安全平台部

Size: px

Start display at page:

Download "安全平台部"

驱欺酆
7 years ago
Views:

1 应用运维安全那些事安全平台部应用运维安全中心

2 关于我 sanma( 马传雷 / 马三 ) 前 PHP 程序员, 现应用安全高级工程师 2013 xkungfoo 安全技术峰会演讲者 2014 电子商务安全技术峰会演讲者所在部门安全平台部应用运维安全中心 TSRC

3 应用安全的战场数据安全网络保障应急响应主机安全终端安全 Web 安全

4 战场 - 抗 DDOS

5 应用安全的战场 : 抗 DDOS

6 应用安全的战场 : 抗 DDOS 单点清洗云防护刑事打击

7 战场 - 反黑客入侵

8 为什么对抗黑客很辛苦业务场景日趋复杂 Web2.0 移动 app 的交互攻防对抗的不断升级层出不穷的漏洞技术门槛不断降低自动化攻击平台

9 每天都在发生什么

10 安全对业务的影响有多大

11 刑法修正案 : 网站存在漏洞是一种犯罪二十五在刑法第二百八十六条后增加一条, 作为第二百八十六条之一 : 网络服务提供者不履行法律行政法规规定的信息网络安全管理义务, 经监管部门通知采取改正措施而拒绝执行, 有下列情形之一的, 处三年以下有期徒刑拘役或者管制, 并处或者单处罚金 : ( 一 ) 致使违法信息大量传播的 ; ( 二 ) 致使用户信息泄露, 造成严重后果的 ; ( 三 ) 致使刑事犯罪证据灭失, 严重妨害司法机关依法追究犯罪的 ; ( 四 ) 有其他严重情节的单位犯前款罪的, 对单位判处罚金, 并对其直接负责的主管人员和其他直接责任人员, 依照前款的规定处罚

处罚金 : ( 一 ) 致使违法信息大量传播的 ; ( 二 ) 致使用户信息泄露, 造成严重后果的 ; ( 三 ) 致使刑事犯罪证据灭失, 严重妨害司法机关依法

12 所以, 这是一个战场安全意识安全能力流程和体系工具和平台

13 常见安全漏洞介绍

14 按照漏洞成因进行分类安全漏洞研发漏洞逻辑缺陷环境缺陷安全策略 Sql 注入 XSS CSRF 文件上传代码注入命令注入信息泄漏整数溢出越权漏洞业务逻辑缺陷第三方组件和框架基础环境特性弱口令备份文件

15 头号公敌 :SQL Injection SQL Injection 的定义由于程序中对用户输入检查不严格, 用户可以提交一段数据库查询代码, 根据程序返回的结果, 获得某些他想得知的数据, 这就是所谓的 SQL Injection, 即 SQL 注入 SQL Injection 的本质对于输入检查不充分, 导致 SQL 语句将用户提交的非法数据当作语句的一部分来执行

知的数据, 这就是所谓的 SQL Injection, 即 SQL 注入 SQL Injection 的本质对

16 外部报告的注入漏洞

17 头号公敌 :SQL Injection 示例

18 头号公敌 :SQL Injection 可以干什么获取数据获取服务器控制权渗透内网

19 头号公敌 :SQL Injection 可以干什么严格限定参数类型明确参数检验的边界采用参数化查询的方法 ( 推荐 ) 内置过滤系统 ( 本质是黑名单, 很常见但是不推荐 ) 错误代码 String user = request.getparameter("username"); String pass = request.getparameter("password"); String query = "SELECT id FROM users WHERE username="+user+" AND password="+pass; Statement stmt = con.createstatement(query); ResultSet rs = con.executequery(query); 正确代码 String user = request.getparameter("username"); String pass = request.getparameter("password"); String query = SELECT id FROM users WHERE username=? AND password=?"; PreparedStatement stmt = con.preparestatement(query); stmt.setstring(1, user); stmt.setstring(2, pass);

getparameter("password"); String query = "SELECT id FROM users WHERE username="+user+" AND password="+pass; Statement stmt = con.createstatement(query); ResultSet rs = con.

