搜索

[21794] 2021-03-20_Web安全常见漏洞修复建议

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-03-20_Web安全常见漏洞修复建议 W e b 安 全 常 见 漏 洞 修 复 建 议 L e m o n S e c   2 0 2 1 - 0 3 - 2 0 转 载 地 址 ： h t t p s : / / s e c u r i t y . p i n g a n . c o m / b l o g / 1 7 . h t m l S Q L 注 入 注 入 在 服 务 器 端 要 对 所 有 的 输 入 数 据 验 证 有 效 性 。 在 处 理 输 入 之 前 ， 验 证 所 有 客 户 端 提 供 的 数 据 ， 包 括 所 有 的 参 数 、 U R L 和 H T T P 头 的 内 容 。 验 证 输 入 数 据 的 类 型 、 长 度 和 合 法 的 取 值 范 围 。 使 用 白 名 单 验 证 允 许 的 输 入 字 符 而 不 是 黑 名 单 。 在 危 险 字 符 输 入 后 进 行 转 义 或 编 码 。 明 确 所 有 输 入 正 确 的 字 符 集 。 不 使 用 动 态 拼 接 的 S Q L 语 句 ， 如 果 使 用 对 特 殊 字 符 进 行 转 义 。 设 置 最 小 权 限 运 行 程 序 O S 命 令 注 入 命 令 注 入 不 仅 要 在 客 户 端 过 滤 ， 也 要 在 服 务 器 端 过 滤 。 要 用 最 小 权 限 去 运 行 程 序 ， 不 要 给 予 程 序 多 余 的 权 限 ， 最 好 只 允 许 在 特 定 的 路 径 下 运 行 ， 可 以 通 过 使 用 明 确 运 行 命 令 。 在 程 序 执 行 出 错 时 ， 不 要 显 示 与 内 部 实 现 相 关 的 细 节 。 如 果 只 允 许 运 行 有 限 的 命 令 、 使 用 白 名 单 方 式 过 滤 。 对 于 需 要 运 行 命 令 的 请 求 ， 尽 可 能 减 小 需 要 从 外 部 输 入 的 数 据 。 比 如 ： 传 参 数 的 地 方 不 要 传 命 令 行 。 有 下 载 文 件 ， 给 文 件 分 配 一 个 I D 号 来 访 问 文 件 ， 拒 绝 文 件 名 访 问 。 如 果 需 要 用 文 件 名 ， 严 格 检 测 文 件 的 合 法 性 。 X P a t h 注 入 注 入 在 服 务 器 端 开 始 处 理 用 户 提 交 的 请 求 数 据 之 前 ， 对 输 入 的 数 据 进 行 验 证 ， 验 证 每 一 个 参 数 的 类 型 、 长 度 和 格 式 。 对 于 系 统 出 现 的 错 误 信 息 ， 以 I E 错 误 编 码 信 息 替 换 ， 屏 蔽 系 统 本 书 的 出 错 信 息 ， 这 样 可 以 向 攻 击 者 提 供 更 少 的 信 息 进 行 下 一 步 注 入 攻 击 。 检 查 是 否 有 特 殊 字 符 ， 如 果 有 特 殊 字 符   ， 就 转 义 特 殊 字 符 或 者 替 换 。 例 ： 单 引 号 、 双 音 哈 都 转 义 或 者 替 换 。 X P a t h 查 询 参 数 化 ， 编 译 构 建 X P a t h 表 达 式 ， 将 数 据 输 入 以   变 量 形 式   传 递 。 敏 感 信 息 如 密 码 之 类 ， 使 用 哈 希 值 较 长 的 算 法 处 理 。 L D A P 注 入 注 入 使 用 转 义 特 殊 字 符 和 白 名 单 来 验 证 输 入 。 J S O N 注 入 注 入 在 特 殊 字 符 前 加 反 斜 杠 ( ) 进 行 转 义 使 用 J a v a s c r i p t 编 码 使 用 H T M L 编 码
X S S 在 输 入 过 滤 ， 在 显 示 的 地 方 做 输 出 编 码 。 使 用 一 个 统 一 的 规 则 做 输 出 编 码 富 文 本 框 ， 使 用 白 名 单 控 制 输 入 。 使 用 H T T P O n l y 标 志 C S R F 重 要 功 能 增 加 确 认 操 作 或 重 新 认 证 ， 例 如 支 付 交 易 、 修 改 手 机 号 码 等 加 验 证 码 每 个 会 话 中 使 用 强 随 机 令 牌 （ t o k e n ） 来 保 护 。 检 验 H T T P   R e f e r e r 会 话 攻 击 会 话 攻 击 采 用 强 算 法 生 成 会 话 I D ， 会 话 I D 必 须 具 有 随 机 性 和 不 可 预 测 性 ， 长 度 至 少 为 1 2 8 位 。 