搜索

[233] 2018-07-30_渗透测试业务逻辑之登录认证模块测试

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2018-07-30_渗透测试业务逻辑之登录认证模块测试 渗 透 测 试 业 务 逻 辑 之 登 录 认 证 模 块 测 试 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 8 - 0 7 - 3 0 0 x 0 0 ： 前 言 ： 前 言 上 周 做 渗 透 ， 有 一 个 s q l 注 入 ， 负 责 安 全 审 核 的 人 给 开 发 说 你 们 的 程 序 既 然 还 有 s q l 注 入 ， 我 一 年 也 看 不 见 几 个 。 这 句 话 让 我 又 再 次 深 刻 的 认 识 到 ， 渗 透 测 试 常 规 的 一 些 注 入 跨 站 漏 洞 不 如 以 前 那 么 盛 了 ， 有 点 经 验 的 开 发 写 东 西 都 会 去 考 虑 到 了 ， 再 加 上 修 复 方 法 也 在 逐 渐 的 完 善 ， 逻 辑 类 的 东 西 也 应 该 并 重 的 去 测 。 0 x 0 1 ： 分 类 ： 分 类 我 把 逻 辑 类 的 问 题 大 概 总 结 了 一 下 ， 大 概 可 以 分 为 十 个 模 块 ， 分 别 是 登 录 认 证 模 块 测 试 、 业 务 办 理 模 块 测 试 、 业 务 授 权 访 问 模 块 测 试 、 输 入 / 输 出 模 块 测 试 、 回 退 模 块 测 试 、 验 证 码 机 制 测 试 、 业 务 数 据 安 全 测 试 、 业 务 流 程 乱 序 测 试 、 密 码 找 回 模 块 测 试 、 业 务 接 口 调 用 模 块 测 试 。 0 x 0 2 ： 登 录 认 证 模 块 测 试 ： 登 录 认 证 模 块 测 试 1 ， 暴 力 破 解 测 试 ， 暴 力 破 解 测 试 测 试 方 法 ： 例 如 登 录 ， 输 入 账 号 密 码 ， b u r p 拦 截 包 发 送 到 I n t r u d e r ， 把 系 统 变 量 的 $ 符 c l e a r 掉 ， 给 密 码 加 上 a d d ， 加 载 上 密 码 字 典 ， 根 据 返 回 的 长 度 或 者 r e s p o n s e 的 信 息 来 判 断 正 确 密 码 。 经 验 之 谈 ： 在 测 试 中 如 果 给 了 密 码 ， 例 如 a d m i n 8 8 8 ， 可 以 直 接 给 8 8 8 这 一 段 a d d ， 然 后 把 8 8 8 设 置 成 n u m b e r 从 1 1 1 加 到 9 9 9 来 测 ， 不 用 加 载 字 典 ， 只 要 确 定 可 以 暴 力 破 解 就 行 。 修 复 方 法 ： 一 、 增 加 验 证 码 ， 登 录 失 败 的 时 候 ， 变 换 验 证 码 。 （ 登 录 失 败 ， 验 证 码 不 变 不 算 。 验 证 码 工 具 可 识 别 不 算 。 ）
二 、 限 制 登 录 频 率 ， 例 如 ， 5 分 钟 内 登 录 失 败 次 数 超 过 1 0 次 则 锁 定 账 号 1 小 时 。 三 、 可 以 添 加 手 机 验 证 码 或 邮 箱 验 证 码 ， 实 现 双 重 验 证 。 2 ， 本 地 加 密 传 输 测 试 ， 本 地 加 密 传 输 测 试 测 试 方 法 ： 输 入 账 号 密 码 登 录 ， 拦 包 ， 查 看 包 信 息 ， 如 果 账 号 密 码 明 文 传 输 则 存 在 此 问 题 。 经 验 之 谈 ： 很 多 项 目 做 渗 透 的 时 候 都 会 先 在 公 司 内 网 测 ， 如 果 审 核 通 过 才 会 上 线 ， 这 时 肯 定 是 h t t p 传 输 。 