投稿

Web安全防护（二）

优速盾-小U • • 网站百科 • 阅读 321

点击劫持

点击劫持，也称UI覆盖攻击

1.1 iframe覆盖攻击

黑客创建一个网页，用iframe包含了目标网站，并且把它隐藏起来。做一个伪装的页面或图片盖上去，且按钮与目标网站一致，诱导用户去点击。伪装的按钮背后可能就会执行了危险操作。

<!DOCTYPE html> <html> <meta http-equiv="Content-Type" content="text/html; charset=utf-8"> <head> <title>点击劫持 POC</title>   <style>     iframe {       width: 1440px;       height: 900px;       position: absolute;       top: -0px;       left: -0px;       z-index: 2;       -moz-opacity: 0;       opacity: 0;       filter: alpha(opacity=0);    }     button {       position: absolute;       top: 270px;       left: 1150px;       z-index: 1;       width: 90px;       height:40px;    }   </style> </head> <body> <button>美女图片</button> <img src="http://pic1.win4000.com/wallpaper/2018-03-%2019/5aaf2bf0122d2.jpg"> <iframe src="http://i.youku.com/u/UMjA0NTg4Njcy" scrolling="no"></iframe> </body> </html>

防护方案：

使用一个HTTP头-X-Frame-Options。它可以设置frame的加载权限。它有三个可选的值：

  • DENY：浏览器会拒绝当前页面加载任何frame页面
  • SAMEORIGIN：frame页面的地址只能为同源域名下的页面
  • ALLOW-FROM uri：允许frame加载的页面地址

nginx配置：

add_header X-Frame-Options SAMEORIGIN;

1.2 图片覆盖攻击

图片覆盖攻击，攻击者使用一张或多张图片，利用图片的style或者能够控制的CSS，将图片覆盖在网页上，形成点击劫持。

<a href="http://tieba.baidu.com/f?kw=%C3%C0%C5%AE">   <img src="XXXXXX" style="position:absolute;top:90px;left:320px;" /> </a>

你以为你点了图片，其实你点了其他的链接。

防护方案：

在防御图片覆盖攻击时，需要检查用户提交的HTML代码中，img标签的style属性是否可能导致浮出。

URL跳转漏洞

URL跳转漏洞（URL重定向漏洞），跳转漏洞一般用于钓鱼攻击

攻击原理：

URL跳转漏洞本质上是利用Web应用中带有重定向功能的业务，将用户从一个网站重定向到另一个网站。

示例：http://www.
aaa.com?returnUrl=http://www.evil.com，www.aaa.com 有一个功能会取到returnUrl后的路径，然后跳转。这种功能就会被黑客利用，跳转到他想跳转的其他页面上去。

一般容易出现的漏洞的点：

  • 登录跳转、第三方授权
  • 分享
  • 收藏

URL跳转漏洞校验绕过

  1. 域名字符串校验
//获取参数 String url = request.getParameter("returnUrl"); //判断是否包含域名 if (url.indexOf("www.abc.com ") !=-1){   response.sendRedirect(url); }

黑客可以注册一个包含abc.com的域名来绕过，如：
http://www.abc.com?returnUrl=http://www.abc.com.evil.com
2. 利用URL的各种特性符号

http://www.aaa.com?returnUrl=http://www.evil.com?www.aaa.com http://www.aaa.com?returnUrl=http://www.evil.comwww.aaa.com http://www.aaa.com?returnUrl=http://www.aaa.com@www.evil.com http://www.aaa.com?returnUrl=http://www.evil.com#www.aaa.com

防护方案

  1. 代码固定跳转地址，不让用户随意输
  2. 跳转目标地址采用映射机制，如 1代表aaa.com，2代表bbb.com这样，用户只能输1和2才能过校验
  3. 合理充分的校验机制，校验跳转的目标地址，非己方的地址跳转时可以提示用户，类似知乎做的那种。

Session攻击

通过窃取用户SessionId，使用SessionId登录进目标账户的攻击方法。如果SessionId是保存在Cookie中的，则这种攻击可以称为Cookie劫持。

3.1 Session劫持

攻击原理：

  1. 目标用户登录网站
  2. 登录成功后，用户的SessionId服务器会认为是已登录的，可以做一些他权限内的操作
  3. 攻击者通过某种攻击手段捕获Session ID
  4. 攻击者通过捕获到的Session ID访问站点即可获得目标用户合法会话。

获取SessionId的方式有多种：

  1. 暴力破解：不断尝试各种Session ID
  2. 预测：如果Session ID使用非随机的方式产生，那么就有可能计算出来
  3. 窃取：使用网络嗅探、本地木马窃取、XSS攻击等方法

