安全性测试题稿.ppt

* * * * 目 录 1. 安全性基本介绍 2. 安全性测试工具_AppScan介绍 安全系统防护体系 系统之间数据通信和会话访问不被非法侵犯。 网络平台、操作系统、基础通用应用平台(服务/数据库等)的安全。 基础设施的物理安全。 系统数据的机密性、完整性、访问控制和可恢复性。 业务运行逻辑安全/业务资源的访问控制；业务交往的不可抵赖性/业务实体的身份鉴别/业务数据的真实完整性。 实体安全 通信安全 应用安全 数据安全 1 平台安全 2 3 4 5 6 7 对系统安全性的动态维护和保障，控制由于时间推移和系统运行导致安全性的变化。 运行安全 对相关人员、技术和操作进行管理，总揽以上各安全要素进行控制。 管理安全 数据层 中间层 客户端 Web 应用的架构 Internet 防火墙 Web 服务器 应用 服务器 数据库 信息安全全景 Web 服务器 应用 服务器 IDS(入侵诊断系统) IPS(入侵防御系统) 安全防护策略 安全性测试的方法 跨站点脚本攻击 用户 某银行的网站 恶意攻击者 1.通过E-mail或Http将的链接发给用户. 2.用户将嵌入的脚本当做数据发送. 3.浏览器执行脚本后，返回数据. 4.在用户不知情的情况下，脚本将用户的Cookie信息发送出去. 5.恶意攻击者使用偷来的Cookie信息来伪装成该用户. Cookie:服务器存储在客户机上并在后续会话过程中访问的信息。通过Cookie，服务器可以检索有关客户机的特定信息。 威胁类列表—1/2 OWASP TOP 10 Risks 威胁类 描述 A1 注入 命令执行：LDAP 注入 对通过用户提供的输入来构造LDAP语句的Web站点加以利用所使用的一种攻击方法。 命令执行：SQL 注入 对通过用户提供的输入来构造 SQL 语句的 Web 站点加以利用所使用的一种攻击方法。 命令执行：SSI 注入 一种服务器端利用技术，攻击者通过它可以将代码发送到 Web 应用程序中，Web 服务器稍后将在本地执行此代码。 命令执行：XPath 注入 对通过用户提供的输入构造 XPath 查询的 Web 站点加以利用所使用的一种攻击方法。 A2 跨站脚本 客户端攻击：跨站点脚本编制 强制 Web 站点回传攻击者所提供并在用户浏览器中装入的可执行代码的一种攻击方法。 A3 无效的验证和会话管理 认证：会话期限不足 当 Web 站点许可攻击者复用旧的会话凭证或会话标识进行认证时，会出现“会话期限不足”。 认证：会话定置 将用户的会话标识强制变为显式值的一种攻击方法。在用户的会话标识定置后，攻击者会等待其登录。一旦用户进行登录，攻击者就会使用预定义的会话标识值来夺取其在线身份。 A4 对资源不安全的直接引用 命令执行：缓冲区溢出 通过覆盖内存中超过所分配缓冲区大小的部分的数据来修改应用程序流的攻击。 命令执行：格式字符串攻击 通过使用字符串格式化库功能访问其他内存空间来修改应用程序流的攻击。 命令执行：操作系统命令执行 通过操纵应用程序输入执行操作系统命令来对 Web 站点加以利用所使用的一种攻击方法。 摘录自：1.OWAP 2010 TOP 10 Risks 2.AppScan Standard Edition 用户指南 威胁类列表—2/2 OWASP TOP 10 Risks 威胁类 描述 A5 跨站伪造请求 认证：凭证/会话预测 一种通过推断或猜测用于标识特定会话或用户的唯一值来劫持或仿冒 Web 站点用户的方法。 客户端攻击：内容电子欺骗 用于骗取用户相信在 Web 站点上出现的特定内容是合法的并且不是来自于外部来源的一种攻击方法。 A6 错误的安全配置 信息泄露：目录索引 自动目录列表/索引是一项 Web 服务器功能，此功能会在没有常规基础文件（index.html/home.html/default.htm）的情况下列出所请求目录内的所有文件。由于与特定 Web 请求相结合的软件漏洞，因此可能会列出意外目录。 A7 失败的网址访问权限限制 认证：不充分认证 当 Web 站点不必进行适当认证即许可攻击者访问敏感内容或功能时，会出现“不充分认证”。 认证：不充分授权 当 Web 站点许可对应当要求更高访问控制限制的敏感内容或功能进行访问时，会出现“不充分授权”。 A8未经验证的网址重定向 逻辑攻击：不充分过程验证 当web站点许可攻击者绕过或规避应用程序的预期流程控制时，会出现“不充分过程验证”。 A9 不安全的密码存储 认证：弱密码恢复验证 当 Web 站点许可攻击者非法获取、更改或恢复另一个用户的密码时，会出现“弱密码恢复验证”。 认证：蛮力 猜测个人的用户名、密码、信用卡号或密钥所使用的自动化反复试验过程。 A10 薄弱的传输层保护 信息泄露：信息暴露