7月4日消息，2012年中國(guó)計(jì)算機(jī)網(wǎng)絡(luò)安全年會(huì)在西安舉行，廣東動(dòng)易網(wǎng)絡(luò)科技有限公司核心產(chǎn)品經(jīng)理吳建亮在分論壇發(fā)表了“web常見(jiàn)漏洞與挖掘技巧”的主題演講。
廣東動(dòng)易網(wǎng)絡(luò)科技有限公司核心產(chǎn)品經(jīng)理吳建亮
以下為演講實(shí)錄：
大家好，非常榮幸能夠參與這個(gè)會(huì)議，我首先自我介紹一下，我是來(lái)自于廣東動(dòng)易，今天給大家講web常見(jiàn)漏洞與挖掘技巧，主要有三個(gè)議題，幾個(gè)比較常見(jiàn)的漏洞，這是產(chǎn)生SQL注入的主要原因是SQL語(yǔ)句的拼接，注入這里標(biāo)志出來(lái)的是比較常見(jiàn)樂(lè)觀，近一個(gè)月我在烏云上提交的漏洞的注入類型，大家具體可以看一下，大家對(duì)這個(gè)漏洞還是不夠重視，或者對(duì)這個(gè)了解還不夠深入，首先一個(gè)典型案例，萬(wàn)能密碼，網(wǎng)站萬(wàn)能密碼相信大家多不陌生，但有沒(méi)有想到這萬(wàn)能密碼會(huì)出現(xiàn)在某安全公司的內(nèi)部網(wǎng)戰(zhàn)上。第一次發(fā)現(xiàn)時(shí)，直接是這個(gè)，報(bào)告給給官方后，光放的處理方式是直加一個(gè)防火墻料事。防植與繞過(guò)從來(lái)就是一對(duì)天地，一個(gè)通用的防火墻很難針對(duì)任何一處都做到安全。只想跟廠商說(shuō)一句話九，防注餐數(shù)化難倒真的南么難，代碼過(guò)去一下。SQL注入的關(guān)鍵字，參數(shù)化查詢，過(guò)慮(白名單)，編碼，繞過(guò)防注、過(guò)慮，MYSQL寬帶節(jié)，二次注入，任何輸入都是有害，容錯(cuò)處理，爆錯(cuò)注入，最小權(quán)限。
現(xiàn)在講一下XSS/CSRF，可能各位公司不太注重這個(gè)，跨戰(zhàn)腳本、跨戰(zhàn)請(qǐng)求偽造，造成的的危害不可少看，在某此授權(quán)檢測(cè)一團(tuán)購(gòu)網(wǎng)過(guò)程中，就是那種十月簡(jiǎn)單的團(tuán)購(gòu)網(wǎng)站，前臺(tái)功能不多，基本都是靜態(tài)或者是偽靜態(tài)，無(wú)從入手。然后在這個(gè)網(wǎng)站里發(fā)布了一個(gè)這個(gè)腳本。數(shù)分鐘過(guò)后，腳本返回了某管理員的COOKIE信息，后臺(tái)路徑居然也記錄在，后面就順利了，直接欺騙進(jìn)入了后臺(tái)，然后就直接可以拿到了。XSS/CSRF關(guān)鍵字，編碼，不需要支持HTML的地方編碼輸入，過(guò)慮，有危害的腳本，HTTPNELY，防范COOOKIE被盜，文件上傳的時(shí)候，會(huì)有一些問(wèn)題，簡(jiǎn)單舉一個(gè)烏云上的一些案例，大部分上傳播中都出現(xiàn)問(wèn)題。文件上傳關(guān)鍵字，文件后綴白名單，文件名注意多注意某些解釋漏洞還要多注意APACHE版本的解釋漏洞問(wèn)題。在開(kāi)發(fā)中，由于比較多的情況是上傳文后綴由客戶來(lái)配置，為了防配置錯(cuò)誤后臺(tái)拿Shell等情況，所以很多的時(shí)候?yàn)榱税踩珕?wèn)題，隱藏文件真實(shí)路徑，這樣即使上傳了也不行。
