HW期间如何防范各种漏洞
2022-7-29 22:5:0 Author: 白安全组(查看原文) 阅读量:11 收藏

1越权漏洞

不同权限账户之间的存在越权访问

检测

抓去a用户功能链接,然后登录b用户对此链接进行访问

抓去a用户功能链接,修改idbid,查看是否能看b的相关数据

替换不同的cookie进行测试查看

防范

在后台服务做严格的用户权限验证

2 sql注入

后台sql语句拼接了用户的输入,而且web应用程序对用户输入数据的合法性没有判断和过滤,前端传入后端的参数是攻击者可控的,攻击者通过构造不同的sql语句来实现对数据库的任意操作。

检测

对注入点进行测试,

单引号,双引号>报错

And 1=1 and 1=2 or 1= 1 or 1= 2 两次web服务器响应不同

时间延时 sleep(5) 延迟响应

Get post 参数、cookie参数、http请求头

Sqlmap进行测试

防范

对输入参数进行过滤,校验或者采用参数预处理的方式

使用参数化查询,将查询逻辑和查询数据分离

3 xss

攻击者在web页面插入恶意的Script代码,当用户浏览访问时,其中的script代码会被执行,从而达到恶意攻击。

检测

查找可能出现xss跨站的位置,搜索框、信息存储等

常用测试语句

查看源码,测试语句是否在系统响应HTML代码中输出。

可以输出的话进行xss测试

防范

根据实际情况对用户的输入进行严格的过滤

4任意文件上传

攻击者上传web支持的动态脚本程序(asp,asp.net,php,jsp)

Web程序对用户上传的类型不做检测,或者被绕过

检测

找到可以上传的地方,上传要求合理的合法文件,查看上传点是否可以使用,需要一些绕过姿势(大小写切换,00截断,抓包改类型等等),上传webshell,连刀。

防范

根据实际情况对用户的上传点进行严格的过滤。

前后端校验扩展名。

5目录遍历攻击

攻击者通过目录遍历攻击获取系统文件及服务器的配置文件,攻击者绕过服务器的安全限制,访问文件。

检测

爬行,或者暴力破解系统目录结构。

url后加常规目录,看是否被列出来

可以利用web漏洞扫描器扫描web应用进行检测,也可通过搜索,网站标题包含 “index of” 关键词的网站进行访问

防范

对用户传过来的参数名进行编码,对文件类型进行白名单控制,拒绝恶意字符或空字符

6关键会话重放攻击

不断恶意或欺诈性地重复一个有效的数据包,重放攻击者可以拦截并重复发该数据到服务端,服务器端未对用户提交的数据包重放进行有效限制。

检测

抓包抓取登录请求,获得用户和密码参数

密码字典 暴力破解

防范

添加token、时间戳、图片验证码

7 csrf

攻击者以用户的身份完成操作达到各种目的

检测

登录网站,使用bp构造csrf poc 保存在html

发送到另一台服务器,访问html查看是否可以实现html功能

防范

验证 http referer字段

在请求地址中添加token并验证 在http头中自定义属性并验证

8 明文传输

对系统用户口令等机密信息的保护不足,攻击者利用攻击工具,从网络上窃取合法用户的口令数据,从而登录系统执行非法操作。

检测

使用工具抓取关于用户的数据包

查看相关参数是否做加密处理

防范

对密码信息进行加密处理

使用加密算法 不使用易破解的加密方式

9文件包含

注入一段用户能控制的脚本或代码,并让服务器端执行,对要包含的文件变量名没有进行检测或初始化。

检测

在文件包含的地方,包含攻击者的文件进行测试

防范

尽量不使用文件包含

使用include,如include(test.php)

包含文件验证–是否为白名单

路径限制,进制目录跳转字符

10 逻辑漏洞

程序逻辑不严谨或太复杂,导致一些逻辑分支不能够正常处理或处理错误。

检测

一般在任意密码修改(没有密码验证),越权访问,密码找回,交易支付金额,进行抓包重放查看是否与逻辑不符合。

防范

规范代码

11命令执行

用户通过浏览器提交执行命令,由于服务器端没有针对执行函数做过滤,攻击者的输入作为系统命令的参数拼接到命令行中。

检测

在浏览器输入 拼接& | || (命令连接符)

防范

进行命令执行的函数或者方法之前,都参数进行过滤

参数的值尽量用引号包裹,并在拼接前调用addslashes进行转义

12代码执行

应用程序在调用一些能够将字符串转换为代码的函数时,没有考虑用户是否控制这个字符串,将造成代码执行漏洞。

检测

源码,代码审计

防范

保证用户不能接触eval()函数,使用正则严格判断

字符串使用单引号包裹,并在插入前进行 addslashes()

preg_replace()放弃使用e修饰符,保证第二个参数中对于正则匹配出的对象,用单引号包裹

13 ssrf

由攻击者构造请求,有服务端发起请求的安全漏洞,本质是信息泄露。

检测

通过分享功能

转码服务

在线翻译

图片加载与下载

图片文章收藏

关键字: share wap url link src source target u 3g display sourceURl imageURL domain

防御

限制请求的端口只能为web端口,只允许访问httphttps的请求(禁掉file协议)

限制不能访问内网的ip,以防止对内网进行攻击

屏蔽返回的详细信息。

14xxe

在应用程序解析XML输入时,XML文件的解析依赖libxml 库,而 libxml2.9 以前的版本默认支持并开启了对外部实体的引用,服务端解析用户提交的XML文件时,未对XML文件引用的外部实体(含外部一般实体和外部参数实体)做合适的处理,并且实体的URL支持 file:// ftp:// 等协议,导致可加载恶意外部文件 和 代码,造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、发起Dos攻击等危害。

检测

通过手工篡改网站中xml实体中的头部,加入相关的读取文件或者是链接,或者是命令执行等,如file:///$path/file.txthttp://url/file.txt;看看能否显示出来

防范

XML解析库在调用时严格禁止对外部实体的解析。

使用开发语言提供的禁用外部实体的方法

过滤用户提交的XML数据


文章来源: http://mp.weixin.qq.com/s?__biz=MzU4MjYxNTYwNA==&mid=2247485811&idx=1&sn=b3fbab7e6771673e4c8b6f7964ee67c3&chksm=fdb4de28cac3573eb8c3371d1f3eac2c4e208e57ab5658f555fc209a054b5d1e405bbc8e83ff#rd
如有侵权请联系:admin#unsafe.sh