當前位置:成語大全網 - 新華字典 - web漏洞攻擊有哪些?

web漏洞攻擊有哪些?

壹、SQL註入漏洞

SQL註入攻擊(SQL Injection),簡稱註入攻擊、SQL註入,被廣泛用於非法獲取網站控制權,是發生在應用程序的數據庫層上的安全漏洞。在設計程序,忽略了對輸入字符串中夾帶的SQL指令的檢查,被數據庫誤認為是正常的SQL指令而運行,從而使數據庫受到攻擊,可能導致數據被竊取、更改、刪除,以及進壹步導致網站被嵌入惡意代碼、被植入後門程序等危害。

通常情況下,SQL註入的位置包括:

(1)表單提交,主要是POST請求,也包括GET請求;

(2)URL參數提交,主要為GET請求參數;

(3)Cookie參數提交;

(4)HTTP請求頭部的壹些可修改的值,比如Referer、User_Agent等;

(5)壹些邊緣的輸入點,比如.mp3文件的壹些文件信息等。

常見的防範方法

(1)所有的查詢語句都使用數據庫提供的參數化查詢接口,參數化的語句使用參數而不是將用戶輸入變量嵌入到SQL語句中。當前幾乎所有的數據庫系統都提供了參數化SQL語句執行接口,使用此接口可以非常有效的防止SQL註入攻擊。

(2)對進入數據庫的特殊字符(’”<>&*;等)進行轉義處理,或編碼轉換。

(3)確認每種數據的類型,比如數字型的數據就必須是數字,數據庫中的存儲字段必須對應為int型。

(4)數據長度應該嚴格規定,能在壹定程度上防止比較長的SQL註入語句無法正確執行。

(5)網站每個數據層的編碼統壹,建議全部使用UTF-8編碼,上下層編碼不壹致有可能導致壹些過濾模型被繞過。

(6)嚴格限制網站用戶的數據庫的操作權限,給此用戶提供僅僅能夠滿足其工作的權限,從而最大限度的減少註入攻擊對數據庫的危害。

(7)避免網站顯示SQL錯誤信息,比如類型錯誤、字段不匹配等,防止攻擊者利用這些錯誤信息進行壹些判斷。

(8)在網站發布之前建議使用壹些專業的SQL註入檢測工具進行檢測,及時修補這些SQL註入漏洞。

二、跨站腳本漏洞

跨站腳本攻擊(Cross-site scripting,通常簡稱為XSS)發生在客戶端,可被用於進行竊取隱私、釣魚欺騙、竊取密碼、傳播惡意代碼等攻擊。

XSS攻擊使用到的技術主要為HTML和Javascript,也包括VBScript和ActionScript等。XSS攻擊對WEB服務器雖無直接危害,但是它借助網站進行傳播,使網站的使用用戶受到攻擊,導致網站用戶帳號被竊取,從而對網站也產生了較嚴重的危害。

XSS類型包括:

(1)非持久型跨站:即反射型跨站腳本漏洞,是目前最普遍的跨站類型。跨站代碼壹般存在於鏈接中,請求這樣的鏈接時,跨站代碼經過服務端反射回來,這類跨站的代碼不存儲到服務端(比如數據庫中)。上面章節所舉的例子就是這類情況。

(2)持久型跨站:這是危害最直接的跨站類型,跨站代碼存儲於服務端(比如數據庫中)。常見情況是某用戶在論壇發貼,如果論壇沒有過濾用戶輸入的Javascript代碼數據,就會導致其他瀏覽此貼的用戶的瀏覽器會執行發貼人所嵌入的Javascript代碼。

(3)DOM跨站(DOM XSS):是壹種發生在客戶端DOM(Document Object Model文檔對象模型)中的跨站漏洞,很大原因是因為客戶端腳本處理邏輯導致的安全問題。

常用的防止XSS技術包括:

(1)與SQL註入防護的建議壹樣,假定所有輸入都是可疑的,必須對所有輸入中的script、iframe等字樣進行嚴格的檢查。這裏的輸入不僅僅是用戶可以直接交互的輸入接口,也包括HTTP請求中的Cookie中的變量,HTTP請求頭部中的變量等。