任意文件下漏洞，就是以讀取的方式輸入文件內(nèi)容，有可能存在任意文件下載漏洞。直接傳路徑型任意文件下載案例，可以看一下這些案例。然后數(shù)據(jù)庫(kù)儲(chǔ)存路徑型任意文件下載的案例，這個(gè)隱藏表單，用戶可以自己改隱藏表單的用戶名。另外文件下載注意的確保操作是在制定目錄下，這里也出現(xiàn)兩個(gè)路徑的問(wèn)題。越權(quán)的問(wèn)題，越權(quán)操作一般查看。烏云越權(quán)的案例是通過(guò)修改地址中的ID越權(quán)。越權(quán)問(wèn)題的關(guān)鍵字，信息ID+用戶ID，如果想了解開(kāi)發(fā)中要注意的安全問(wèn)題，可以下載《動(dòng)易安全開(kāi)發(fā)手冊(cè)》，經(jīng)過(guò)對(duì)web常見(jiàn)的漏洞分析，可以開(kāi)出來(lái)這些，白盒測(cè)試，在代碼審計(jì)方面，很多大牛也發(fā)表過(guò)很多相關(guān)的技術(shù)文章，銀行中最深刻的是那篇《高級(jí)PHP應(yīng)用程序漏洞審核技術(shù)》確實(shí)能夠快速得到找到常見(jiàn)漏洞，不要找更深層的漏洞必須了解程序。首先這是SQL注入代表審計(jì)關(guān)鍵字，SQL注入，搜索ORDER BY、IN，深入搜索select update delete，注意SQL拼接的地方，進(jìn)入的變量是否有過(guò)慮處理。這里有案例，記事狗SQL注入的。Supesite是一套擁有獨(dú)立的內(nèi)容管理功能，并集成了web2.0注入的程序。從代碼可以看出存在注入，利用，提交評(píng)論，程序即爆錯(cuò)，可以利用爆錯(cuò)來(lái)找到想要的數(shù)據(jù)，這是常用的工具，黑盒測(cè)試工具，也就是前面所介紹的的漏洞注意的關(guān)緊字和經(jīng)驗(yàn)所形成的條件反映，檢查一個(gè)功能是存在安全問(wèn)題，通常都是通過(guò)非正常的方式提交參數(shù)，根據(jù)返回來(lái)的信息來(lái)判斷問(wèn)題是否存在，firebug是一個(gè)很好的工具，它可以直觀第編輯HTML元素，繞過(guò)客戶客的驗(yàn)證等，還可以通過(guò)查詢網(wǎng)絡(luò)請(qǐng)求，看是否存在漏洞。
這是一個(gè)烏云案例，再說(shuō)一個(gè)Goohle Hacker，它在百度百科的介紹，很多人問(wèn)我，我的google搜索是不是還有其他技巧，其他也是和上面百科介紹的差不多，也是常用。例如我說(shuō)說(shuō)騰訊的，會(huì)有微博的，可以這樣搜，按照這樣的程序搜索來(lái)。說(shuō)一下漏洞庫(kù)的漏洞挖掘，這個(gè)容易理解，通過(guò)對(duì)漏洞庫(kù)德國(guó)學(xué)習(xí)和了解，可以挖掘更多同類型的漏洞，像烏云的漏洞庫(kù)。這是一個(gè)烏云的案例，支付的安全，還有密碼的修改，還有運(yùn)城代表執(zhí)行，在這里感謝烏云為互聯(lián)網(wǎng)安全研究者提供一個(gè)平臺(tái)。對(duì)新興的web放火墻可行性的一個(gè)分析，我不是防火墻方面的專家，看前面的防火墻的技巧，可以查看一下這種防火墻的可行性。各位看一下這些注入的地方，發(fā)現(xiàn)大部分注入的點(diǎn)都是Agax請(qǐng)求，一般來(lái)說(shuō)，我們了解的漏洞掃描工具都是以爬蟲(chóng)式的偏列頁(yè)面的地址。