Web应用配置安全漏洞分析及防护.pdfVIP

Web应用配置安全漏洞分析及防护 109 Web应用配置安全漏洞分析及防护木 许博义1 赵燕君2 刘 平2 摘要：随着军用信息系统中Web应用愈加丰富并逐渐扮演重要角色，针对Web应用的攻击事件数 量将会持续增长。由于Web应用配置不当而带来的安全隐患，是系统成为攻击首要原因，本文分析Web 应用配置的安全隐患以及检测方法。 关键词：攻击检测；web服务 1 引言 在军用信息系统建设中，无论是对旧有信息系统的改造，还是开展新的IT构架的设计，SOA都将 义、消息传输与服务发布，使得Web服务成为实现SOA应用的首选技术。虽然Web服务技术建立在 网络应用长期实践经验的基础上，但它并不比以往的网络应用系统更加安全，相反地，由于Web服务 具有接口标准化、跨平台互操作性以及基于XML的SOAP消息传递等特点，当采用Web服务技术实 现应用系统集成时，应用系统面临的安全问题更加严重，防范更加困难。特别是围绕Web服务的配 置、部署与维护方面，缺少统一的安全机制，成为新的安全隐患。 2 Web应用漏洞 Web应用系统一般分为平台软件、Web服务程序以及配置文件三类。平台软件包括操作系统、 Web服务器、FTP服务器、数据库服务器、代理服务器等；Web应用程序实现了Web服务的应用层逻 辑，包括HTML代码、服务实现代码等；配置文件设置了提供Web服务所需的各种环境参数。Web系 统漏洞包含在这三类软件中，绝大多数流行的针对Web服务的攻击都利用了这些漏洞得以实现。因 辑类。 Web平台类漏洞：Web平台类软件本身包含着大量的软件缺陷，其中两类缺陷极易导致Web应 用攻击：Web服务器目录遍历和弱内存保护。Web服务器目录遍历属于软件功能设计不当，远程的攻 击者可以构造恶意的H，11P请求通过Web服务访问服务器文件系统中的任意文件。尽管可以通过过 滤URL中的敏感字符防范这类攻击，但是攻击者仍然可以利用UNICODE编码敏感字符使过滤失效。 弱内存保护是最为常见的代码缺陷，通常存在于使用C语言编写的程序中。存在弱内存保护缺陷的 程序进程中，重要的内存段可能会被改写，从而改变进程行为。 Web服务实现类漏洞：Web服务实现类漏洞是Web系统中最大的一类安全漏洞，其根源是Web 服务程序员缺乏足够的安全意识，写出的代码存在各种安全隐患。在Web服务程序中，发送给客户端 的数据和代码是不受任何保护的，如果服务端代码不对客户端发回的数据做充分的合法性检查，则很 $ 收稿日期：2013-05-27 110 全国抗恶劣环境计算机第二十三届学术年会论文集 可能被攻击者加以利用。例如Web网页的用户表单中存在一些隐藏控件和选择控件，这些控件的值 是可以被远程用户任意篡改的，同样，用户端的脚本代码也可能会被篡改。在Web服务实现类漏洞 中，与注入类攻击相关的一系列代码缺陷危害最大、最容易被利用并造成严重后果。 Web服务逻辑类漏洞：Web服务逻辑类漏洞一般是Web应用的设计缺陷引起的，包括弱身份验 证、脚本功能设计不当等。账号和密码是最基本的身份验证手段，如果用户密码过于简单而且对用户 登录不作严格限制会引起密码猜解攻击，密码恢复策略不当可能让恶意用户轻易骗取到账号密码。 许多Web应用脚本将用户输入的URL参数作为文件名访问本地文件系统中的文件，甚至直接执行本 地的可执行文件，攻击者可以试探性地在输人中构造相对路径，访问或执行服务器端的任意文件。有 些Web服务由于设计不当，将大量的业务逻辑集中到少数几个页面中，攻击者很容易专门针对这些负 载过重的页面进行应用层的拒绝服务攻击。 Web应用配置类漏洞：Web应用系统包含大量的配置文件，配置不当造成的漏洞轻则泄漏系统的 机密信息，重则会在服务器主机上运行攻击者提供的恶意代码。事实上，远程Web服务攻击的第一步 是尽可能详细地收集目标系统的各类信息，从而找出可以利用的漏洞。许多Web服务器，例如 Apache在安装后会提供一个缺省的对外可浏览的目录索引页，该索引页可能会泄漏本地的文件系统 层次信息。脚本代码中多余的解释语句、调试信息以及Web文档目录下的隐藏文件等等都可能会成 为攻击者了解目标系统的来源。软件版本也是攻击者需要交接的重要信息，配置不当的Web应用会 留下大量的有用信息帮助攻击者了解系统的操作系统类型、平台软件版本甚至是应用