我 之 前 测 这 块 时 ， 刚 开 始 会 提 一 下 ， 记 成 中 危 这 种 ， 但 后 来 很 多 开 发 反 应 上 线 都 是 h t t p s 环 境 ， 这 个 问 题 可 以 忽 略 ， 所 以 现 在 我 测 到 这 块 时 ， 会 把 程 度 改 成 风 险 提 示 。 这 个 到 底 怎 么 记 ， 视 公 司 而 定 。 修 复 方 法 ： 服 务 器 使 用 S S L 证 书 服 务 。 3 ， ， S e s s i o n 会 话 固 定 测 试 会 话 固 定 测 试 测 试 方 法 ： 登 录 账 号 成 功 后 记 录 下 S e s s i o n I D 的 值 ， 然 后 退 出 系 统 ， 再 次 登 录 ， 如 果 第 二 次 的 S e s s i o n I D 值 和 第 一 次 的 相 同 ， 则 存 在 此 问 题 。 修 复 方 法 ： 用 户 退 出 系 统 时 销 毁 其 S e s s i o n I D ， 客 户 端 登 录 时 重 新 生 成 S e s s i o n I D 。 4 ， ， S e s s i o n 会 话 注 销 测 试 会 话 注 销 测 试 测 试 方 法 ： 用 账 号 密 码 登 录 系 统 ， 记 录 其 S e s s i o n I D 的 值 ， 随 便 拦 截 一 个 登 录 后 才 可 以 发 送 成 功 的 请 求 ， 发 送 到 r e p e a t e r ， 然 后 退 出 系 统 ， 在 r e p e a t e r 栏 g o 一 下 ， 如 果 服 务 器 正 常 返 回 信 息 则 存 在 此 问 题 。 经 验 之 谈 ： 一 般 情 况 下 ， 如 果 存 在 S e s s i o n I D 固 定 会 话 的 问 题 ， 那 这 个 会 话 注 销 问 题 十 有 八 九 跑 不 了 。 修 复 方 法 ： 用 户 退 出 系 统 后 ， 服 务 器 及 时 销 毁 S e s s i o n 认 证 会 话 ， 并 清 空 浏 览 器 的 S e s s i o n 属 性 标 识 。 5 ， ， S e s s i o n 会 话 超 时 测 试 会 话 超 时 测 试 测 试 方 法 ： 用 账 号 密 码 登 录 系 统 ， 随 便 拦 截 一 个 登 陆 后 才 可 以 发 送 成 功 的 请 求 ， 发 送 到 r e p e a t e r ， 这 时 候 不 要 和 服 务 器 有 任 何 交 互 ， 停 一 段 时 间 ， 再 回 来 g o 一 下 ， 如 果 服 务 器 正 常 返 回 相 关 信 息 ， 则 存 在 此 问 题 。 经 验 之 谈 ： 这 个 停 一 段 时 间 是 多 久 ， 根 据 系 统 业 务 来 定 ， 我 觉 得 3 0 分 钟 足 矣 。 一 般 测 试 中 ， 会 经 常 和 服 务 器 交 互 ， 这 个 问 题 测 起 来 就 很 不 方 便 ， 我 一 般 把 这 个 问 题 放 到 饭 点 来 测 。 其 实 不 用 刻 意 的 去 测 ， 吃 完 饭 回 来 ， 去 r e p e a t e r 随 便 找 一 个 g o 一 下 ， 基 本 上 就 确 定 了 。 修 复 方 法 ： 系 统 要 配 置 会 话 的 生 命 周 期 ， 建 议 时 间 是 3 0 分 钟 ， 一 般 的 业 务 系 统 3 0 分 钟 即 可 ， 以 此 来 降 低 会 话 认 证 时 间 过 长 而 导 致 的 信 息 泄 露 风 险 。 6 ， ， C o o k i e 仿 冒 测 试 仿 冒 测 试 测 试 方 法 ： 使 用 一 个 账 号 登 录 ， 找 一 个 可 以 证 明 身 份 的 页 面 ， 例 如 首 页 的 欢 迎 x x x 或 者 是 个 人 中 心 显 示 昵 称 的 地 方 ， 刷 新 该 页 面 拦 截 请 求 ， 观 察 C o o k i e 中 的 字 段 和 值 ， 例 如 u s e r i d = x x x ， 把 x x x 改 成 a d m i n ， f o r w o r d 放 行 ， 页 面 显 示 a d m i n 的 信 息 ， 则 存 在 此 问 题 。 