了 C D N 就 能 完 全 代 替 W A F 了 ， 如 果 攻 击 者 绕 过 了 C D N 找 到 了 服 务 器 的 真 实 I P 地 址 呢 ， 又 当 如 何 ？ 在 W e b 安 全 的 建 设 中 ， W A F 不 能 说 必 不 可 少 ， 但 是 有 了 W A F ， 站 点 的 安 全 性 能 够 提 高 到 一 个 档 次 ， 不 仅 能 够 挡 掉 一 些 普 通 攻 击 者 的 攻 击 ， 还 能 够 提 高 高 级 攻 击 者 的 攻 击 成 本 ， 即 使 网 站 沦 陷 了 ， 不 是 还 有 其 他 的 防 护 手 段 吗 ？ 都 是 摆 设 ？ 没 错 ， 其 他 的 防 护 手 段 就 是 摆 设 。 安 全 建 设 就 是 这 样 ， 防 护 做 的 再 好 ， 如 果 没 有 从 根 源 解 决 问 题 ， 攻 击 者 只 要 有 心 ， 那 么 一 切 的 防 护 手 段 绕 过 只 是 时 间 问 题 ， 这 个 就 和 擒 贼 先
擒 王 是 一 个 道 理 了 。 所 以 ， W e b 漏 洞 的 根 源 就 是 站 点 代 码 ， 只 要 代 码 层 显 性 漏 洞 不 存 在 ， 加 上 代 码 层 的 其 他 安 全 防 护 措 施 做 到 位 ， 那 么 站 点 就 能 做 到 相 对 安 全 ， 而 能 够 让 站 点 做 到 相 对 安 全 的 就 是 “ 代 码 安 全 审 计 ” 。 代 码 安 全 审 计 代 码 安 全 审 计 代 码 审 计 作 为 安 全 测 试 中 重 要 的 一 环 ， 代 码 审 计 能 够 发 现 一 些 潜 在 的 漏 洞 ， 帮 助 企 业 更 好 的 完 善 W e b 程 序 ， 减 少 被 攻 击 的 风 险 。 如 上 文 所 述 ， 站 点 服 务 器 的 防 护 做 的 再 好 ， 如 果 站 点 的 程 序 代 码 存 在 问 题 的 话 ， 那 么 一 切 的 防 护 措 施 可 能 成 为 摆 设 。 作 为 一 个 负 责 的 企 业 ， 要 对 自 己 和 自 己 的 用 户 负 责 ， 那 么 W e b 产 品 在 发 布 或 新 版 本 更 新 时 ， 就 需 要 进 行 代 码 审 计 ， 以 最 大 的 可 能 减 小 漏 洞 发 生 的 几 率 。 对 于 W e b 程 序 来 讲 ， 代 码 审 计 一 般 特 别 针 对 常 规 高 危 漏 洞 ， 因 为 对 于 常 规 漏 洞 一 般 的 扫 描 器 都 是 可 以 扫 的 出 来 的 ， 而 对 于 那 些 需 要 特 定 条 件 才 能 触 发 的 漏 洞 （ 如 C S R F ， 埋 雷 攻 击 ） ， 产 品 能 做 的 就 是 尽 可 能 的 控 制 各 个 交 互 的 权 限 分 离 和 绑 定 （ 加 强 验 证 ） 。 目 前 市 面 上 免 费 的 和 收 费 的 代 码 审 计 产 品 有 很 多 ， 大 多 数 都 是 基 于 静 态 分 析 ， 所 以 误 报 率 还 是 比 较 高 的 ， 审 计 工 具 它 只 能 是 个 参 考 ， 具 体 的 逻 辑 分 析 还 是 需 要 专 业 的 安 全 技 术 人 员 跟 进 。 那 么 代 码 审 计 也 有 一 定 的 盲 区 ， 因 为 随 着 一 个 产 品 的 功 能 增 加 ， 代 码 量 的 加 大 ， 有 时 候 一 个 产 品 的 代 码 就 有 几 万 行 ， 大 小 几 十 上 百 兆 ， 不 可 能 说 完 全 依 靠 人 工 能 够 审 计 的 完 的 ， 就 算 审 计 完 了 ， 质 量 还 是 得 不 到 保 证 。 在 这 个 情 况 下 ， 工 具 就 有 了 用 武 之 地 ， 代 码 审 计 可 以 以 白 加 黑 的 方 式 进 行 ， 审 计 效 率 可 以 提 升 很 多 。 在 我 们 代 码 审 计 无 法 触 及 之 处 ， 其 余 的 漏 洞 就 只 能 交 由 网 络 白 帽 子 来 进 行 发 现 了 。 安 全 众 测 安 全 众 测 众 测 是 最 近 几 年 火 起 来 的 ， 在 网 上 也 有 许 多 的 众 测 平 台 ， 在 这 些 平 台 上 ， 企 业 可 以 花 比 较 少 的 钱 就 能 把 W e b 安 全 做 的 上 个 大 的 档 次 。 由 于 人 的 精 力 和 攻 击 知 识 面 不 同 ， 在 企 业 内 部 代 码 审 计 和 渗 透 测 试 无 法 再 找 到 漏 洞 时 ， 拿 去 进 行 一 次 众 测 ， 不 出 意 外 的 话 ， 一 定 可 以 收 到 不 一 样 的 效 果 。 正 所 谓 “ 山 外 青 山 楼 外 楼 ” ， 白 帽 子 发 现 的 漏 洞 和 其 独 特 的 利 用 姿 势 可 以 作 为 W e b 产 品 安 全 的 完 善 方 向 。 而 对 于 比 较 小 型 的 网 站 来 说 ， 众 测 就 显 得 没 有 什 么 必 要 了 。 