Web安全漏洞如何修复(web漏洞有哪些)
10042023-08-07
Web安全漏洞如何修复(web漏洞有哪些)
各位老铁们，大家好，今天由我来为大家分享Web安全漏洞如何修复，以及web漏洞原理及解决办法的相关问题知识，希望对大家有所帮助。如果可以帮助到大家，还望关注收藏下本站，您的支持是我们最大的动力，谢谢大家了哈，下面我们开始吧！
本文目录
什么是web漏洞提权
漏洞提权顾名思义就是提高自己在系统中的权利。渗透测试以获取系统的最高权限为目标，首先通过寻找漏洞，获取WebShell权限，然后进行提权。
常见的web漏洞有哪些
比较常见的web漏洞有：SQL注入、XSS跨站站点脚本、CSRF跨站请求伪造等。由于所在团队或者公司均有严格隔离的内网环境和基础运维团队，对弱口令漏洞、敏感信息泄露漏洞等很少涉及。
先简单的聊一聊SQL注入，这个基本上是最常见的web漏洞了。SQL注入攻击（SQLInjection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。比如执行下述SQL时
Stringsql="select*fromuserwhereusername='"+uname"'andpassword='"+pwd+"'";
#输入用户名为:tom'or'1=1,密码不输入或者随便输入,SQL如下:
select*fromuserfromusername='tom'or'1=1'andpassword='你输入的密码'
有了or自然只要username='tom'成立,后面的也不会起作用，这个sql基本上是很常见的比较典型的SQL注入问题，在直接使用JDBC进行SQL拼接操作时，很容易引发这种情况。通常情况下，SQL注入的位置包括：
（1）表单提交，主要是POST请求，也包括GET请求；
（2）URL参数提交，主要为GET请求参数；
（3）Cookie参数提交。
将JDBC代码中的Statement换成PreparedStatement，使用预编译机制进行SQL注入预防，最普遍的是选用Mybatis或Hibernate等持久化框架，避免JDBC的直接使用，并在Mybatis的SQL中使用'符号替换'#',使预编译机制起作用。接着我们聊聊XSS跨站站点脚本，跨站脚本攻击（Cross-sitescripting，通常简称为XSS）发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。XSS攻击使用到的技术主要为HTML和Javascript，也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害，但是它借助网站进行传播，使网站的使用用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。对于这个我是有亲身体会的，我的应用是基于Java+Velocity实现的请求转发应用，比如通过http请求唤起RN、Android或IOS原生，通过http请求路由定向到其他http链接等功能的一个跳转中间件应用，出现的问题是该页面链接被请求伪造之后通过微信分享，给非法用户的页面造成引流的效果，而其中的漏洞是某一个参数服务端未经过滤和转义直接在页面输出，导致非法用户的脚本执行，从而引起该攻击的发生，在复盘漏洞时，我的应用对javascript和html的关键词做了过滤处理的，但唯一漏掉了某个关键词，从而导致该漏洞被利用，在大年初一远程花费了近3个小时，才完成解决这一漏洞。顺便提一下，还有一种漏洞在运营维护过程中遇到过，在登录注册模块，由于当时刚参加工作不久，欠缺研发经验，在注册环节未使用验证码，导致大量的注册机注册，给非法用户牟利带来方便，在短信验证阶段，为处理非法验证和重复发生的问题，导致一些运营商手机号，被非法用户触发发生短信验证码，给用户造成困扰，引起用户向运营商投诉，对公司声誉造成一定影响。这个事情也是自己亲身经历，面向C端用户的研发，要多考虑安全方面的问题，既要让用户用起来方便，又需要避免安全问题，并且一旦发现安全问题，要具备及时止损的措施的应对预案。作者：夕阳雨晴，欢迎关注我的头条号：偶尔美文，主流Java，为你讲述不一样的码农生活。","upvoteCount":11,"url":"https://www.toutiao.com/answer/6907927025735336195/"}]}}!function(r,e,t,n,s,a,o,i,c,l,d,p,m,f){a="precollect",o="getAttribute",i="addEventListener",(l=function(e){(d=[].slice.call(arguments)).push(Date.now(),location.href),(e==a?l.p.a:l.q).push(d)}).q=[],l.p={a:[]},r[s]=l,(p=document.createElement("script")).src=t+"?bid=toutiao_web_pc&globalName="+s,p.crossOrigin=0 接着我们聊聊XSS跨站站点脚本，跨站脚本攻击（Cross-sitescripting，通常简称为XSS）发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。