HW期间如何防范各种漏洞

1越权漏洞

不同权限账户之间的存在越权访问

检测

抓去a用户功能链接，然后登录b用户对此链接进行访问

抓去a用户功能链接，修改id为b的id，查看是否能看b的相关数据

替换不同的cookie进行测试查看

防范

在后台服务做严格的用户权限验证

2 sql注入

后台sql语句拼接了用户的输入，而且web应用程序对用户输入数据的合法性没有判断和过滤，前端传入后端的参数是攻击者可控的，攻击者通过构造不同的sql语句来实现对数据库的任意操作。

检测

对注入点进行测试，

单引号，双引号–>报错

And 1=1 and 1=2 ‘or ‘1’ = ‘1 ‘or ‘1’ = ‘2 两次web服务器响应不同

时间延时 sleep(5) 延迟响应

Get post 参数、cookie参数、http请求头

Sqlmap进行测试

防范

对输入参数进行过滤，校验或者采用参数预处理的方式

使用参数化查询，将查询逻辑和查询数据分离

3 xss

攻击者在web页面插入恶意的Script代码，当用户浏览访问时，其中的script代码会被执行，从而达到恶意攻击。

检测

查找可能出现xss跨站的位置，搜索框、信息存储等

常用测试语句

查看源码，测试语句是否在系统响应HTML代码中输出。

可以输出的话进行xss测试

防范

根据实际情况对用户的输入进行严格的过滤

4任意文件上传

攻击者上传web支持的动态脚本程序(asp,asp.net,php,jsp等)

Web程序对用户上传的类型不做检测，或者被绕过

检测

找到可以上传的地方，上传要求合理的合法文件，查看上传点是否可以使用，需要一些绕过姿势（大小写切换，00截断，抓包改类型等等），上传webshell，连刀。

防范

根据实际情况对用户的上传点进行严格的过滤。

前后端校验扩展名。

5目录遍历攻击

攻击者通过目录遍历攻击获取系统文件及服务器的配置文件，攻击者绕过服务器的安全限制，访问文件。

检测

爬行，或者暴力破解系统目录结构。

在url后加常规目录，看是否被列出来

可以利用web漏洞扫描器扫描web应用进行检测，也可通过搜索，网站标题包含 “index of” 关键词的网站进行访问

防范

对用户传过来的参数名进行编码，对文件类型进行白名单控制，拒绝恶意字符或空字符

6关键会话重放攻击

不断恶意或欺诈性地重复一个有效的数据包，重放攻击者可以拦截并重复发该数据到服务端，服务器端未对用户提交的数据包重放进行有效限制。

检测

抓包抓取登录请求，获得用户和密码参数

密码字典 暴力破解

防范

添加token、时间戳、图片验证码

7 csrf

攻击者以用户的身份完成操作达到各种目的

检测

登录网站，使用bp构造csrf poc 保存在html

发送到另一台服务器，访问html查看是否可以实现html功能

防范

验证 http referer字段

在请求地址中添加token并验证 在http头中自定义属性并验证

8 明文传输

对系统用户口令等机密信息的保护不足，攻击者利用攻击工具，从网络上窃取合法用户的口令数据，从而登录系统执行非法操作。

检测

使用工具抓取关于用户的数据包

查看相关参数是否做加密处理

防范

对密码信息进行加密处理

使用加密算法 不使用易破解的加密方式

9文件包含

注入一段用户能控制的脚本或代码，并让服务器端执行，对要包含的文件变量名没有进行检测或初始化。

检测

在文件包含的地方，包含攻击者的文件进行测试

防范

尽量不使用文件包含

使用include，如include(‘test.php’)

包含文件验证–是否为白名单

路径限制，进制目录跳转字符

10 逻辑漏洞

程序逻辑不严谨或太复杂，导致一些逻辑分支不能够正常处理或处理错误。

检测

一般在任意密码修改(没有密码验证)，越权访问，密码找回，交易支付金额，进行抓包重放查看是否与逻辑不符合。

防范

规范代码

11命令执行

用户通过浏览器提交执行命令，由于服务器端没有针对执行函数做过滤，攻击者的输入作为系统命令的参数拼接到命令行中。

检测

在浏览器输入 拼接& | || （命令连接符）

防范

进行命令执行的函数或者方法之前，都参数进行过滤

参数的值尽量用引号包裹，并在拼接前调用addslashes进行转义

12代码执行

应用程序在调用一些能够将字符串转换为代码的函数时，没有考虑用户是否控制这个字符串，将造成代码执行漏洞。

检测

源码，代码审计

防范

保证用户不能接触eval()函数，使用正则严格判断

字符串使用单引号包裹，并在插入前进行 addslashes()

对preg_replace()放弃使用e修饰符，保证第二个参数中对于正则匹配出的对象，用单引号包裹

13 ssrf

由攻击者构造请求，有服务端发起请求的安全漏洞，本质是信息泄露。

检测

通过分享功能

转码服务

在线翻译

图片加载与下载

图片文章收藏

关键字： share wap url link src source target u 3g display sourceURl imageURL domain

防御

限制请求的端口只能为web端口，只允许访问http，https的请求(禁掉file协议)

限制不能访问内网的ip，以防止对内网进行攻击

屏蔽返回的详细信息。

14xxe

在应用程序解析XML输入时，XML文件的解析依赖libxml 库，而 libxml2.9 以前的版本默认支持并开启了对外部实体的引用，服务端解析用户提交的XML文件时，未对XML文件引用的外部实体（含外部一般实体和外部参数实体）做合适的处理，并且实体的URL支持 file:// 和 ftp:// 等协议，导致可加载恶意外部文件 和 代码，造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、发起Dos攻击等危害。

检测

通过手工篡改网站中xml实体中的头部，加入相关的读取文件或者是链接，或者是命令执行等，如file:///$path/file.txt；http://url/file.txt；看看能否显示出来

防范

XML解析库在调用时严格禁止对外部实体的解析。

使用开发语言提供的禁用外部实体的方法

过滤用户提交的XML数据