修 复 方 法 ： 对 于 客 户 端 标 识 的 用 户 信 息 ， 使 用 S e s s i o n 会 话 认 证 方 式 ， 避 免 通 过 C o o k i e 去 仿 冒 其 他 人 的 身 份 。 7 ， 密 文 对 比 认 证 测 试 ， 密 文 对 比 认 证 测 试 说 测 试 方 法 前 先 介 绍 一 下 这 个 问 题 ， 一 般 情 况 下 网 站 输 入 用 户 名 和 密 码 后 ， 传 到 后 台 会 对 其 进 行 加 密 ， 随 后 和 数 据 库 里 面 的 值 做 对 比 ， 以 此 来 判 断 用 户 名 和 密 码 是 否 正 确 。 但 有 些 网 站 不 是 这 么 做 的 ， 他 们 会 在 前 端 做 好 加 密 ， 然 后 传 到 后 台 直 接 和 数 据 库 里 面 的 值 做 对 比 ， 这 时 候 问 题 就 出 现 了 ， 截 包 你 可 以 知 道 它 的 加 密 方 式 ， 依 然 可 以 去 做 暴 力 破 解 。
测 试 方 法 ： 用 账 号 密 码 登 录 ， 拦 截 请 求 ， 查 看 传 输 信 息 ， 是 不 是 通 过 一 些 加 密 方 式 对 账 号 和 密 码 进 行 了 加 密 ， 如 果 有 则 存 在 此 问 题 。 经 验 之 谈 ： 为 什 么 会 有 这 种 问 题 ， 很 大 程 度 上 是 因 为 前 面 提 到 的 第 二 条 本 地 机 密 传 输 问 题 。 很 多 做 测 试 的 ， 一 看 明 文 传 输 就 记 下 了 ， 然 后 在 测 试 报 告 的 修 复 建 议 上 有 一 条 就 是 用 加 密 方 法 加 密 敏 感 字 段 去 传 输 。 这 就 有 一 种 拆 东 墙 补 西 墙 的 感 觉 了 ， 解 决 了 本 地 加 密 传 输 问 题 ， 而 又 出 现 了 密 文 对 比 认 证 的 问 题 。 所 以 对 于 本 地 加 密 传 输 ， 解 决 办 法 就 是 s s l 服 务 ， 不 建 议 加 密 传 输 这 个 修 复 方 法 。 对 于 前 端 加 密 后 的 密 码 进 行 暴 力 破 解 测 试 时 ， 可 以 在 I n t r u d e r 的 P a y l o a d   P r o c e s s i n g 中 选 择 加 密 方 式 即 可 。 修 复 方 法 ： 把 这 个 加 密 对 比 的 方 法 放 到 后 台 去 执 行 。 8 ， 登 录 失 败 信 息 测 试 ， 登 录 失 败 信 息 测 试 测 试 方 法 ： 不 填 账 号 和 密 码 直 接 点 登 录 ， 填 入 账 号 不 填 密 码 点 登 录 ， 填 入 密 码 不 填 账 号 点 登 录 ， 填 入 错 误 的 账 号 不 填 密 码 点 登 录 ， 填 入 错 误 的 密 码 不 填 账 号 点 登 录 ， 填 入 错 误 的 账 号 和 密 码 点 登 录 ， 根 据 提 示 来 判 断 ， 如 果 单 提 示 账 号 错 误 ， 或 者 单 提 示 密 码 错 误 ， 则 存 在 此 问 题 。 经 验 之 谈 ： 测 试 方 法 显 的 很 啰 嗦 ， 其 实 只 要 输 入 正 确 的 账 号 和 错 误 的 密 码 基 本 就 可 以 直 接 确 定 。 修 复 方 法 ： 使 用 模 糊 的 提 示 方 法 ， 例 如 账 号 或 密 码 错 误 。 0 x 0 3 ： 总 结 ： 总 结 以 上 就 是 逻 辑 测 试 十 大 模 块 中 的 第 一 个 模 块 登 录 认 证 模 块 的 一 些 测 试 点 ， 其 他 模 块 后 续 继 续 补 充 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理