然后看一下注入案例中的web防火墻，安全傳統(tǒng)的web防火墻，只能針對(duì)規(guī)則攔截，但他不知道這個(gè)請(qǐng)求是否存在漏洞，什么漏洞?所一存在判斷失誤，所以我想能不能把這兩個(gè)結(jié)合。web有時(shí)候分析，各個(gè)參數(shù)是否存在漏洞，漏洞類型是什么?如何處理，如果是數(shù)字型的注入，可以轉(zhuǎn)換，當(dāng)然這只是一個(gè)猜想，新興的web防火墻也可以結(jié)合各漏洞庫(kù)，識(shí)別應(yīng)用程序。我今天就講到這里，內(nèi)容有點(diǎn)多，可能講的比較簡(jiǎn)單，大家可以看一下那個(gè)案例，可以學(xué)到一點(diǎn)東西。謝謝。
(附主持人點(diǎn)評(píng))
非常感謝建亮，其實(shí)他是一個(gè)開(kāi)發(fā)人員，他想的比較遠(yuǎn)，另外在這里我想多說(shuō)兩句，其實(shí)對(duì)web安全的一個(gè)誤解，大家可能覺(jué)得web安全是很廉價(jià)其實(shí)這是一個(gè)誤解，現(xiàn)在云的概念，還有網(wǎng)站，電子商務(wù)網(wǎng)站，越來(lái)越把數(shù)據(jù)往自己那個(gè)服務(wù)器上集中，就會(huì)導(dǎo)致web更重要。去年有一個(gè)很大的電子商務(wù)網(wǎng)站，授權(quán)的一個(gè)檢測(cè)，檢測(cè)的結(jié)果讓人也很尷尬，最大的問(wèn)題是他的邊界WF都看不到，有漏洞就是不安全，沒(méi)有漏洞就是安全。但是我們當(dāng)時(shí)從測(cè)電子商務(wù)網(wǎng)站發(fā)現(xiàn)問(wèn)題很?chē)?yán)重，進(jìn)去滯后發(fā)現(xiàn)整個(gè)內(nèi)部網(wǎng)絡(luò)是扁平的，其實(shí)這個(gè)漏洞是很容易發(fā)現(xiàn)的，無(wú)論是騰訊還是支付寶，大家都有安全團(tuán)隊(duì)，但是這個(gè)漏洞還是存在，這個(gè)存在就是說(shuō)是一個(gè)弱點(diǎn)，是很難解決的，應(yīng)該把這個(gè)程序改變一下。因?yàn)閣eb表面是一個(gè)漏洞，其實(shí)他是一個(gè)安全邊界的。剛才他建在一個(gè)web安全角度看安全，下一個(gè)是阿里巴巴的吳瀚清講網(wǎng)站離線安全分析漫談，但是他還沒(méi)到，現(xiàn)在請(qǐng)李陸演講重要行業(yè)信息系統(tǒng)安全風(fēng)險(xiǎn)分析。
推薦閱讀
綠盟科技李陸：重要行業(yè)信息系統(tǒng)安全風(fēng)險(xiǎn)分析
7月4日消息，2012年中國(guó)計(jì)算機(jī)網(wǎng)絡(luò)安全年會(huì)在西安舉行，北京神州綠盟科技有限公司李陸發(fā)表了題為“重要行業(yè)信息系統(tǒng)安全風(fēng)險(xiǎn)分析”的演講。 北京神州綠盟科技有限公司李陸 以下為演講實(shí)錄： 大家好，我是來(lái)自綠盟科技>>>詳細(xì)閱讀
本文標(biāo)題：吳建亮：web常見(jiàn)漏洞與挖掘技巧
地址：http://www.xglongwei.com/a/11/20120705/73574.html
網(wǎng)友點(diǎn)評(píng)
精彩導(dǎo)讀
科技快報(bào)
品牌展示