文档章节

常见的WEB安全漏洞

greki
 greki
发布于 2012/10/15 18:24
字数 715
阅读 270
收藏 5
点赞 1
评论 0

常见的WEB安全漏洞

 l  攻击目标:

       1. 影响 宕机、篡改页面等

        2. 交易 盗取银行账号、钓鱼攻击

        3. 用户 登录密码以及cookie/refer/ip隐私

l  常见漏洞

1.        SQL注入

俗称黑客的填空游戏,填准了什么都能干,sql语句拼接的小网站比较常见。

定义:攻击者提交恶意SQL并得到执行

本质:由于输入检验不充分,导致非法数据被当做SQL来执行

防范:ibatis SQL 尽量用#,慎用$$带上元数据标识(select * from xxx order by $orderByColumn:METADATA$)

 

2.        XSS: Cross-Site Scripting,跨站脚本攻击

定义:攻击者在页面里插入恶意脚本,当用户浏览该页时,嵌入其中的恶意代码被执行,从而达到攻击者的特殊目的

实质:用户提交的HTML代码未经过滤和转义直接回显

特点:

攻击授信和未授信用户,不直接攻击服务器

很常见,例如贴图、 AJAX回调、富文本(如评论留言)

恶意脚本可能位于跨站服务器,但必须用户浏览器执行,最暴力的防范就是禁用JS脚本

危害:

挂蠕虫、木马、病毒

盗取用户的cookie/referer/ip等信息

制作钓鱼网站

用户被提交恶意数据、被执行恶意操作

 帮助CSRF,绕过CSRFtoken验证

3.        CSRF :Cross Site Request Forgery,即跨站请求伪造

定义: 在恶意站点上,促使用户请求有CSRF漏洞的应用的 URL或欺骗性的表单,从而修改用户数据

实质:利用session机制,盗用授信用户对应用做一些恶意的GET/POST提交

特点:

不同于XSS,恶意脚本一定位于跨站服务器

攻击授信用户,不直接攻击服务器

近年增多,授信用户的贴图、表单提交、页面交互、AJAX调用都可能导致该漏洞

危害:

获得管理员权限

盗取用户银行卡、信用卡信息

授信用户被提交恶意数据、被执行恶意操作

 防范:

 服务器区分GET/POST,增加攻击难度

REFERER校验,补充手段

改长授信为短授信

时间戳

关键流程使用验证码

Token验证

严防XSS,否则短授信可能被伪造

l  扩展阅读

其他漏洞

    命令行注入

    文件上传漏洞

    缓冲区溢出

    访问控制漏洞

    Logic Flaw,逻辑漏洞

    无限制URL跳转漏洞

    表单重复提交

 

参考

    SQL INJECTION SQL注入

    iBATIS使用$#的一些理解

    XSS Wikipedia

    不能忽视的XSS漏洞

    CSRF Wikipedia

    Google GMail E-mail Hijack Technique

    Struts2/XWork < 2.2.0远程执行任意代码漏洞分析及修补

    Struts2Webwork远程命令执行漏洞分析

本文转载自:

共有 人打赏支持
greki
粉丝 95
博文 109
码字总数 45236
作品 0
杭州
技术主管
web渗透工程师--数据挖掘工程师--私单

web渗透工程师----数据挖掘工程师 岗位描述 负责公司承接的安全项目,主要以渗透拿站为主。 1.熟悉asp、php、jsp等常见的web代码,熟悉SQL注入、 XSS钓鱼、挂马等常见的web安全漏洞利用,熟练...

人才引进
2016/11/23
190
1
IBM网络安全测试工具--AppScan

IBM AppScan该产品是一个领先的 Web 应用安全测试工具,曾以 Watchfire AppScan 的名称享誉业界。Rational AppScan 可自动化 Web 应用的安全漏洞评估工作,能扫描和检测所有常见的 Web 应用安...

匿名
2010/04/28
24.6K
1
五个常见的Web应用漏洞及其解决方法

开放Web应用安全项目(OWASP)很快会发布今年的10大Web应用安全漏洞清单。这个清单与去年并没有太大差别,这表明负责应用设计与开发的人仍然没能解决以前那些显而易见的错误。许多最常见的Web...

sosg
2013/09/26
0
0
渗透测试实战

软件测试有很多种,如黑盒测试,功能测试等。 今天介绍渗透测试。 渗透测试一般在黑客中运用,黑客当然不是骇客(cracker),是有区别的。 渗透测试可以说是黑客攻击的一种,通常的黑客攻击包...

crossmix
2015/12/04
137
0
招sql注入漏洞 渗透技术 渗透测试人员 可兼职

负责承接的安全项目,主要以渗透测试 为 主。 1、精通web攻击、渗透技术,精通 asp/asp.net/php/java代码防护; 2、熟练掌握windows/nux/unix攻防 技 术; 3、熟练掌握SQL注入、文件上传、 ...

liujian1
2015/06/09
471
1
什么是web 应用防火墙

Web应用防火墙是集web防护、网页保护、负载均衡、应用交付于一体的web整体安全防护设备的一款产品 。 Web防火墙产品部署在Web服务器的前面,串行接入,不仅在硬件性能上要求高,而且不能影响...