XSS攻击使用到的技术主要为HTML和Javascript，也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害，但是它借助网站进行传播，使网站的使用用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。对于这个我是有亲身体会的，我的应用是基于Java+Velocity实现的请求转发应用，比如通过http请求唤起RN、Android或IOS原生，通过http请求路由定向到其他http链接等功能的一个跳转中间件应用，出现的问题是该页面链接被请求伪造之后通过微信分享，给非法用户的页面造成引流的效果，而其中的漏洞是某一个参数服务端未经过滤和转义直接在页面输出，导致非法用户的脚本执行，从而引起该攻击的发生，在复盘漏洞时，我的应用对javascript和html的关键词做了过滤处理的，但唯一漏掉了某个关键词，从而导致该漏洞被利用，在大年初一远程花费了近3个小时，才完成解决这一漏洞。 顺便提一下，还有一种漏洞在运营维护过程中遇到过，在登录注册模块，由于当时刚参加工作不久，欠缺研发经验，在注册环节未使用验证码，导致大量的注册机注册，给非法用户牟利带来方便，在短信验证阶段，为处理非法验证和重复发生的问题，导致一些运营商手机号，被非法用户触发发生短信验证码，给用户造成困扰，引起用户向运营商投诉，对公司声誉造成一定影响。这个事情也是自己亲身经历，面向C端用户的研发，要多考虑安全方面的问题，既要让用户用起来方便，又需要避免安全问题，并且一旦发现安全问题，要具备及时止损的措施的应对预案。 作者：夕阳雨晴，欢迎关注我的头条号：偶尔美文，主流Java，为你讲述不一样的码农生活。 作为信息安全领域的从业人员很高兴回答你的问题。关于Web安全如何修复我认为漏洞修复分四步发现漏洞、确定漏洞的危害、确定有那些修复方案及成本、综合比较选择修复方案进行修复。 在进行漏洞修复之前肯定要确定漏洞是什么？(如注入、XEE、跨站、信息泄露、反序列化等OWASPtop10常见漏洞或支付、验证码、密码修改等逻辑漏洞)。可以通过专业的漏洞扫描工具或者专业的安全服务团队发现漏洞，不同类型的漏洞修复方案不同。如注入、XEE、跨站、反序列化可以通过对输入进行控制也可以通过IPS/IDS，逻辑漏洞则要对逻辑进行重新设计。 同样的漏洞对于不同的情况造成的危害也不一样，例如同样是sql注入漏洞，一些公司数据库中存放的是极为重要的敏感数据（如身份证、手机号、账号、密码等），另外一些公司可能只是存放一些无关紧要的数据（如一些新闻消息），那么可以根据实际情况选择是否修复。 确定是什么漏洞之后那么就能找到相应的修复方案，如下举例说明几种漏洞的修复方案： sql注入修复方案： 1.使用正则表达式过滤传入的参数. 2.预编译：执行阶段只是把输入串作为数据处理,而不再对sql语句进行解析,准备,因此也就避免了sql注入问题. 3.权限控制：在创建一个SQL数据库的用户帐户时，要遵循最低权限法则。 4.IDS/IPS：从网络层来进行过滤请求，来缓解风险呢 支付逻辑漏洞修复方案： 多重校验如下图： 确定自己Web中漏洞有几种修复方案，每种修复方案的成本及影响。 根据修复漏洞所需要的成本，不修复漏洞带来的损失、对公司的业务影响、对公司的声誉影响（如果修复成本100万，损失10万完全没有必要修复），选择相应的修复方案或者缓解措施。如重要信息未加密漏洞，如果立即修复对业务影响比较大（如代码需要更改加入加密算法、数据库结构要重新设计、可能第三方对接业务代码也需要更改），可以使用HTTPS协议及其他缓解措施来增加攻击的难度，后续慢慢更改。总之要根据自身的实际情况进行调整。 漏洞是指一个系统存在的弱点或缺陷，系统对特定威胁攻击或危险事件的敏感性，或进行攻击的威胁作用的可能性。 漏洞可能来自应用软件或操作系统设计时的缺陷或编码时产生的错误，也可能来自业务在交互处理过程中的设计缺陷或逻辑流程上的不合理之处。这些缺陷、错误或不合理之处可能被有意或无意地利用，从而对一个组织的资产或运行造成不利影响，如信息系统被攻击或控制，重要资料被窃取，用户数据被篡改，系统被作为入侵其他主机系统的跳板。 从目前发现的漏洞来看，应用软件中的漏洞远远多于操作系统中的漏洞，特别是WEB应用系统中的漏洞更是占信息系统漏洞中的绝大多数。 关于Web安全漏洞如何修复到此分享完毕，希望能帮助到您。Web安全漏洞如何修复
什么是平台漏洞
相关文章