20 跨站脚本攻击 XSS(Cross Site Script) 定义 - 它指的是恶意攻击者往 Web 页面里插入恶意 html 代码, 当用户浏览该页之时, 嵌入其中 Web 里面的 html 代码会被执行, 从而达到恶意用户的特殊目的 XSS 属于被动式的攻击, 因为其被动且不好利用, 所以许多人常忽略其危害性

21 跨站脚本攻击分类 Reflected XSS (Non-persist XSS) 跨站代码一般存在于链接中, 请求这样的链接时, 跨站代码经过服务端反射回来, 这类跨站的代码一般不存储到服务端 Stored XSS (Persist XSS) 这是利用起来最方便的跨站类型, 跨站代码存储于服务端 ( 比如数据库中 ) DOM based XSS 一种基于 DOM 的跨站, 这是客户端脚本自身解析不正确导致的安全问题

22 跨站脚本攻击

23 跨站脚本攻击持久型 XSS 注入漏洞恶意代码存储到 DB, 每次访问该页面就会执行

24 跨站脚本攻击

25 跨站脚本攻击

26 跨站脚本攻击

27 跨站脚本攻击 XSS 注入漏洞的防御网络层 :Web 应用防火墙架构层 : 域名分离 /cookie 加固 /CSRF 防御代码层 : 输出转义输出的时候转义 HTML 代码 < => < > => > => " 富文本需要专有的分析库 ( 推荐安全中心出品的 CGI 安全 API)

28 跨站脚本攻击 XSS Cheat Sheet

29 文件上传攻击文件上传的验证常见的错误允许上传可执行文件使用客户端 JS 验证上传文件类型使用黑名单限制上传文件类型文件名 / 存储目录名可自定义文件名中特殊字符处理不当

30 文件上传攻击文件上传漏洞 1: 梦网彩信相册任意代码执行 Resin 服务默认可以执行 xtp 类型文件, 彩信相册的照片, 铃声等上传页面的后台程序没有对 xtp 扩展名过滤, 导致可以上传执行代码

31 文件上传攻击

32 文件下载攻击文件下载漏洞 String filename = request.getparameter( fn ); String absolutepath = WEB_PATH+ filename; WebUtils.downFile(absolutePath); // 合法提交 // 非法提交过滤方式 filename = filename.replaceall( \\.\\., );

$get(imgkey); } else { String imagepath = Consts.IMG_LOCAL_PAHT + imgname; logger.info("imagepath: InputStream inputstream = null; " + imagepath); File imagefile = new File(imagePath); logger.$

33 文件下载攻击 String imgname = request.getparameter("imgname"); String imgkey = MD5Encrypt.MD5(imgName);// 本地 if (imagecache.containskey(imgkey)) { data = (byte[]) imagecache.get(imgkey); } else { String imagepath = Consts.IMG_LOCAL_PAHT + imgname; logger.info("imagepath: InputStream inputstream = null; " + imagepath); File imagefile = new File(imagePath); logger.debug(imagepath + " " + imagefile.exists()); if (imagefile.exists() && imagefile.isfile()) { inputstream = new FileInputStream(imagePath); int i = inputstream.available(); data = new byte[i]; inputstream.read(data); inputstream.close();

34 文件包含攻击

35 整数溢出示例代码 : String number = request.getparameter( number );// 商品数量 int num = Integer.parseInt(number); If (num > 0){ int total = num * 100; // 计算总价格 } 某人订购大量商品 number = " "; 计算出来的总价 total = -196

36 整数溢出开心网刷现金漏洞在开心网买游戏中, 服务器端购买种子的函数未对购买的种子个数和用户资金进行量判断通过修数据包中购买种子的个数绕过客户端的判断, 当用户资金到达负值后, 用户资金将到达一个 20 亿的正值