克利奥特
01/02
0
0
研究人员:去年每一次的ICO平均有五个漏洞

  根据安全研究人员的调查发现,在去年每一次的加密货币ICO(首次币发行)都平均包含五个安全漏洞,其中只有一次ICO不包含任何严重的安全漏洞。根据Positive.com提供的信息,其中的大部分漏...

FreeBuf
07/08
0
0
10大常见的安全漏洞!你知道吗?

众所周知,黑客入侵、网络攻击以及其他数字化安全漏洞从来都有百害而无一利。一个行业的烦恼可能是另一个行业的噩梦——如果你读过 Veracode 的《软件安全报告声明,卷6》,就会知道大多数安...

OneAPM蓝海讯通
2016/03/04
30
0
如何保护 .NET 应用的安全?

自从 Web 应用能给访问者提供丰富的内容之后,黑客们就把目光转向任何他们能够破坏,损毁,欺骗的漏洞。通过网络浏览器提供的应用越来越多,网络罪犯们可以利用的漏洞数量也呈指数增长起来。...

OneAPM蓝海讯通
2016/03/11
13
0
网络安全,一个大写的反“作死”!

近年来流氓软件、后门程序、木马等网络威胁数量暴增,电脑病毒是个令人讨厌的字眼,却作死一般的围绕在我们每一位网民身边。为了提醒后人不忘CIH病毒带来的教训,每年的4月26日,是世界电脑病...

让往事随风
2016/04/21
84
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

代码生成利器:IDEA 强大的 Live Templates

代码生成利器:IDEA 强大的 Live Templates

qwfys
22分钟前
1
0
spring boot使用通用mapper(tk.mapper) ,id自增和回显等问题

最近项目使用到tk.mapper设置id自增,数据库是mysql。在使用通用mapper主键生成过程中有一些问题,在总结一下。 1、UUID生成方式-字符串主键 在主键上增加注解 @Id @GeneratedValue...

北岩
26分钟前
1
0
告警系统邮件引擎、运行告警系统

告警系统邮件引擎 cd mail vim mail.py #!/usr/bin/env python#-*- coding: UTF-8 -*-import os,sysreload(sys)sys.setdefaultencoding('utf8')import getoptimport smtplibfr......

Zhouliang6
28分钟前
0
0
日常运维--rsync同步工具

rsync命令是一个远程数据同步工具,可通过LAN/WAN快速同步多台主机间的文件。rsync使用所谓的“rsync算法”来使本地和远程两个主机之间的文件达到同步,这个算法只传送两个文件的不同部分,而...

chencheng-linux
33分钟前
1
0
Java工具类—随机数

Java中常用的生成随机数有Math.random()方法及java.util.Random类.但他们生成的随机数都是伪随机的. Math.radom()方法 在jdk1.8的Math类中可以看到,Math.random()方法实际上就是调用Random类...

PrivateO2
45分钟前
1
0
关于java内存模型、并发编程的好文

Java并发编程:volatile关键字解析    volatile这个关键字可能很多朋友都听说过,或许也都用过。在Java 5之前,它是一个备受争议的关键字,因为在程序中使用它往往会导致出人意料的结果。在...

DannyCoder
昨天
0
0
dubbo @Reference retries 重试次数 一个坑

在代码一中设置 成retries=0,也就是调用超时不用重试,结果DEBUG的时候总是重试,不是0吗,0就不用重试啊。为什么还是调用了多次呢? 结果在网上看到 这篇文章才明白 https://www.cnblogs....

奋斗的小牛
昨天
1
0
数据结构与算法3

要抓紧喽~~~~~~~放羊的孩纸回来喽 LowArray类和LowArrayApp类 程序将一个普通的Java数组封装在LowArray类中。类中的数组隐藏了起来,它是私有的,所以只有类自己的方法才能访问他。 LowArray...

沉迷于编程的小菜菜
昨天
0
0
spring boot应用测试框架介绍

一、spring boot应用测试存在的问题 官方提供的测试框架spring-boot-test-starter,虽然提供了很多功能(junit、spring test、assertj、hamcrest、mockito、jsonassert、jsonpath),但是在数...

yangjianzhou
昨天
1
0
rsync工具介绍/rsync通过ssh同步

rsync工具介绍 数据备份是必不可少,在Linux系统下数据备份的工具很多,其中重点介绍就是rsync工具,rsync不仅可以远程同步数据,还可以本地同步数据,且不会覆盖以前的数据在已经存在的数据...

Hi_Yolks
昨天
2
0

没有更多内容

加载失败,请刷新页面

加载更多

下一页

返回顶部
顶部