网络攻防原理与技术第10章 Web网站攻击技术.pptxVIP

第 十 章Web网站攻击技术连接器 连接器 数据库 数据库 Web应用程序体系结构 Oracle SQL Server etc.IE, Chrome,Firefox,etc. Apache IIS etc.HTTP/HTTPS请求Web应用程序 传输层 Web客户端 Web服务器 Web应用程序 Web应用程序 明文或SSLHTTP响应( HTML, JavaScript, etc.) Perl C++ CGI Java ASP PHP etc. ADO ODBC JDBC etc.Web应用体系结构潜在弱点Web客户端：活动内容执行，客户端软件漏洞的利用，交互站点脚本的错误；传输：偷听客户-服务器通信，SSL重定向；Web服务器：Web服务器软件漏洞；Web应用程序：攻击授权、认证、站点结构、输入验证，以及应用程序逻辑；数据库：通过数据库查询运行优先权命令，查询操纵返回额外的数据集。Web应用Web Applications: Software applications that interact with users or other applications using HTTP or HTTPSWeb Application Vulnerabilities:Weakness in custom Web Application, architecture, design, configuration, or code.Web应用安全的严重性在安全漏洞报告中，Web应用安全漏洞一直占据最前列。比如SANS @RISK 在2007年8月的安全漏洞报告：SANS @RISK Aug 20078/78/138/208/27TotalMicrosoft Products0515020Mac10124Linux451515Unix, Solaris, etc626317Network Device123511Web Applications50352322130介绍OWASPOWASP: Open Web Application Security Project， 一个全志愿者组成的、非营利性机构；开发和出版免费专业开源的文档、工具和标准；致力于帮助组织机构理解和提高他们的Web安全。OWASP的工作公认的Web应用安全标准组织各种Web安全会议出版Web应用安全漏洞排名： 《The Ten Most Critical Web Application Security Vulnerabilities》出版Web应用安全手册： 《A Guide to Building Secure Web Applications》开源的Web安全开发和训练工具WebScarab：一个Web应用和Web服务的安全漏洞测试工具WebGoat：一个在线的Web应用安全漏洞训练环境各种Web代码测试工具十大安全漏洞-OWASP 2007A1.Cross-Site Scripting (XSS)：跨站脚本A2.Injections Flaws：注入漏洞A3.Malicious File Execution：恶意文件执行A4.Insecure Direct Object Reference：不安全的直接对象引用A5.Cross Site Request Forgery (CSRF)：跨站请求仿冒十大安全漏洞-OWASP 2007A6.Information Leakage Improper Error Handling：信息泄露和不当的错误处理A7.Broken Authentication Session Management：认证和会话管理不完善A8.Insecure Cryptographic Storage：不安全的加密存储A9.Insecure Communications：不安全的通信A10.Failure to Restrict URL Access：URL访问缺少限制2007 VS. 2004 (1/2)OWASP Top 10 2007OWASP Top 10 2004A1. Cross Site Scripting (XSS)A4. Cross Site Scripting (XSS)A2. Injection FlawsA6. Injection FlawsA3. Malicious File Execution(NEW)A4. Insecure Direct Object ReferenceA2. Broken Access Control (Split in 2007 T10)A5. Cross Site Request Forgery (CSRF)(NEW)A6. Information Leakage and Impro