常见安全漏洞及测试方法
常见安全漏洞及测试⽅法
常见安全漏洞及测试⽅法
垂直权限问题及测试⽅法
垂直权限漏洞是指Web应⽤没有做权限控制,或仅仅在菜单上做了权限控制,导致恶意⽤户只要猜到了其他页⾯的URL,就可以访问或控制其他⾓⾊拥有的数据或页⾯,达到权限提升的⽬的。
业务测试过程中,要设计此场景安全测试⽤例,并切实落地执⾏:⽤户A登录后,打开浏览器NetWork,查看所有XHR⽹络请求。⽤户B登录后,A的请求,进⾏重复操作,若可以正当操作,则表⽰接⼝存在越权问题。CR过程,要针对有update、delete、add接⼝做着重观察。
⽔平权限问题
⽔平权限漏洞是指Web应⽤程序接收到⽤户请求时,没有判断数据的所属⼈,或者在判断数据所属⼈时是从⽤户提交的参数中获取了userid,导致攻击者可以⾃⾏修改userid修改不属于⾃⼰的数据。例如,UserA和UserB的权限是⼀样的,但是A可以看到B的数据,就是发⽣了⽔平越权问题。
如何做好一个管理者容易发⽣⽔平越权的地⽅,除了⾝份(会话ID)标识外,站点还⽤其它信息(⼿机号、员⼯编码、⼯号
给长辈拜年的祝福语或者使⽤Hash算法⽣成的)⽤来标识⽤户或⽤户信息。例如,getAccount.do?accId=12345 ,此类接⼝就是⾼危的接⼝。
教师节板报图片通常情况下,我们会⽤两个测试账号来访问同⼀个Url,看能否返回相同的数据,如果能够互通,则说明后端接⼝为对当前⽤户做数据隔离,存在⽔平权限问题。系统功能测试过程中,设计两个测试账号,同时登陆两个测试账号,对⽐同⼀个页⾯的数据是否存在交叉。CR过程中,注意针对查询接⼝看是否都加上了⽤户属性作为数据隔离条件。
命令注⼊/执⾏
漏洞原理:⽤户输⼊被当做/拼接成服务器命令,交由⽣产⽹服务器代为执⾏,从⽽导致⽤户可以对服务器执⾏任意命令,甚⾄置⼊⽊马,反连,提权等风险操作;
测试⽅法:STC安全扫描;针对需要执⾏命令的接⼝,输⼊”cat /etc/passwd”或”| cat /etc/passwd”或者其他命令看是否会返回该命令的执⾏结果,只要有⼀个命令可以返回执⾏结果,判定有效;
代码注⼊/执⾏
塞尔达传说天空之剑漏洞原理:⽤户输⼊的代码被服务器直接执⾏,从⽽导致⽤户可以对服务器执⾏任意命令,甚⾄置⼊⽊马,反连,提权等风险操作;
测试⽅法:安全扫描;针对需要执⾏代码的接⼝,根据可以执⾏的代码不同构造服务器命令调⽤的代码进⾏测试,若可以正常执⾏,则漏洞有效;
SSRF(服务端请求伪造)
漏洞原理:服务端代理⽤户对⽤户输⼊的URL⽆条件发起请求,并将response返回给⽤户。⽤户可以填写内⽹的任意IP以及端⼝,⽤来进⾏内⽹嗅探;
测试⽅法:STC安全扫描在某测试服务器上搭建对应测试HTTP服务器;在相关业务接⼝中填写测试服务器地址提交,查看测试HTTP服务器是否会有访问记录,若有则说明有漏洞;
XXE(XML实体注⼊)
漏洞原理:⽤户上传XML⽂件,服务器在进⾏解析时没有禁⽌实体解析,导致schema中的URL被访问,造成类似SSRF的风险;农行查询
测试⽅法:安全扫描:在某测试服务器上搭建对应测试HTTP服务器;构造特定XML⽂件,其中某个schema URL为测试HTTP服务器地址;在XML上传接⼝上传该⽂件,若有看到测试服务器访问记录则有漏洞;Java业务建议使⽤集团扫描器进⾏扫描
反序列化漏洞
漏洞原理:从⽤户可控的位置(cookie,参数)中读取序列化字符串,在服务端进⾏反序列化代码执⾏操作,因为反序列化的内容可以写⼊任意代码,导致代码注⼊执⾏
测试⽅法:安全扫描;构造可执⾏服务器命令的序列化字符串,填⼊对应参数/cookie中看是否可以执⾏成功;
SQL注⼊
漏洞原理:⽤户输⼊的参数会直接拼接进⼊SQL语句中实现业务逻辑,若参数为精⼼构造的SQL语句,将会产⽣本意之外的SQL执⾏,⽐如拆解sql的root密码,进⼀步拖库
测试⽅法:安全扫描;使⽤sqlmap进⾏sql注⼊扫描;
卡塔尔面积和人口JSONP劫持
漏洞原理:Jsonp跨域提供数据传输时,未对访问来源进⾏判断,导致可被未授权的他⽅读取接⼝中的敏感信息;
测试⽅法:安全扫描;通过burpsuite抓包,若发现有⽤户个⼈标识/资源标识出现在参数或者cookie中时,尝试修改并重放请求,若返回正常则存在漏洞
任意URL重定向
漏洞原理:业务进⾏跳转的URL的域名可以被⽤户任意修改(跳转⽬标url在某个参数/cookie中),从⽽跳转⾄伪造的钓鱼⽹站,引导⽤户在⽹站上进⾏敏感信息输⼊,从⽽
测试⽅法:安全扫描;修改跳转⽬标URL参数,若能跳转则有漏洞;
XSS(跨域脚本攻击)
漏洞原理:⽤户输⼊的内容,不经过处理直接展⽰在web页⾯上,若⽤户输⼊的是可执⾏的js脚本将会被直接执⾏,则可能导致session_id 被盗取,csrftoken被盗取,jsonp劫持refer防御失效,同域名下敏感信息页⾯被盗取等后果
测试⽅法:安全扫描;在输⼊框输⼊”< >’ “ &”,当该输⼊框内容展⽰在页⾯上的时候,查看页⾯源码,若原样输⼊,则有漏洞,若被转义成”<,>”等html实体,则说明做了安全防护;
CSRF(客户端请求伪造)
漏洞原理:常规http接⼝的path,method, 参数等内容完全可以被拆解,有⼈会伪造某些⾼危操作接⼝(⽐如点赞,收藏,好评),将该接⼝伪装之后(⽐如⽣成短链接,⼆维码)发送给其他⽤户点击,此时等于在不知情情况下做了⼀些对⾃⼰有害的操作
测试⽅法:安全扫描;使⽤burpsuite进⾏抓包,将参数中的token删除,或者设置为空,重放请求,若正常访问则说明有漏洞;
短信/邮件/电话
漏洞原理:短信/电话号码,邮箱地址由⽤户填写,并且可以⽆频率次数的给其发送信息,打电话,⽤以进⾏骚扰⽤户;
测试⽅法:安全扫描;使⽤burpsuite进⾏信息发送接⼝抓包,并利⽤repeater功能进⾏批量访问,如果每次都成功说明没有做防护;
登录⼝爆破
漏洞原理:登录⼝设计不当,风控策略缺失/不得当,可以进⾏⽤户名密码爆破
测试⽅法:安全扫描;使⽤burpsuite,构造弱⼝令字典,使⽤repeater功能访问登录接⼝;

版权声明:本站内容均来自互联网,仅供演示用,请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198,我们将在24小时内删除。