设 定 会 话 过 期 时 间 ， 如 ： 在 一 定 时 间 内 没 有 与 应 用 交 互 ， 设 定 在 登 录 一 定 时 间 内 要 重 新 输 入 验 证 用 户 名 密 码 ， 如 一 天 等 。 设 置 好 C o o k i e 的 两 个 属 性 ： s e c u r e 和 H t t p O n l y 来 防 御 嗅 探 和 阻 止 J S 操 作 。 身 份 认 证 身 份 认 证 在 用 户 注 册 时 强 制 用 户 输 入 较 高 强 度 密 码 、 登 录 认 证 错 误 信 息 显 示 登 录 失 败 ， 用 户 名 或   密 码 错 误 。 防 止 撞 库 等 攻 击 ， 应 该 登 录 三 次 失 败 后 下 一 次 登 录 以 5 秒 倍 数 ， 4 次 登 录 失 败 ， 让 用 户 输 入 验 证 码 。 如 果 每 分 钟 进 行 几 十 次 尝 试 登 录 ， 应 该 被 阻 止 一 段 时 间 （ 如 2 0 分 钟 ） ， 给 出 清 楚 明 白 的 信 息 ， 说 明 为 什 么 会 阻 止 登 录 一 段 时 间 。 使 用 H T T P S 请 求 传 输 身 份 验 证 和 密 码 、 身 份 证 、 手 机 号 码 ， 邮 箱 等 数 据 。 当 密 码 重 置 时 ， 以 短 信 方 式 通 知 用 户 用 户 账 号 上 次 使 用 信 息 在 下 一 次 成 功 登 陆 时 向 用 户 报 告 。 在 执 行 关 键 操 作 （ 如 ： 修 改 登 录 密 码 、 支 付 密 码 、 邮 箱 、 手 机 号 码 等 ） 使 用 多 因 子 身 份 验 证 。 直 接 对 象 引 用 直 接 对 象 引 用 使 用 的 唯 一 标 识 可 以 通 过 随 机 数 生 成 以 难 以 猜 测 。 在 进 行 页 面 显 示 或 做 处 理 之 前 对 用 户 权 限 进 行 检 查 。 权 限 信 息 保 存 在 s e s s i o n 中 。 T o m c a t 安 全 配 置 安 全 配 置 T o m c a t 以 没 有 特 权 的 用 户 账 户 和 组 运 行 ， 没 有 执 行 交 互 s h e l l 命 令 权 限 。 T o m c a t 运 行 的 版 本 必 须 打 了 所 有 安 全 补 丁 的 版 本 。 T o m c a t 默 认 的 例 子 相 关 路 径 和 文 件 必 须 删 除 。 T o m c a t 管 理 员 默 认 密 码 必 须 被 修 改 成 复 杂 密 码 。 页 面 出 现 信 息 不 能 显 示 T o m c a t 的 版 本 信 息 和 系 统 信 息 。 T o m c a t 配 置 文 件 执 启 用 安 全 的 h t t p 方 法 ， 如 ： G E T   P O S T 。
应 用 程 序 和 管 理 程 序 使 用 不 同 的 端 口 。 部 署 前 删 除 测 试 代 码 文 件 。 删 除 无 用 的 文 件 如 ： 备 份 文 件 、 临 时 文 件 等 。 配 置 文 件 中 没 有 默 认 用 户 和 密 码 。 不 要 在 r o b o t . t x t 中 泄 露 目 录 结 构 。 A p a c h e 安 全 配 置 安 全 配 置 选 择 漏 洞 较 少 的 a p a c h e 版 本 。 隐 藏 A p a c h e 版 本 号 。 删 除 A p a c h e 欢 迎 页 面 。 配 置 只 允 许 访 问 A p a c h e 的 W e b 目 录 应 用 程 序 和 管 理 程 序 使 用 不 同 的 端 口 。 管 理 额 控 制 台 必 须 使 用 S S L 协 议 。 部 署 前 删 除 测 试 代 码 文 件 。 删 除 无 用 的 文 件 如 ： 备 份 文 件 、 临 时 文 件 等 。 配 置 文 件 中 没 有 默 认 用 户 和 密 码 。 不 要 在 r o b o t . t x t 中 泄 露 目 录 结 构 。 数 据 库 通 用 配 置 数 据 库 通 用 配 置 修 改 数 据 库 默 认 用 户 名 和 密 码 。 数 据 库 用 户 的 密 码 要 符 合 一 定 的 复 杂 度 。 访 问 数 据 库 的 用 户 要 赋 予 所 需 要 的 最 小 权 限 。 启 动 应 用 的 系 统 用 户 必 须 是 专 用 的 ， 没 有 系 统 级 别 权 限 的 用 户 和 组 。 绕 过 认 证 绕 过 认 证 对 登 录 后 可 以 访 问 的 U R L 做 是 否 登 录 检 查 ， 如 果 没 有 登 录 将 跳 转 到 登 录 页 面 。 对 于 敏 感 信 息 的 请 求 如 登 录 时 、 修 改 密 码 等 请 求 一 定 要 用 H T T P S 协 议 。 