Web应用中常见39种不同的安全漏洞漏洞分析及检查方法.pdf

Web应用中常见39种不同的平

安漏洞漏洞分析及检查方法

Lt

D

Web应用中常见39种不同的平安漏洞漏洞分析及检查方法

1.1SQL注入漏洞

风险等级：高危

漏洞描述：

SQL注入漏洞产生的原因是网站应用程序在编写时未对用户提交至效劳器的数

据进行合法性校验，即没有进行有效地特殊字符过滤，导致网站效劳器存在平

安风险，这就是SQLInjection，即SQL注入漏洞。

漏洞危害：

1)机密数据被窃取；

2)核心业务数据被篡改；

3)网页被篡改；

4)数据库所在效劳器被攻击从而变为傀儡主机，导致局域网(内网)被入侵。

修复建议：

1)在网页代码中对用户输入的数据进行严格过滤；〔代码层〕

2)部署Web应用防火墙；〔设备层〕

3)对数据库操作进行监控。〔数据库层〕

代码层最正确防御sql漏洞方案：采用sql语句预编译和绑定变量，是防御sql

注入的最正确方法。

原因：采用了PreparedStatement，就会将sql语句语句：：id,nofromuseruser

预先编译好，也就是SQL引擎会预先进行语法分析，产生语法树，

生成执行方案，也就是说，后面你输入的参数，无论你输入的是什么，都不会

影响该sql语句的语法结构了，因为语法分析已经完成了，而语法分析主要是

分析sql命令，比方select,from,where,and,or,orderby等等。所以即

使你后面输入了这些sql命令，也不会被当成sql命令来执行了，因为这些sql

命令的执行，必须先的通过语法分析，生成执行方案，既然语法分析已经完成，

已经预编译过了，那么后面输入的参数，是绝对不可能作为sql命令来执行的，

只会被当做字符串字面值参数，所以sql语句预编译可以防御sql注入。

其他防御方式：正那么过滤

1.2目录遍历漏洞

风险等级：中危

漏洞描述：

通过该漏洞可以获取系统文件及效劳器的配置文件。利用效劳器API、文件标准

权限进行攻击。

漏洞危害：

黑客可获得效劳器上的文件目录结构，从而下载敏感文件。

修复建议：

1)通过修改配置文件，去除中间件〔如IIS、apache、tomcat〕的文件目录索

引功能

2)设置目录权限

3)在每个目录下创立一个空的index.html页面。

1.3跨站脚本漏洞

即XSS漏洞，利用跨站脚本漏洞可以在网站中插入任意代码，它能够获取网站

管理员或普通用户的cookie，隐蔽运行网页木马，甚至格式化浏览者的硬盘。

漏洞危害：

1)网络钓鱼，盗取管理员或用户帐号和隐私信息等；

2)劫持合法用户会话，利用管理员身份进行恶意操作，篡改页面内容、进一

步渗透网站；

3)网页挂马、传播跨站脚本蠕虫等；

4)控制受害者机器向其他系统发起攻击。

修复建议：

设置only

only无法完全的防御xss漏洞，它只是规定了不能使用js去获取cookie

的内容，因此它只能防御利用xss进行cookie劫持的问题。only是在

set-cookie时标记的，可对单独某个参数标记也可对全部参数标记。由于设置

only的方法比拟简单，使用也很灵活，并且对防御cookie劫持非常有用，因此

已经渐渐成为一种默认的标准。

xssfilter

Xssfilter往往是一个文本文件，里面包含了允许被用户输入提交的字符〔也

有些是包含不允许用户提交的字符〕。它检测的点在于用户输入的时候，xss

filter分为白名单与黑名单，推荐使用白名单，但即使使用白名单还是无法完

全杜绝xss问题，并且使用不当可能会带来很高的误报率。

编码转义

编码方式有很多，比方html编码、url编码、16进制编码、javascript