搜索

[22106] 2021-06-26_攻防演练中的业务逻辑漏洞及检测思路

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-06-26_攻防演练中的业务逻辑漏洞及检测思路 攻 防 演 练 中 的 业 务 逻 辑 漏 洞 及 检 测 思 路 绿 盟 技 术 博 客   L e m o n S e c   2 0 2 1 - 0 6 - 2 6 随 着 各 类 前 后 端 框 架 的 成 熟 和 完 善 ， 传 统 的 S Q L 注 入 、 X S S 等 常 规 漏 洞 在 W e b 系 统 里 逐 步 减 少 ， 而 攻 击 者 更 倾 向 于 使 用 业 务 逻 辑 漏 洞 来 进 行 突 破 。 业 务 逻 辑 漏 洞 ， 具 有 攻 击 特 征 少 、 自 动 化 脆 弱 性 工 具 无 法 扫 出 等 特 点 ， 也 为 检 测 和 软 件 的 安 全 性 保 障 带 来 了 一 定 的 难 度 。 本 文 介 绍 了 业 务 逻 辑 漏 洞 的 特 征 并 列 举 了 一 些 常 见 的 业 务 逻 辑 漏 洞 ， 同 时 介 绍 了 如 何 使 用 行 为 分 析 模 型 对 于 业 务 逻 辑 漏 洞 来 进 行 检 测 ， 以 及 如 何 使 用 应 用 程 序 威 胁 建 模 过 程 规 范 软 件 开 发 流 程 避 免 在 系 统 里 出 现 业 务 逻 辑 漏 洞 。 一 、 什 么 是 业 务 逻 辑 漏 洞 什 么 是 业 务 逻 辑 漏 洞 所 有 W e b 应 用 程 序 都 是 通 过 代 码 逻 辑 实 现 各 种 功 能 。 即 使 一 个 简 单 的 W e b 应 用 程 序 ， 都 可 能 包 含 着 数 目 庞 大 的 逻 辑 操 作 。 这 些 逻 辑 就 是 一 个 复 杂 的 攻 击 面 ， 但 是 它 却 常 常 被 忽 略 。 许 多 自 动 化 的 扫 描 工 具 或 者 代 码 审 计 工 具 ， 都 只 能 扫 出 类 似 S Q L 注 入 、 X S S 等 常 规 的 漏 洞 ， 因 为 它 们 相 比 于 业 务 逻 辑 漏 洞 而 言 具 有 更 加 显 著 的 攻 击 特 征 。 业 务 逻 辑 漏 洞 产 生 的 最 核 心 原 因 ， 就 是 在 编 写 程 序 时 ， 只 考 虑 了 常 规 的 操 作 流 程 ， 即 “ 当 在 A 情 况 下 ， 就 会 出 现 B ， 此 时 执 行 C 即 可 ” ， 但 是 开 发 者 却 没 有 考 虑 当 用 户 执 行 了 意 料 之 外 的 X 时 会 发 生 什 么 。 这 种 对 于 异 常 情 况 的 欠 考 虑 ， 最 终 导 致 了 安 全 漏 洞 的 产 生 。 应 用 中 的 缺 陷 通 常 分 为 两 种 类 型 ： 在 不 同 的 应 用 中 有 相 同 的 特 征 与 应 用 程 序 / 业 务 领 域 严 格 相 关 其 中 第 一 种 类 型 的 缺 陷 ， 就 是 类 似 S Q L 注 入 、 X S S 之 类 的 常 规 漏 洞 。 这 一 类 漏 洞 的 产 生 ， 主 要 是 因 为 应 用 程 序 依 赖 用 户 的 输 入 来 执 行 某 些 重 要 的 功 能 ， 但 是 在 用 户 输 入 了 一 些 非 法 字 符 时 ， 应 用 程 序 又 未 能 对 于 这 些 输 入 进 行 充 分 的 校 验 和 预 处 理 。 而 第 二 种 类 型 的 缺 陷 ， 则 是 指 的 业 务 逻 辑 漏 洞 。 