37 容错这种漏洞会泄漏一些敏感信息最佳安全实践 : 不将错误信息输出给用户

38 管理后台泄漏内部系统的管理后台直接暴露给任意访问者最佳安全实践 : 管理后台设置 IP 访问限制公司内部系统密码与外部密码区分密码长度 >=8 位, 且必须含有大小写数字特殊字符 QQ 号码登录, 设置 Token 手机令牌等二次验证逻辑

39 备份文件有些编辑器 ( 如 UltraEdit-32) 修改文件后会自动生成一个.bak 的备份文件 SVN 版本控制会生成.svn/entries 文件最佳安全实践 : 不要将无关文件同步到正式环境

40 目录浏览允许目录浏览会泄漏文件信息 Google Hacking:

41 测试页面 Google Hacking: 利用搜索引擎查找存在漏洞的站点来玩一下 : 试试搜索 inurl:qq.txt 看看

42 框架安全性开源框架 ThinkPHP struts 便利 VS 危险最佳安全实践 : 评估一个框架的安全性是否有足够的维护, 是否闭源关注官方安全公告补丁优先选择公司内部资源 (KM)

43 第三方组件带来的安全问题历史多次证明, 引入的第三方网页安全性往往不可靠 <iframe src="url"></iframe> <script src="url"></script> 最佳实践 : 不使用第三方网页 / 代码

44 工具自动化完整解决方案 Web 漏洞扫描器 JSky: 国产的免费 Web 漏洞扫描器, 功能较为强大 AppScan: 国外的商业 Web 漏洞扫描器 Acunetix Web Vulnerability Scanner: 国外的商业 Web 漏洞扫描器

45 工具半自动工具代理模式的 Web 漏洞扫描器 Paros StrikeProxy WebScarab BurpSuite

46 工具专项检测工具 SQL 注入攻击工具 : 啊 D NBSI Pangolin sqlmap 暴力破解密码工具 : 溯雪 CSRF 测试工具 :CSRFTester 一些辅助工具 : 修改 cookie 的浏览器 (WebTool) 抓包工具 (HTTP Watch) 编码转换工具 Perl/VBS/JS 脚本

47 腾讯的安全体系

48 应用运维安全概况体系用户安全生产环境安全办公网安全

49 应用运维安全概况平台建设 Web 漏洞扫描器客户端审计系统代码审计系统安全客户端主机安全 Agent 运维操作审计账号安全管理 DDoS 防御 IDS / WAF DNS 监控系统出口代理

50 应用运维安全概况借助外部力量官网漏洞反馈平台与奖励计划分享平台 ( 文章项目 )

51 合作共赢安全不是某一家做好就可以

52 新互联网时代的安全威胁隐私保护用户的意识觉醒定义到底是什么容易泄漏, 如何有效保护大数据安全力量强大, 充满无限想象力数据越来越值钱, 泄漏风险增加滥用如何审计监管认证机制传统的密码已死使用手机短信或者语音? 通讯监听伪基站一次性密码? 云安全未来一切都是在云端可用性易用性与安全性的平衡 APT 攻击专业的团队, 针对性和目的性极强及其耐心, 难以发现移动互联网 Andriod? 整个系统生态的安全性有待提升移动支付? 便利性 vs 安全性产值在增加, 黑客产业链瞄准

评委 : 李炎斌 - 个人技术标资信标初步审查明细表序号投标单位投标函未按招标文件规定填写漏填或内容填写错误的 ; 不同投标人的投标文件由同一台电脑或同一家投标单

评委 : 李炎斌 - 个人技术标资信标初步审查明细表序号投标单位投标函未按招标文件规定填写漏填或内容填写错误的 ; 不同投标人的投标文件由同一台电脑或同一家投标单评委 : 李炎斌 - 个人清标评审明细表评审因素序号投标单位清标评审 1 深圳市创捷科技有限合格 2 四川川大智胜软件股份有限合格 3 北京航天长峰科技工业集团有限公司合格 4 深圳中兴力维技术有限合格 5 深圳键桥通讯技术股份有