(2)不僅要驗證數據的類型,還要驗證其格式、長度、範圍和內容。

(3)不要僅僅在客戶端做數據的驗證與過濾,關鍵的過濾步驟在服務端進行。

(4)對輸出的數據也要檢查,數據庫裏的值有可能會在壹個大網站的多處都有輸出,即使在輸入做了編碼等操作,在各處的輸出點時也要進行安全檢查。

(5)在發布應用程序之前測試所有已知的威脅。

三、弱口令漏洞

弱口令(weak password) 沒有嚴格和準確的定義,通常認為容易被別人(他們有可能對妳很了解)猜測到或被破解工具破解的口令均為弱口令。設置密碼通常遵循以下原則:

(1)不使用空口令或系統缺省的口令,這些口令眾所周之,為典型的弱口令。

(2)口令長度不小於8個字符。

(3)口令不應該為連續的某個字符(例如:AAAAAAAA)或重復某些字符的組合(例如:tzf.tzf.)。

(4)口令應該為以下四類字符的組合,大寫字母(A-Z)、小寫字母(a-z)、數字(0-9)和特殊字符。每類字符至少包含壹個。如果某類字符只包含壹個,那麽該字符不應為首字符或尾字符。

(5)口令中不應包含本人、父母、子女和配偶的姓名和出生日期、紀念日期、登錄名、E-mail地址等等與本人有關的信息,以及字典中的單詞。

(6)口令不應該為用數字或符號代替某些字母的單詞。

(7)口令應該易記且可以快速輸入,防止他人從妳身後很容易看到妳的輸入。

(8)至少90天內更換壹次口令,防止未被發現的入侵者繼續使用該口令。

四、HTTP報頭追蹤漏洞

HTTP/1.1(RFC2616)規範定義了HTTP TRACE方法,主要是用於客戶端通過向Web服務器提交TRACE請求來進行測試或獲得診斷信息。當Web服務器啟用TRACE時,提交的請求頭會在服務器響應的內容(Body)中完整的返回,其中HTTP頭很可能包括Session Token、Cookies或其它認證信息。攻擊者可以利用此漏洞來欺騙合法用戶並得到他們的私人信息。該漏洞往往與其它方式配合來進行有效攻擊,由於HTTP TRACE請求可以通過客戶瀏覽器腳本發起(如XMLHttpRequest),並可以通過DOM接口來訪問,因此很容易被攻擊者利用。

防禦HTTP報頭追蹤漏洞的方法通常禁用HTTP TRACE方法。

五、Struts2遠程命令執行漏洞

ApacheStruts是壹款建立Java web應用程序的開放源代碼架構。Apache Struts存在壹個輸入過濾錯誤,如果遇到轉換錯誤可被利用註入和執行任意Java代碼。

網站存在遠程代碼執行漏洞的大部分原因是由於網站采用了Apache Struts Xwork作為網站應用框架,由於該軟件存在遠程代碼執高危漏洞,導致網站面臨安全風險。CNVD處置過諸多此類漏洞,例如:“GPS車載衛星定位系統”網站存在遠程命令執行漏洞(CNVD-2012-13934);Aspcms留言本遠程代碼執行漏洞(CNVD-2012-11590)等。

修復此類漏洞,只需到Apache官網升級Apache Struts到最新版本:blogs.com/hyddd/archive/2009/04/09/1432744.html

Web應用是指采用B/S架構、通過HTTP/HTTPS協議提供服務的統稱。隨著互聯網的廣泛使用,Web應用已經融入到日常生活中的各個方面:網上購物、網絡銀行應用、證券股票交易、政府行政審批等等。在這些Web訪問中,大多數應用不是靜態的網頁瀏覽,而是涉及到服務器側的動態處理。此時,如果Java、PHP、ASP等程序語言的編程人員的安全意識不足,對程序參數輸入等檢查不嚴格等,會導致Web應用安全問題層出不窮。