它 是 由 错 误 的 应 用 程 序 逻 辑 造 成 的 。 业 务 逻 辑 缺 陷 允 许 攻 击 者 通 过 绕 过 应 用 程 序 的 业 务 规 则 来 滥 用 应 用 程 序 。 这 些 攻 击 被 伪 装 成 语 法 上 有 效 的 W e b 请 求 ， 这 些 请 求 带 有 恶 意 意 图 来 违 反 预 期 的 应 用 程 序 逻 辑 。 随 着 O R M 框 架 的 普 及 ， 以 及 新 一 代 前 端 框 架 如 A n g u l a r J S 、 V u e 等 的 流 行 ， 常 规 的 S Q L 注 入 、 X S S 等 漏 洞 在 实 际 的 业 务 系 统 中 越 来 越 趋 于 少 见 。 而 在 攻 防 演 练 过 程 中 ， 可 以 用 于 突 破 系 统 的 漏 洞 往 往 集 中 于 在 业 务 逻 辑 实 现 层 面 的 漏 洞 上 。 二 、 业 务 逻 辑 漏 洞 实 际 案 例 笔 者 现 总 结 一 下 常 见 的 业 务 逻 辑 漏 洞 以 及 它 们 产 生 的 原 因 ， 并 简 单 介 绍 一 下 当 使 用 这 些 业 务 逻 辑 进 行 攻 击 时 可 以 用 什 么 样 的 方 式 来 进 行 检 测 。 2 . 1   越 权 访 问
2 . 1 . 1   现 象 所 谓 越 权 访 问 ， 即 用 户 A 访 问 到 了 自 己 本 没 有 权 限 访 问 到 的 页 面 或 者 接 口 。 越 权 又 分 为 水 平 越 权 和 垂 直 越 权 ： 水 平 越 权 ： 水 平 越 权 ： 即 用 户 A 和 用 户 B 属 于 同 一 个 权 限 组 ， 水 平 越 权 就 是 用 户 A 可 以 看 到 用 户 B 才 可 以 看 到 的 一 些 内 容 。 一 个 简 单 的 例 子 ， 就 是 保 单 管 理 系 统 中 ， 每 个 人 都 只 可 以 看 到 自 己 的 保 单 ， 如 果 出 现 用 户 A 可 以 查 看 到 用 户 B 的 保 单 的 现 象 ， 此 时 就 发 生 了 水 平 越 权 。 图 1   红 线 处 即 为 水 平 越 权 垂 直 越 权 ： 垂 直 越 权 ： 即 用 户 A 和 用 户 B 属 于 不 同 的 权 限 组 ， 如 用 户 A 属 于 普 通 用 户 权 限 组 ， 而 用 户 B 属 于 管 理 员 权 限 组 ， 垂 直 越 权 就 是 用 户 A 可 以 看 到 用 户 B 才 可 以 看 到 的 内 容 。 一 个 简 单 的 例 子 ， 用 户 A 可 以 看 到 通 讯 录 界 面 ， 用 户 B 可 以 看 到 通 讯 录 和 用 户 管 理 的 界 面 （ 其 中 用 户 管 理 界 面 可 以 看 到 用 户 密 码 ） 。 如 果 用 户 A 修 改 一 下 请 求 的 U R L 即 可 以 看 到 作 为 管 理 员 才 可 已 看 到 的 全 部 用 户 密 码 ， 此 时 就 发 生 了 垂 直 越 权 。 图 2   红 线 处 即 为 垂 直 越 权
2 . 1 . 2   检 测 思 路 检 测 思 路 出 现 越 权 访 问 漏 洞 的 主 要 原 因 ， 是 因 为 开 发 人 员 只 是 在 前 端 界 面 进 行 了 简 单 的 菜 单 隐 藏 ， 而 没 有 用 统 一 的 服 务 端 拦 截 器 / 中 间 件 对 于 全 部 U R L 请 求 进 行 权 限 判 断 。 这 样 ， 攻 击 者 只 需 要 在 浏 览 器 或 者 B u r p S u i t e 之 类 的 攻 击 工 具 中 ， 发 出 对 于 指 定 U R L 的 请 求 ， 即 可 以 实 现 对 于 特 定 接 口 的 越 权 访 问 。 