web安全评估与防护.docxVIP

随着用户对客户端便利性的要求，加上服务提供方对减少客户端开发成本和维护成本 的期望，越来越多的应用已经转为 B/S （浏览器/服务器）结构。由于用户对页面展现效果 和易用性的要求越来越高， Web2.0技术的应用越来越广泛，这样不但促进了 Web应用的 快速发展，同时也使 Web应用中所存在的安全问题越来越明显的暴露出来。 根据X-Force的2008年年度报告，Web安全事件数量增长迅猛： 16JC0G14j00C 16JC0G 14j00C 12000 10.000 6J0QQ GjOOC 4.0QQ 3.000 0 1996 1999 2000 2001 2002 2003 2WH 2005 2006 2007 2006 2008年Web安全事件增长 在这种背景条件下，除了越来越多的站点因安全问题而被攻击者攻陷，导致重要信息 泄漏，甚至成为傀儡主机，大量傀儡主机被攻击者利用发动 DDO（分布式拒绝服务攻击） 客户端也面临着很多安全问题，恶意页面的垃圾信息传播、网页挂马导致的恶意程序的传 .概述 1.1什么是Web安全评估 Web安全评估主要在客户的 Web平台上，针对目前流行的 Web安全问题分别从外部和 内部进行黑盒和白盒安全评估。 根据Web多层面组成的特性，通过对 Web的每一个层面进行评估和综合的关联分析， 从而查找Web站点中可能存在的安全问题和安全隐患。 Web安全评估与传统评估服务的区别 在传统的系统层评估中，评估方向以系统自身安全性和策略的完善程度作为主要的评 估方向，目标仅在于揭露系统配置上的缺陷。 而在Web站点评估中，除了需要关注系统层面的安全问题外，还需要关注系统组件及 第三方应用程序设计的安全性。而在 Web站点中，安全问题也不再像系统安全问题那样只 具备单一的层面，而是多个层面叠加产生，因此 Web安全评估还需要更加注重各个层面安 全问题的关联性，将这些问题进行必要的关联分析后来确认 Web站点整体的风险。 从这方面来说，Web安全评估从人力到技术等各个方面的投入都要大于传统的系统安 全评估，而其所能发掘的问题也是多层面的。 1.3评估流程 外部评估 冶用能柞亂处心啟 1 面临的威胁 2.1跨站脚本 跨站脚本攻击全称为 Cross Site Script，一般缩写为XSS此漏洞是由于应用程序 在服务器端获取用户提交的数据时，没有对内容进行验证。使得攻击者精心构造的恶意脚 本在普通用户的浏览器中得到执行，除了可以窃取其他用户、管理员的 Cookie夕卜，还可以 进行挂马，使得更多的访问者感染恶意代码。在 Web2.0技术流行的今天，跨站脚本漏洞 还有可能被蠕虫利用，进行大规模的攻击，危害很大。 此类漏洞的根本原因是，开发人员在编写应用程序时，对用户提交的数据过滤的不够 严格，或者未过滤。由于考虑在实际开发中需要过滤的内容比较多，可能会有遗漏，因此 我们建议开发人员在对用户输入的变量进行检查时，使用白名单方式，即，检查用户传入 的变量是否是系统允许的类型，如果不是，就提示错误，直到用户传入合法的数据。 注入攻击 注入攻击中最常见的是 SQL注入，此攻击类型是由于应用程序在服务器端获取用户提 交的数据时，没有对内容进行严格验证，就拼接到 SQL语句中执行。攻击者可以精心构造 特定的SQL语句使服务器执行，从而进行未授权的数据修改，甚至在数据库服务器上执行 系统命令，对 Web站点的安全造成严重威胁。 此类漏洞的根本原因是，开发人员在编写应用程序时，未使用安全的方式执行 SQL查 询，而使用了拼接的方式将变量输入到 SQL语句中。防范SQL注入的最好方法是，修改应 用程序代码，使用安全的方式执行 SQL查询，例如：使用 PreparedStateme nt方式。 越权操作 越权操作通常是由于应用程序在编写时，对身份验证部分考虑的不全面。越权操作可 以分为水平和垂直两个方面： 水平越权是指：部分页面未对访问者的角色进行严格检查， A用户可能利用应用程序 的漏洞，可以访问到 B 用户的数据，进行越权查看，修改，甚至删除。此类越权操作可能 导致用户信息泄漏，或者被恶意篡改，严重影响网站的形象。如果发生在存放有重要数据 的系统中，可能会导致直接或间接经济损失，甚至引发法律纠纷。 垂直越权是指：部分页面未对访问者的角色进行严格区分，普通用户可能利用应用程 序的漏洞，将自己提升到高一级用户的权限，例如管理员权限。此类越权操作可能导致管 理员权限泄漏，攻击者用管理员权限进行一些非法操作，严重影响数据的安全性。如果管 理员后台合并有其他漏洞，例如：图片上传漏洞，攻击者可以向系统中上传 webshell ，进 一步提升权限，最终获得网站服务器的管理员权限，危害很大。 文件上传 文件上传漏洞指：开发人员编写应用程序时，未