防御方法：

  1. Cookie HttpOnly
  2. Cookie Secure，是设置Cookie时，可以设置的一个属性，设置了之后只有https访问时，浏览器才会发送该cookie。这样攻击者从网络上窃听到，也是拿到一个加密的cookie
response.setHeader("SET- HEADER","user="+request.getParameter("cookie")+";HttpOnly;Sec ure");

3.2 会话固定

会话固定是让用户使用黑客预先设置的sessionID进行登录，这样同样黑客能拿到用户SessionId。

攻击步骤：

  1. 攻击者通过某种手段重置用户的SessinoID，然后监听用户会话状态
  2. 目标用户携带攻击者设定的Session ID登录站点
  3. 攻击者通过Session ID获得合法会话

攻击者如果让目标使用黑客的Session ID呢？如果是保存在Cookie中是比较难做的，但如果是SessionID保存在URL中，则攻击者只要诱导用户打开这个URL即可。

防御方法：

  1. 用户登录的时候就进行重置SessionID
// 会话失效 session.invalidate(); // 会话重建 session=request.getSession(true);
  1. SessionID闲置过久时，进行重置
  2. 设置HttpOnly

3.3 Session保持攻击

一般情况下，Session是有生命周期的，当用户长时间未活动，或者用户点击退出后，服务器将销毁Session。但如果攻击者拿到了一个用户的Session，它可以通过不停的发起访问请求，让Session一直存活。

<script>  //要保持session的url  var url = "http://bbs.yuanjing.com/wap/index.php?/sid=LOXSAJH4M";  //定时任务  window.setInterval("keeyId()",6000);  function keepsid(){    document.getElementById("iframe1").src=url+"&time"+Math.rand om(); } </script> <iframe id="iframe1" src=""/></iframe>

攻击者设置可以为Session Cookie增加一个Expire事件，使得原本浏览器关闭就会失效的Cookie持久化地保存在本地。

防护方案：

  1. 可以设置一个固定的时间，如3天后就强制过期，但是也影响了正常用户
  2. 比如用户的IP、UserAgent信息发生变化，就可以强制销毁当前的Session，并要求用户重新登录

注入攻击

注入攻击是Web安全领域中一种最常见的攻击方式。XSS本质上也是一种针对HTML的注入攻击。注入攻击的本质，是把用户输入的数据当做了代码执行。这里有两个关键条件，第一个是用户能控制输入，第二个是原本程序要执行的代码拼接了用户输入的数据。解决注入攻击的核心思想：数据与代码分离原则

4.1 SQL注入

本应该输入正常的数据，而黑客却输入一些sql语句。如果应用程序比较脆弱的话，则可能应用程序会被攻击。

最简单的示例就是一个：查询某个用户

String query = "select * from accounts where name ='"+request.getParameter("name")+"';

用户如果输张三李四是没问题的，如果输入 李四 or 1=1 那么它会查到所有用户数据。

容易导致SQL注入的弱点：

  1. 应用程序中使用字符串连接方式或联合查询方式组合SQL语句
  2. 应用程序连接数据库时使用权限过大的账户（很多开发人员喜欢直接用管理员账户）
  3. 未校验用户输入的字符串

攻击步骤：

  1. SQL盲注

所谓盲注，就是在服务器没有返回错误信息的情况下完成的注入攻击。最常见的盲注验证方法是构造简单的条件语句，根据返回的页面是否变化来判断是否存在漏洞。

示例：下面是一个根据userId查询用户的功能：

1） 我先输入

1 ‘ and 1=1 #

Web安全防护（二）
发现能查询到数据

2）再输入

1 ‘ and 1=2 # 发现查不出数据，证明注入成功。

  1. 猜解数据库

3）继续输入利用order by猜列数

1′ order by 1 #
成功，然后输入 1′ order by 2 # ，依次递增，直到提示
Unknown column ‘3’ in ‘order clause’

成功得到该表的列数。

4）知道列数之后，使用union select 联合查询获取更多的信息，union 查询的使用前提是关联查询的两个查询列数要一致

1 ‘ union select database(),user() #

查询到数据库名和当前查询的用户名

5）继续查询当前数据库版本、操作系统

1 ‘ union select version(),@@version_compile_os#

6）根据数据库名，查询里面的表

1 ‘ union select table_name,table_schema from information_schema.tables where table_schema= ‘dvwa’ #

7）猜users表的字段，根据经验试试是不是user和password

1′ union select user,password from users#

成功爆出了某网站的用户名和密码

Web安全防护（二）

  1. ORM注入

1） Mybatis:
${}：单纯替代，纯粹的将参数传进去，没有做任何的转义操作和预编译。
#{}: Mybatis会通过预编译机制生成PreparedStatement参数，然后再安全的给参数赋值