业 务 风 控 业 务 风 控 一 个 w e b 系 统 的 安 全 性 如 果 做 的 很 好 了 ， 常 规 漏 洞 一 般 是 不 会 出 现 的 ， 那 么 由 于 攻 击 手 法 的 不 确 定 性 ， 如 果 有 新 型 的 漏 洞 或 者 更 高 级 的 攻 击 手 法 出 现 ， 那 么 一 个 w e b 系 统 将 面 临 高 风 险 。 所 以 企 业 需 要 自 身 有 一 套 完 善 的 风 控 制 度 ， 一 旦 发 生 安 全 问 题 ， 能 够 在 第 一 时 间 以 最 快 速 度 解 决 问 题 ， 降 低 损 失 。 整 个 风 控 的 方 面 可 以 从 ： 社 会 影 响 、 内 部 影 响 、 经 济 损 失 等 方 面 着 手 ， 建 立 起 完 善 的 灾 备 恢 复 体 系 。 着 重 加 强 纵 深 防 御 ， 防 止 外 部 威 胁 扩 大 到 内 部 。 W e b 安 全 建 设 总 结 安 全 建 设 总 结 在 W e b 安 全 中 ， 攻 击 利 用 的 手 法 多 变 ， 它 不 像 系 统 漏 洞 那 样 ， 只 要 管 控 好 端 口 ， 那 么 远 程 攻 击 就 会 失 效 。 W e b 虽 然 简 单 ， 但 是 漏 洞 的 成 因 还 是 很 复 杂 的 ， 不 是 我 们 把 可 能 存 在 的 漏 洞 点 堵 上 就 能 没 事 的 ， 反 之 ， W e b 以 一 个 小 小 的 错 误 都 有 可 能 会 导 致 所 有 的 防 御 失 效 。 攻 击 者 攻 击 W e b 程 序 只 需 要 一 个 点 ， 而 防 御 者 却 需 要 防 御 的 是 整 个 面 ， 在 W e b 攻 防 中 ， 一 直 以 来 W e b 的 防 御 都 是 处 于 被 动 的 局 面 ， 企 业 想 要 改 变 这 一 局 面 ， 只 能 是 任 重 而 道 远 。 鉴 于 W e b 漏 洞 防 御 和 漏 洞 成 因 的 复 杂 性 ， W e b 安 全 建 设 不 是 本 篇 文 章 能 够 说 的 清 的 ， 也 不 是 企 业 把 握 好 文 章 中 的 几 个 点 就 能 把 W e b 安 全 建 设 的 好 的 ， 这 样 的 话 只 能 说 笔 者 站 着 说 话 不 嫌 腰 疼 了 。 W e b 安 全 的 体 系 建 设 不 仅 仅 是 安 全 漏 洞 的 管 控 ， 当 然 还 包 括 了 其 他 的 方 方 面 面 ， 攻 击 者 可 能 利 用 合 法 的 网 站 功 能 来 干 一 些 不 可 描 述 的 事 情 ， 如 果 W e b 安 全 的 建 设 是 很 简 单 的 话 ， 就 不 会 出 现 众 多 安 全 专 家 都 头 疼 的 事 情 了 。 所 以 ， 具 体 的 W e b 安 全 建 设 各 个 企 业 不 同 ， 所 属 业 务 不 同 ， 自 然 所 做 的 建 设 方 案 也 会 有 所 不 同 ， 能 够 建 设 起 来 非 常 棒 的 W e b 安 全 体 系 ， 企 业
都 是 经 过 了 众 多 实 践 积 累 下 来 的 经 验 。 不 过 ， 对 于 W e b 防 御 重 要 的 几 个 点 ， 倒 还 是 比 较 通 用 的 。 权 限 问 题 权 限 在 W e b 安 全 中 是 很 重 要 的 ， 因 为 攻 击 者 有 了 操 控 站 点 的 权 限 后 ， 就 会 想 方 设 法 的 拿 到 服 务 器 的 权 限 ， 进 而 完 成 更 深 入 的 渗 透 。 权 限 的 管 控 在 于 当 前 业 务 所 属 类 型 决 定 ， 权 限 分 制 能 够 让 权 限 得 到 更 好 的 管 控 。 主 动 防 御 问 题 主 动 防 御 就 是 一 些 W A F 等 审 计 系 统 了 ， 主 动 防 御 不 是 万 能 的 ， 使 用 不 当 还 可 能 会 对 自 身 业 务 产 生 影 响 ， 主 动 防 御 会 被 绕 过 的 几 率 还 是 有 的 。 监 控 问 题 监 控 这 一 部 分 是 比 较 难 的 点 ， 因 为 由 于 攻 击 手 法 的 不 确 定 性 ， 监 控 规 则 不 够 灵 活 等 方 面 ， 造 成 了 监 控 可 能 会 有 遗 漏 的 地 方 。 代 码 安 全 审 计 问 题 代 码 的 安 全 审 计 是 W e b 安 全 之 根 本 ， 如 果 没 有 审 计 过 的 程 序 上 线 的 话 ， 可 能 存 在 的 高 风 险 就 会 比 审 计 过 的 程 序 多 ， 所 以 ， 代 码 审 计 是 W e b 程 序 正 式 发 布 版 本 前 的 必 要 工 作 。 来 源 ： h t t p : / / i m o s i n . c o m 作 者 ： m o s i n 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理