越 权 访 问 越 权 访 问 验 证 一 切 来 自 客 户 端 的 参 数 ， 重 点 是 和 权 限 相 关 的 参 数 ， 比 如 用 户 I D 或 者 角 色 权 限 I D 等 。 s e s s i o n   I D   和 认 证 的 t o k e n 做 绑 定 ， 放 在 服 务 器 的 会 话 里 ， 不 发 送 给 客 户 端 。 对 于 用 户 登 录 后 涉 及 用 户 唯 一 信 息 的 请 求 ， 每 次 都 要 验 证 检 查 所 有 权 ， 敏 感 信 息 页 面 加 随 机 数 的 参 数 ， 防 止 浏 览 器 缓 存 内 容 。 把 程 序 分 成 匿 名 ， 授 权 和 管 理 的 区 域 ， 通 过 将 角 色 和 数 据 功 能 匹 配 。 不 适 用 参 数 来 区 分 管 理 员 和 普 通 用 户 。 文 件 上 传 文 件 上 传 上 传 的 路 径 要 限 制 在 固 定 路 径 下 。 上 传 文 件 路 径 只 给 只 读 和 写 权 限 ， 不 需 要 执 行 权 限 。 服 务 端 文 件 类 型 要 使 用 白 名 单 过 滤 ， 后 台 不 应 有 添 加 扩 展 名 类 型 功 能 ； 通 过 配 置 文 件 添 加 文 件 类 型 。
文 件 上 传 使 用 自 己 的 命 名 规 则 重 新 命 名 上 传 的 文 件 。 文 件 目 录 遍 历 下 载 文 件 目 录 遍 历 下 载 使 用 I D 替 换 文 件 夹 和 文 件 名 。 网 站 重 定 向 或 转 发 网 站 重 定 向 或 转 发 验 证 重 定 向 的 U R L 。 使 用 白 名 单 验 证 重 定 向 目 标 。 网 站 内 重 定 向 使 用 相 对 路 径 U R L 。 重 定 向 或 者 转 发 之 前 ， 要 验 证 用 户 是 否 有 权 限 访 问 目 标 U R L 。 业 务 逻 辑 漏 洞 业 务 逻 辑 漏 洞 应 用 系 统 必 须 确 保 所 有 输 入 和 传 递 的 时 候 必 须 经 过 有 效 验 证 ， 不 仅 仅 是 在 刚 进 入 应 用 系 统 的 时 候 进 行 数 据 验 证 。 应 用 程 序 应 该 有 检 查 功 能 ， 避 免 攻 击 者 可 以 通 过 预 测 、 操 作 参 数 或 者 利 用 隐 藏 的 功 能 （ 例 如 调 试 ） 来 阻 碍 操 作 或 者 改 变 业 务 逻 辑 工 作 流 程 。 应 用 需 要 对 输 入 进 行 检 查 ， 不 允 许 用 户 直 接 提 交 未 经 过 验 证 的 数 据 到 服 务 器 ， 因 为 这 些 数 据 来 不 可 编 辑 的 控 件 ， 或 者 用 户 没 有 前 端 提 交 的 权 限 ， 任 何 可 编 辑 控 件 必 须 有 阻 止 恶 意 的 写 入 或 修 改 的 功 能 。 开 发 应 用 的 时 候 需 要 注 意 时 间 处 理 问 题 。 攻 击 者 可 以 简 单 地 通 过 了 解 不 同 的 处 理 时 间 、 结 果 来 获 取 一 些 参 数 ， 所 以 虽 然 他 们 提 交 的 结 果 也 在 相 同 的 时 间 ， 符 合 规 则 ， 但 却 添 加 了 其 他 步 骤 或 者 处 理 。 应 用 程 序 需 要 有 阻 止 攻 击 者 通 过 延 长 允 许 的 交 易 时 间 的 功 能 ， 这 种 情 况 可 以 在 操 作 超 过 规 定 的 时 间 后 通 过 取 消 或 者 重 置 交 易 。 应 用 程 序 需 要 能 够 过 滤 检 测 的 业 务 逻 辑 ： 当 一 个 功 能 或 者 操 作 只 允 许 被 执 行 有 限 的 几 次   或 者 用 户 不 再 能 够 执 行 这 个 功 能 的 时 候 ， 应 用 需 要 能 够 检 测 出 来 。 为 了 阻 止 用 户 过 多 次 的 执 行 某 个 功 能 ，   应 用 程 序 可 以 通 过 类 似 缓 存 这 种 机 制 来 控 制 ， 或 者 使 用 不 允 许 用 户 过 多 次 执 行 功 能 的 机 制 。 应 有 用 户 正 确 的 按 照 业 务 流 程 来 完 成 每 一 个 步 骤 的 检 测 机 制 ， 这 样 可 以 阻 止 黑 客 在 业 务 流 程 中 通 过 跳 过 、 绕 过 、 重 复 任 何 业 务 流 程 中 的 工 序 检 查 。 开 发 这 部 分 业 务 逻 辑 的 时 候 应 该 测 试 一 些 无 用 或 者 误 用 的 测 试 用 例 ， 当 没 有 按 照 正 确 的 顺 序 完 成 正 确 的 步 骤 的 时 候 ， 就 不 能 成 功 完 成 业 务 流 程 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理