安全攻击及防范手册模板.docVIP

安全攻击及防范

安全攻击及防范手册

版本1.0

8月

概述

介绍

当今世界，Internet(因特网)已经成为一个很关键基础平台，很多企业全部将应用架设在该平台上，为用户提供更为方便、快捷服务支持。这些应用在功效和性能上，全部在不停完善和提升，然而在很关键安全性上，却没有得到足够重视。伴随WEB技术应用范围越来越广泛，WEB技术相关安全漏洞越来越多被挖掘出来，而针对WEB站点攻击已经成为了最流行攻击路径。

很快前项目管理部对企业内外关键系统进行了一次安全隐患分析测试，并总结出了《企业安全测试问题分类及描述》汇报文档。本文针对此汇报中提到部分重大安全隐患问题逐一分析，并给出对应处理方案。

参考资料

《Java安全性编程实例》

《网站系统安全开发手册》

《企业级Java安全性(构建安全J2EE应用)》

WEB安全隐患及预防方法

会话标识未更新

描述

登陆过程前后会话标识比较，显示它们并未更新，这表示有可能伪装用户。初步得悉会话标识值后，远程攻击者有可能得以充当已登录正当用户。

安全等级

高。

安全风险

可能会窃取或操纵用户会话和cookie，它们可能用于模拟正当用户，从而使黑客能够以该用户身份查看或变更用户统计和实施事务。

处理方案

不要接收外部创建会话标识。

一直生成新会话，供用户成功认证时登录。

预防用户操纵会话标识。

请勿接收用户浏览器登录时所提供会话标识。

假如有验证码。验证码改用application存放。同时记得释放资源

技术实现

登陆界面和登陆成功界面一致时

修改后台逻辑，在验证登陆逻辑时候，先强制让目前session过期，然后用新session存放信息。

登陆界面和登陆成功界面不一致时

在登陆界面后增加下面一段代码，强制让系统session过期。

request.getSession().invalidate();//清空session

Cookiecookie=request.getCookies()[0];//获取cookie

cookie.setMaxAge(0);//让cookie过期

注意：

框架2.0已经修改了登陆验证类，登陆成功后会清理掉目前session，重新创建一个新session。通常使用框架2.0项目均可统一增加此功效。

不充足帐户封锁

描述

程序没有使用锁定功效，能够穷举密码，能够造成蛮力攻击，恶意用户发送大量可能密码和/或用户名以访问应用程序尝试。因为该技术包含大量登录尝试，未限制许可错误登录请求次数应用程序很轻易遭到这类攻击。

安全等级

高。

安全风险

可能会升级用户特权并经过Web应用程序获取管理许可权。

处理方案

请确定许可登录尝试次数（通常是3-5次），确保超出许可尝试次数以后，便锁定帐户。为了避免真正用户因帐户被锁定而致电支持人员麻烦，能够仅临时性暂挂帐户活动，并在特定时间段以后启用帐户。帐户锁定大约10分钟，通常见这么方法阻止蛮力攻击。

技术实现

提供锁定信息配置类，可依据项目特定需求修改此配置信息。

修改登陆验证逻辑，依据上面配置信息提供帐户锁定功效。

注意：

框架2.0已经实现了此功效，通常使用框架2.0项目均可统一增加此功效。

可估计登录凭证

描述

发觉应用程序会使用可预期认证凭证（比如：admin+admin、guest+guest）。攻击者很轻易估计用户名和密码，登录应用程序，从而获取未获授权特权。

安全等级

高。

安全风险

可能会升级用户特权并经过Web应用程序获取管理许可权。

处理方案

不应使用易于估计凭证（比如：admin+admin、guest+guest、test+test等），因为它们可能很轻易估计，可让用户不妥进入应用程序。

技术实现

只要养成良好习惯，果断不使用轻易估计名和密码，即可根本杜绝这类问题。

登录错误消息凭证枚举

描述

当试图利用不正确凭证来登录时，当用户输入无效用户名和无效密码时，应用程序会分别生成不一样错误消息。经过利用该行为，攻击者能够经过反复试验（蛮力攻击技术）来发觉应用程序有效用户名，再继续尝试发觉相关联密码。

安全等级

高。

安全风险

可能会升级用户特权并经过Web应用程序获取管理许可权。

处理方案

不管名和密码哪个错误，全部提醒一样消息。且同时加上登陆失败次数达成要求帐户锁定功效。

技术实现

不管名和密码哪个错误，全部提醒以下所表示一样消息：

一旦某个帐户连续登陆失败次数达成了要求数值，就会按配置时间被锁定，以下提醒：

如此一来，攻击者就没机会穷举帐户和密码了，这类攻击也就不可能发生了！

注意：

框架2.0已经实现了此功效，通常使用框架2.0项目均可统一增加此功效。

已解密登录请求

描述

经过HTTPPOST发送表单数据，这些数据将在HTTP报文中以明文形式