越 权 访 问 请 求 ， 本 身 是 不 具 有 攻 击 特 征 的 ， 如 果 要 进 行 检 测 ， 需 要 采 取 U E B A 的 检 测 思 路 。 假 设 对 于 独 立 的 用 户 A 在 时 间 间 隔 N 内 的 W e b 访 问 行 为 进 行 刻 画 ， 即 可 以 得 到 他 惯 常 访 问 的 U R L 合 集 ： 图 3   用 户 A 及 用 户 A 的 惯 常 访 问 U R L 合 集 如 果 将 用 户 A 与 他 所 属 的 权 限 组 / 不 同 权 限 组 用 户 群 体 的 惯 常 访 问 U R L 合 集 进 行 比 对 ， 可 以 发 现 有 些 U R L 是 多 个 用 户 都 会 访 问 的 ， 而 有 的 U R L （ 或 者 请 求 中 含 有 的 特 定 的 参 数 ） 是 各 个 用 户 访 问 时 都 存 在 差 异 的 。 这 类 具 有 差 异 性 的 U R L 即 为 敏 感 U R L 。 当 用 户 A 访 问 了 不 在 惯 常 访 问 U R L 合 集 内 的 U R L ， 且 此 U R L 为 敏 感 U R L ， 即 可 以 判 定 为 发 生 了 越 权 访 问 。
图 4   水 平 越 权 和 垂 直 越 权 的 判 定 2 . 2   C o o k i e 提 权 提 权 2 . 2 . 1   现 象 由 于 本 身 H T T P 请 求 是 无 状 态 的 ， 所 以 为 了 可 以 记 录 用 户 的 登 录 状 态 ， W e b 站 点 通 常 在 C o o k i e 中 记 录 S e s s i o n I d 来 实 现 对 于 用 户 登 录 状 态 的 识 别 。 但 是 ， 有 的 W e b 站 点 的 开 发 者 ， 除 了 在 C o o k i e 里 记 录 S e s s i o n I d 外 ， 还 记 录 了 该 用 户 的 权 限 。 后 续 在 做 用 户 的 权 限 判 定 时 ， 都 直 接 从 C o o k i e 里 取 值 判 定 一 个 用 户 是 普 通 用 户 还 是 管 理 员 。 由 于 C o o k i e 本 身 在 浏 览 器 侧 是 可 以 手 动 修 改 的 ， 这 样 攻 击 者 一 旦 修 改 了 C o o k i e 里 记 录 的 权 限 值 ， 即 可 以 将 一 个 普 通 用 户 提
权 为 该 W e b 站 点 的 管 理 员 。 如 下 ， 就 是 一 个 站 点 在 C o o k i e 里 使 用 w e b s i t e s u p e r i d 判 定 是 普 通 用 户 （ 值 为 0 ） 还 是 管 理 员 （ 值 为 1 ） 。 这 样 ， 当 将 该 值 修 改 为 1 后 ， 即 可 以 实 现 对 于 登 录 用 户 的 提 权 ， 从 而 看 到 站 点 内 只 有 管 理 员 才 可 以 看 到 的 相 关 菜 单 ： 图 5   修 改 c o o k i e 内 的 权 限 字 段 进 行 提 权 2 . 2 . 2   检 测 思 路 此 种 攻 击 主 要 是 针 对 C o o k i e 内 的 参 数 进 行 修 改 ， 达 到 提 权 的 目 的 。 与 针 对 C o o k i e 的 S Q L 注 入 、 X S S 攻 击 不 同 的 是 ， 攻 击 者 虽 然 也 存 在 针 对 C o o k i e 内 参 数 的 修 改 行 为 ， 但 是 所 输 入 的 值 却 不 存 在 攻 击 特 征 。 