${}是存在注入风险的。

2） Hibernate

usernameString//前台输入的用户名 passwordString//前台输入的密码 //hql语句 String queryString = "from User t where t.username= " + usernameString + " and t.password="+ passwordString; //执行查询 List result = session.createQuery(queryString).list();

通过hql拼接的方式不安全。建议用参数绑定：

usernameString//前台输入的用户名 passwordString//前台输入的密码 //hql语句 String queryString = "from User t where t.username： usernameString and t.password: passwordString"; //执行查询 List result = session.createQuery(queryString)           .setString("usernameString ", usernameString )           .setString("passwordString", passwordString)           .list();

3）JDBC：使用预处理执行SQL语句，对所有传入SQL语句中的变量做绑定，这样用户拼接进来的变量无论内容是什么，都会被当做替代符号”?”所替代的值。

示例：

String sql = "select * from users where userid = " + userid;

如果用户输入userid是”1;delete users;”会被编译成2条sql，那么users表会被非法删除。

但是如果是预编译的方式，那么会编译成一条sql，查询userid为'”1;delete users;”的用户，查询结果会是不存在，不会存在危险。

4.2 XML注入

XML注入是将用户录入的信息作为XML节点。
示例：

//userData是准备保存的XML数据，接受了name和email两个用户提交的数据 String userData = "<USER >"+  "<name>"+  request.getParameter("name")+  "</name>"+  "<email>"+  request.getParameter("email")+  "</email>"   "</USER>" //保存XML数据 userDao.save(userData);

如果用户输入的时候name输入张三，email输入：

user1@lagou.com</email></USER><USER><name>user2</name> <email>user2@lagou.com

这样就恶意构造了一个xml，拼接起来一次保存了两条数据。

防护方案：

对xml数据进行转义：

String userData = "<USER>"+   " <name>"+StringUtil.xmlEncode(request.getParameter("name"))+" </name>"+   " <email>"+StringUtil.xmlEncode(request.getParameter("email"))+ "</email>"+   "</USER>";

4.3 代码注入

web应用程序中如果有允许接收用户输入一段代码并执行。那么用户可以根据这个功能写一个远程控制木马，进行恶意攻击。代码注入往往是由一些不安全的函数或者方法引起的，其中的典型代表就是eval()

public static void main(String[] args) {     //在Java中也可以实施代码注入，比如利用Java的脚本引擎。     ScriptEngineManager manager = new ScriptEngineManager();     //获得JS引擎对象     ScriptEngine engine = manager.getEngineByName("JavaScript");     try {       //用户录入       String param = "hello";       String command = "print('"+param+"')";       //调用JS中的eval方法       engine.eval(command);    } catch (ScriptException e) {       e.printStackTrace();    }  }

攻击示例：

hello'); var fImport = new JavaImporter(java.io.File); with(fImport) { var f = new File('new'); f.createNewFile(); }

防护方案：

对抗代码注入，需要禁止eval()等可以执行命令的函数，如果一定要用，则需要对用户输入的数据进行处理。如只能由开发人员定义代码内容，用户只能提交对应的id”1、2、3“等参数。

4.4 OS命令注入

OS命令注入（操作系统命令注入），仅当Web应用程序代码包括操作系统调用，并且使用了用户的输入内容。

示例：
应用程序开发人员希望用户能够在Web应用程序中查看Ping命令的输出。用户正常输入ip，那还好。

如果输入：

127.0.0.1 && whoami
或者
127.0.0.1 && ps -ef
就能够执行一些危险的操作。

防护方案：

最有效的方法就是不要再应用程序代码中调用OS命令。如果非要这么搞，那么还是一样需要对用户输入进行严格的验证。

文件操作防护

5.1 文件上传漏洞

互联网当中，我们经常用到文件上传功能，传excel、传图片、传视频等等。文件上传后，服务器的处理逻辑如果做的不够安全，就会导致漏洞的产生。

文件上传后导致的常见安全问题一般有：

  • 上传文件是Web脚本语言，服务器的Web容器解释并执行了用户上传的脚本
  • 上传文件是病毒、木马文件，然后诱使用户或管理员下载执行
  • 上传文件是钓鱼图片或为包含了脚本的图片，在某些版本的浏览器中会被作为脚本执行，被用于钓鱼和欺诈。

防护方案：

  1. 检查上传文件扩展名
  2. 上传文件的目录必须是http请求无法直接访问到的。如果需要访问，需要上传到其他（和web服务器不同的）域名下，并设置该目录为不可执行目录
  3. 上传文件要保存的文件名和目录名由系统根据时间生成，不允许用户自定义
  4. 图片上传，要通过处理（缩略图、水印等），无异常才能保存到服务器
  5. 上传文件需要做日志记录