本文根據當前Web應用的安全情況,列舉了Web應用程序常見的攻擊原理及危害,並給出如何避免遭受Web攻擊的建議。

Web應用漏洞原理

Web應用攻擊是攻擊者通過瀏覽器或攻擊工具,在URL或者其它輸入區域(如表單等),向Web服務器發送特殊請求,從中發現Web應用程序存在的漏洞,從而進壹步操縱和控制網站,查看、修改未授權的信息。

1.1 Web應用的漏洞分類

1、信息泄露漏洞

信息泄露漏洞是由於Web服務器或應用程序沒有正確處理壹些特殊請求,泄露Web服務器的壹些敏感信息,如用戶名、密碼、源代碼、服務器信息、配置信息等。

造成信息泄露主要有以下三種原因:

–Web服務器配置存在問題,導致壹些系統文件或者配置文件暴露在互聯網中;

–Web服務器本身存在漏洞,在瀏覽器中輸入壹些特殊的字符,可以訪問未授權的文件或者動態腳本文件源碼;

–Web網站的程序編寫存在問題,對用戶提交請求沒有進行適當的過濾,直接使用用戶提交上來的數據。

2、目錄遍歷漏洞

目錄遍歷漏洞是攻擊者向Web服務器發送請求,通過在URL中或在有特殊意義的目錄中附加“../”、或者附加“../”的壹些變形(如“..\”或“..//”甚至其編碼),導致攻擊者能夠訪問未授權的目錄,以及在Web服務器的根目錄以外執行命令。

3、命令執行漏洞

命令執行漏洞是通過URL發起請求,在Web服務器端執行未授權的命令,獲取系統信息,篡改系統配置,控制整個系統,使系統癱瘓等。

命令執行漏洞主要有兩種情況:

–通過目錄遍歷漏洞,訪問系統文件夾,執行指定的系統命令;

–攻擊者提交特殊的字符或者命令,Web程序沒有進行檢測或者繞過Web應用程序過濾,把用戶提交的請求作為指令進行解析,導致執行任意命令。

4、文件包含漏洞

文件包含漏洞是由攻擊者向Web服務器發送請求時,在URL添加非法參數,Web服務器端程序變量過濾不嚴,把非法的文件名作為參數處理。這些非法的文件名可以是服務器本地的某個文件,也可以是遠端的某個惡意文件。由於這種漏洞是由PHP變量過濾不嚴導致的,所以只有基於PHP開發的Web應用程序才有可能存在文件包含漏洞。

5、SQL註入漏洞

SQL註入漏洞是由於Web應用程序沒有對用戶輸入數據的合法性進行判斷,攻擊者通過Web頁面的輸入區域(如URL、表單等) ,用精心構造的SQL語句插入特殊字符和指令,通過和數據庫交互獲得私密信息或者篡改數據庫信息。SQL註入攻擊在Web攻擊中非常流行,攻擊者可以利用SQL註入漏洞獲得管理員權限,在網頁上加掛木馬和各種惡意程序,盜取企業和用戶敏感信息。

6、跨站腳本漏洞

跨站腳本漏洞是因為Web應用程序時沒有對用戶提交的語句和變量進行過濾或限制,攻擊者通過Web頁面的輸入區域向數據庫或HTML頁面中提交惡意代碼,當用戶打開有惡意代碼的鏈接或頁面時,惡意代碼通過瀏覽器自動執行,從而達到攻擊的目的。跨站腳本漏洞危害很大,尤其是目前被廣泛使用的網絡銀行,通過跨站腳本漏洞攻擊者可以冒充受害者訪問用戶重要賬戶,盜竊企業重要信息。

根據前期各個漏洞研究機構的調查顯示,SQL註入漏洞和跨站腳本漏洞的普遍程度排名前兩位,造成的危害也更加巨大。

1.2 SQL註入攻擊原理

SQL註入攻擊是通過構造巧妙的SQL語句,同網頁提交的內容結合起來進行註入攻擊。比較常用的手段有使用註釋符號、恒等式(如1=1)、使用union語句進行聯合查詢、使用insert或update語句插入或修改數據等,此外還可以利用壹些內置函數輔助攻擊。