针 对 C o o k i e 提 权 攻 击 ， 我 们 可 以 基 于 C o o k i e 参 数 对 于 返 回 内 容 的 影 响 进 行 检 测 ： 提 取 历 史 时 间 段 ， 一 个 用 户 在 一 个 W e b 站 点 访 问 一 个 U R L 的 C o o k i e 参 数 C o o k i e 参 数 内 值 不 变 的 部 分 为 观 察 对 象 当 在 历 史 时 间 内 为 定 值 的 C o o k i e 在 实 时 流 量 中 出 现 了 变 化 ， 且 影 响 了 返 回 内 容 ， 则 表 明 存 在 C o o k i e 提 权 攻 击 在 检 测 C o o k i e 参 数 对 于 返 回 内 容 的 影 响 时 ， 主 要 是 需 要 监 测 返 回 内 容 中 菜 单 的 变 化 情 况 。 而 一 般 菜 单 在 页 面 开 发 的 过 程 中 ， 标 签 的 c l a s s 属 性 都 会 带 上 m e n u 关 键 字 ， 可 以 基 于 此 关 键 字 识 别 返 回 的 D O M 结 构 里 的 菜 单 标 签 及 其 内 容 ， 并 监 测 C o o k i e 参 数 对 于 它 的 影 响 。
图 6   识 别 D O M 结 构 里 的 菜 单 标 签 2 . 3   验 证 码 更 新 逻 辑 绕 过 导 致 可 暴 破 验 证 码 更 新 逻 辑 绕 过 导 致 可 暴 破 2 . 3 . 1   现 象 为 了 防 止 登 录 界 面 被 暴 力 破 解 ， 很 多 W e b 站 点 都 增 加 了 验 证 码 。 有 很 多 W e b 站 点 的 验 证 码 刷 新 逻 辑 如 下 ：
图 7   存 在 漏 洞 的 验 证 码 刷 新 逻 辑 乍 一 看 ， 按 照 上 图 所 示 的 验 证 码 校 验 与 刷 新 逻 辑 仿 佛 没 有 问 题 。 但 其 实 ， 攻 击 者 通 过 工 具 或 者 脚 本 直 接 调 用 红 框 里 的 用 户 名 密 码 校 验 接 口 ， 就 绕 过 了 验 证 码 的 校 验 和 刷 新 逻 辑 ， 即 可 以 对 于 登 录 接 口 进 行 暴 力 破 解 。 在 这 种 场 景 下 ， 验 证 码 虽 然 在 界 面 存 在 ， 但 实 际 并 未 起 到 可 以 防 范 暴 力 破 解 攻 击 的 效 用 。 2 . 3 . 2   检 测 思 路 检 测 思 路
在 绕 过 验 证 码 暴 力 破 解 登 录 界 面 的 攻 击 行 为 中 ， 我 们 有 2 种 方 法 进 行 检 测 ： 检 测 登 录 接 口 的 暴 力 破 解 行 为 检 测 绕 过 验 证 码 校 验 的 异 常 访 问 行 为 2 . 3 . 2 . 1   检 测 登 录 接 口 的 暴 力 破 解 行 为 检 测 登 录 接 口 的 暴 力 破 解 行 为 ， 最 核 心 的 就 是 从 W e b 站 点 的 访 问 日 志 中 ， 识 别 出 哪 个 U R L 是 登 录 接 口 。 我 们 可 以 定 义 用 户 名 / 密 码 参 数 字 典 ， 例 如 用 户 名 在 H T T P 请 求 中 的 参 数 名 通 常 为 u s e r n a m e , u n a m e ， 而 密 码 在 H T T P 请 求 中 的 参 数 名 通 常 为 p a s s w o r d , p w d 。 