5.2 文件下载和目录浏览漏洞

文件下载和目录浏览漏洞是属于程序设计和编码上的不严谨导致的。处理用户请求下载文件时，用户提交文件路径，就把服务器上对应的文件发送给用户，这就造成了任意文件下载危险。如果用户提交目录，就把目录下的文件列表发给用户，会造成目录遍历安全威胁。良好的设计应该是：不允许用户提交任意文件路径进行下载，而是用户单机下载按钮默认传递ID到后台程序。

防护方案：

  1. 要下载的文件地址保存在数据库中
  2. 文件路径保存至数据库，让用户提交文件对应ID下载文件
  3. 下载文件之前做权限判断
  4. 文件放在web无法直接访问的目录下
  5. 记录文件下载日志
  6. 不允许提供目录遍历服务

访问控制

6.1 功能权限漏洞

功能权限漏洞是指Web应用没有做权限控制，或仅仅在菜单上做了权限控制，导致恶意用户只要猜到了其他页面的URL地址，就可以访问到他权限外的页面和数据。

防护方案：

针对任何URL，每次用户访问，都要判断用户是否有访问此URL的权限。

6.2 数据权限漏洞

这种问题出现在未对用户与数据级别之间建立关系，如用户A和用户B都有查询订单的权限，但是A只能查询A的订单，B只能查B的订单。如果只校验用户是否有某个功能的权限，不校验时候有这个数据的权限，就会出现越权问题。

防护方案：

根据用户的ID做好数据级权限控制，比如针对CRUD操作进行身份验证，且对用户访问的数据进行数据权限校验，防止通过修改ID的方式查看别人的数据。

ddos攻击

7.1 ddos攻击

DDOS（Distributed Denial of Service）又称为分布式拒绝服务，DDOS是利用合理的请求造成资源过载，导致服务不可用。常见的DDOS攻击有SYN flood、UDP flood、ICMP flood等。其中SYN flood是一种最为经典的DDOS攻击，其发现于1996年，至今仍然保持着非常强大的生命力。SYN flood如此猖獗是因为它利用了TCP协议设计中的缺陷，而TCP/IP是整个互联网的基础，想要修复这样的缺陷机不是不可能的事情。

SYN flood攻击原理：

SYN flood攻击是根据TCP协议的三次握手过程进行的攻击。在TCP服务器收到SYN请求包时，在发送ACK包回去之前，TCP服务器需要先分配一个数据区专门服务于这个快形成的TCP连接。

在常见的SYN flood攻击中，攻击者短时间内发送大量的SYN包给受害者服务器，服务器需要为每个TCP SYN包分配一个数据区，只要这些SYN包具有不同的源地址。这将给受害者服务器造成很大的系统负担，最终导致系统不能正常工作。

SYN flood防护方案：

syn cookie：

syn cookie是通过修改TCP三次握手协议，来专门防御DDOS的一种手段。服务器收到客户端的SYN包，并且返回一个ACK+SYN包时，不专门分配一个数据区，而是根据这个包计算出一个cookie值。然后再收到ACK包时，服务器根据这个cookie值检查这个ACK包是否合法。如果合法，再分配专门的数据区进行处理未来的TCP连接。

7.2 cc攻击

CC攻击是DDOS攻击的一种，可以看作是应用层面的DDOS攻击。攻击原理是：针对一些耗费资源较大的应用页面不断发起请求，以达到消耗服务器资源的目的。

防护方案：

  1. 代码要做好性能优化，合理的使用缓存，减轻数据库负担
  2. 网络架构优化，善用负债均衡，避免用户流量集中在单台服务器，同时可以充分利用cdn和镜像站点的分流作用，缓解主站的压力。
  3. 使用页面静态化技术，利用客户端浏览器的缓存功能或服务器的缓存功能，CDN节点的缓冲服务，均可以降低服务器的检索压力和计算压力。
  4. 也可以使用一些对抗手段。如限制每个ip的请求频率，超出频率的ip加入黑名单

IP黑白名单的开发

可以使用OpenResty+Lua脚本实现。也可以使用KONG

原文链接：https://www.cnblogs.com/javammc/p/15841824.html

原创文章，作者：优速盾-小U，如若转载，请注明出处：https://www.cdnb.net/bbs/archives/18503

赞 (0)
优速盾-小U优速盾-小U
0 0
上一篇 2023年6月5日
下一篇 2023年6月6日

相关推荐

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注

优速盾注册领取大礼包www.cdnb.net
/sitemap.xml