通過SQL註入漏洞攻擊網站的步驟壹般如下:

第壹步:探測網站是否存在SQL註入漏洞。

第二步:探測後臺數據庫的類型。

第三步:根據後臺數據庫的類型,探測系統表的信息。

第四步:探測存在的表信息。

第五步:探測表中存在的列信息。

第六步:探測表中的數據信息。

1.3 跨站腳本攻擊原理

跨站腳本攻擊的目的是盜走客戶端敏感信息,冒充受害者訪問用戶的重要賬戶。跨站腳本攻擊主要有以下三種形式:

1、本地跨站腳本攻擊

B給A發送壹個惡意構造的Web URL,A點擊查看了這個URL,並將該頁面保存到本地硬盤(或B構造的網頁中存在這樣的功能)。A在本地運行該網頁,網頁中嵌入的惡意腳本可以A電腦上執行A持有的權限下的所有命令。

2、反射跨站腳本攻擊

A經常瀏覽某個網站,此網站為B所擁有。A使用用戶名/密碼登錄B網站,B網站存儲下A的敏感信息(如銀行帳戶信息等)。C發現B的站點包含反射跨站腳本漏洞,編寫壹個利用漏洞的URL,域名為B網站,在URL後面嵌入了惡意腳本(如獲取A的cookie文件),並通過郵件或社會工程學等方式欺騙A訪問存在惡意的URL。當A使用C提供的URL訪問B網站時,由於B網站存在反射跨站腳本漏洞,嵌入到URL中的惡意腳本通過Web服務器返回給A,並在A瀏覽器中執行,A的敏感信息在完全不知情的情況下將發送給了C。

3、持久跨站腳本攻擊

B擁有壹個Web站點,該站點允許用戶發布和瀏覽已發布的信息。C註意到B的站點具有持久跨站腳本漏洞,C發布壹個熱點信息,吸引用戶閱讀。A壹旦瀏覽該信息,其會話cookies或者其它信息將被C盜走。持久性跨站腳本攻擊壹般出現在論壇、留言簿等網頁,攻擊者通過留言,將攻擊數據寫入服務器數據庫中,瀏覽該留言的用戶的信息都會被泄漏。

Web應用漏洞的防禦實現

對於以上常見的Web應用漏洞漏洞,可以從如下幾個方面入手進行防禦:

1)對 Web應用開發者而言

大部分Web應用常見漏洞,都是在Web應用開發中,開發者沒有對用戶輸入的參數進行檢測或者檢測不嚴格造成的。所以,Web應用開發者應該樹立很強的安全意識,開發中編寫安全代碼;對用戶提交的URL、查詢關鍵字、HTTP頭、POST數據等進行嚴格的檢測和限制,只接受壹定長度範圍內、采用適當格式及編碼的字符,阻塞、過濾或者忽略其它的任何字符。通過編寫安全的Web應用代碼,可以消除絕大部分的Web應用安全問題。

2) 對Web網站管理員而言

作為負責網站日常維護管理工作Web管理員,應該及時跟蹤並安裝最新的、支撐Web網站運行的各種軟件的安全補丁,確保攻擊者無法通過軟件漏洞對網站進行攻擊。

除了軟件本身的漏洞外,Web服務器、數據庫等不正確的配置也可能導致Web應用安全問題。Web網站管理員應該對網站各種軟件配置進行仔細檢測,降低安全問題的出現可能。

此外,Web管理員還應該定期審計Web服務器日誌,檢測是否存在異常訪問,及早發現潛在的安全問題。

3)使用網絡防攻擊設備

前兩種為事前預防方式,是比較理想化的情況。然而在現實中,Web應用系統的漏洞還是不可避免的存在:部分Web網站已經存在大量的安全漏洞,而Web開發者和網站管理員並沒有意識到或發現這些安全漏洞。由於Web應用是采用HTTP協議,普通的防火墻設備無法對Web類攻擊進行防禦,因此可以使用IPS入侵防禦設備來實現安全防護。