当 一 个 W e b 访 问 请 求 的 G E T 参 数 或 者 P O S T 参 数 里 包 含 用 户 名 / 密 码 参 数 字 典 里 的 字 符 串 ， 则 认 为 该 接 口 为 登 录 接 口 。 一 个 源 I P （ 如 果 攻 击 者 挂 了 代 理 ， 可 以 使 用 X - F o r w a r d - F o r 字 段 里 记 录 的 真 实 I P 代 替 ） ， 在 短 时 间 内 对 于 一 个 站 点 的 登 录 接 口 发 出 大 量 的 请 求 ， 且 用 户 名 / 密 码 的 参 数 的 值 在 不 断 变 化 ， 则 可 以 判 定 为 在 对 于 此 登 录 接 口 进 行 暴 力 破 解 。 2 . 3 . 2 . 2   检 测 绕 过 验 证 码 校 验 的 异 常 访 问 行 为 检 测 绕 过 验 证 码 校 验 的 异 常 访 问 行 为 检 测 绕 过 验 证 码 校 验 的 异 常 访 问 行 为 ， 可 以 基 于 访 问 图 基 线 进 行 实 现 。 通 过 采 集 N 天 的 W e b 访 问 日 志 ， 我 们 可 以 对 于 一 个 站 点 的 访 问 行 为 ， 以 及 在 各 个 页 面 的 跳 转 关 系 ( r e f e r e r , u r i 以 及 u r l 访 问 的 先 后 顺 序 以 及 时 间 间 隔 ) 绘 制 出 访 问 图 基 线 ：
图 8   基 于 图 基 线 检 测 绕 过 验 证 码 校 验 如 图 8 所 示 ， 在 历 史 的 图 基 线 中 ， 我 们 发 现 通 常 的 访 问 顺 序 都 是 ：
验 证 码 校 验 u r l - > 登 录 校 验 u r l - > 验 证 码 刷 新 u r l 如 果 突 然 出 现 了 在 图 基 线 中 并 不 存 在 的 边 ， 如 图 所 示 即 用 户 直 接 访 问 登 录 校 验 u r l 的 行 为 ， 则 认 为 属 于 发 生 异 常 访 问 行 为 。 具 体 到 这 个 例 子 ， 即 为 绕 过 验 证 码 校 验 的 异 常 登 录 行 为 。 从 上 面 的 几 个 例 子 中 可 以 看 出 来 ， 基 于 业 务 逻 辑 漏 洞 的 攻 击 通 常 都 没 有 或 者 只 有 较 少 的 攻 击 特 征 。 随 着 攻 击 者 手 法 的 丰 富 多 样 化 ， 防 守 方 不 能 只 专 注 于 基 于 攻 击 特 征 的 检 测 方 式 ， 只 有 将 基 于 攻 击 的 检 测 方 式 与 基 于 异 常 行 为 的 检 测 方 式 结 合 起 来 ， 才 能 让 自 己 更 好 的 在 未 来 的 安 全 运 营 过 程 中 发 现 威 胁 。 三 、 如 何 避 免 系 统 存 在 业 务 逻 辑 漏 洞 O W A S P 在 描 述 业 务 逻 辑 漏 洞 时 指 出 它 虽 然 不 如 O W A S P   T O P 1 0 中 的 漏 洞 那 样 常 见 ， 但 也 依 旧 在 许 多 重 要 的 业 务 系 统 中 存 在 。 然 而 业 务 逻 辑 漏 洞 属 于 无 法 自 动 扫 描 出 的 漏 洞 ， 我 们 该 如 何 避 免 系 统 中 出 现 业 务 逻 辑 漏 洞 呢 ？ O W A S P 指 出 可 以 使 用 应 用 程 序 威 胁 建 模 过 程 来 避 免 系 统 中 出 现 业 务 逻 辑 漏 洞 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理