H3C IPS Web攻擊防禦

H3C IPS入侵防禦設備有壹套完整的Web攻擊防禦框架,能夠及時發現各種已經暴露的和潛在的Web攻擊。下圖為對於Web攻擊的總體防禦框架。

圖1:Web攻擊防禦框架,參見:/moshenglv/article/details/53439579

H3C IPS采用基於特征識別的方式識別並阻斷各種攻擊。IPS設備有壹個完整的特征庫,並可定期以手工與自動的方式對特征庫進行升級。當網絡流量進入IPS後,IPS首先對報文進行預處理,檢測報文是否正確,即滿足協議定義要求,沒有錯誤字段;如果報文正確,則進入深度檢測引擎。該引擎是IPS檢測的核心模塊,對通過IPS設備的Web流量進行深層次的分析,並與IPS攻擊庫中的特征進行匹配,檢測Web流量是否存在異常;如果發現流量匹配了攻擊特征,IPS則阻斷網絡流量並上報日誌;否則,網絡流量順利通過。

此Web攻擊防禦框架有如下幾個特點:

1) 構造完整的Web攻擊檢測模型,準確識別各種Web攻擊

針對Web攻擊的特點,考慮到各種Web攻擊的原理和形態,在不同漏洞模型之上開發出通用的、層次化的Web攻擊檢測模型,並融合到特征庫中。這些模型抽象出Web攻擊的壹般形態,對主流的攻擊能夠準確識別,使得模型通用化。

2) 檢測方式靈活,可以準確識別變形的Web攻擊

在實際攻擊中,攻擊者為了逃避防攻擊設備的檢測,經常對Web攻擊進行變形,如采用URL編碼技術、修改參數等。H3C根據Web應用漏洞發生的原理、攻擊方式和攻擊目標,對攻擊特征進行了擴展。即使攻擊者修改攻擊參數、格式、語句等內容,相同漏洞原理下各種變形的攻擊同樣能夠被有效阻斷。這使得IPS的防禦範圍擴大,防禦的靈活性也顯著增強,極大的減少了漏報情況的出現。

3) 確保對最新漏洞及技術的跟蹤,有效阻止最新的攻擊

隨著Web攻擊出現的頻率日益增高,其危害有逐步擴展的趨勢。這對IPS設備在防禦的深度和廣度上提出了更高的要求,不僅要能夠防禦已有的Web攻擊,更要有效的阻止最新出現的、未公布的攻擊。目前,H3C已經建立起壹套完整的攻防試驗環境,可以及時發現潛在Web安全漏洞。同時還在繼續跟蹤最新的Web攻擊技術和工具,及時更新Web攻擊的特征庫,第壹時間發布最新的Web漏洞應對措施,確保用戶的網絡不受到攻擊。

4) 保證正常業務的高效運行

檢測引擎是IPS整個設備運行的關鍵,該引擎使用了高效、準確的檢測算法,對通過設備的流量進行深層次的分析,並通過和攻擊特征進行匹配,檢測流量是否存在異常。如果流量沒有匹配到攻擊特征,則允許流量通過,不會妨礙正常的網絡業務,在準確防禦的同時保證了正常業務的高效運行。

結束語

互聯網和Web技術廣泛使用,使Web應用安全所面臨的挑戰日益嚴峻,Web系統時時刻刻都在遭受各種攻擊的威脅,在這種情況下,需要制定壹個完整的Web攻擊防禦解決方案,通過安全的Web應用程序、Web服務器軟件、Web防攻擊設備***同配合,確保整個網站的安全。任何壹個簡單的漏洞、疏忽都會造成整個網站受到攻擊,造成巨大損失。此外 ,Web攻擊防禦是壹個長期持續的工作,隨著Web技術的發展和更新,Web攻擊手段也不斷發展,針對這些最新的安全威脅,需要及時調整Web安全防護策略,確保Web攻擊防禦的主動性,使Web網站在壹個安全的環境中為企業和客戶服務。

原文鏈接: