典型網(wǎng)站漏洞分類影響及解決方案

1、典型網(wǎng)站漏洞分類影響及解決方案12020 年 5 月 29 日文檔僅供參考本文由 s8h4a2n6貢獻doc 文檔可能在wap 端瀏覽體驗不佳。建議您優(yōu)先選擇txt, 或下載源文件到本機查看。一、典型網(wǎng)站漏洞分類根據(jù)風險等級,網(wǎng)站漏洞一般可分為高風險、中風險和低風險三種。其中高風險漏洞是必須封堵的。中、低風險漏洞中有一部分是必須封堵的。還有一部分 中、低風險漏洞 ,由于其封堵的代價可能遠高于不封堵所造成的損失 ,因而能夠 進行選擇性封堵。能夠采取工具億思平臺進行其網(wǎng)站的漏洞掃描 , 具體地址為 : 典型網(wǎng)站漏洞的分類及相應的封堵要求如下表所示 :風險等級高風險 1、 sql 注入漏洞 2、 跨

2、站漏洞中、低風險 1、 默認測試用例文件 2、 管理后臺登陸入口中、低風險 1、 存在電子郵件地 址漏洞名稱3、 xpath 注入漏 3、 應用程序錯誤引起的2、 無效鏈接洞 信息泄露 4、 備份文件造成的源代碼泄漏 3、 web 應用默認目錄封堵要求必須封堵選擇封堵22020 年 5 月 29 日文檔僅供參考1二、典型網(wǎng)站漏洞影響及解決方案1、 sql 注入漏洞 漏洞影響 : 本漏洞屬于web 應用安全中的常見漏洞 ,屬于 owasp top 10 ( ) 中的注入類漏洞。很多 web 應用中都存在 sql 注入漏洞。 sql 注入是一種攻擊者利用代碼缺陷進行攻擊的方式, 可在任何能夠影響數(shù)

3、據(jù)庫查詢的應用程序參數(shù)中利用。例 如 url 本身的參數(shù)、 post 數(shù)據(jù)或 cookie 值。 正常的 sql 注入攻擊很大程度上取決于攻擊者使用從錯誤消息所獲得信息?？墒?,即使沒有顯示錯誤消息應用程序仍可能受sql 注入的影響?？傮w上講 ,sql 注入是對 web 應用而不是對web 服務器或操作系統(tǒng)本身 的攻擊。正如其名稱所示,sql 注入是對查詢添加非預期sql 命令從而以數(shù)據(jù)庫管理員或開發(fā)人員非預期的方式操控數(shù)據(jù)庫的行為。如果成功的話,就能夠獲得、修改、注入或刪除有漏洞web 應用所使用數(shù)據(jù)庫服務器的數(shù)據(jù)。在某些環(huán)境下 ,可利用 sql 注入完全控制系統(tǒng)。解決方案 : 防護建議包括

4、部署分層安全措施(包括在接受用戶輸入時使用參數(shù)化的查詢 ) 、確保應用程序僅使用預期的數(shù)據(jù)、加固數(shù)據(jù)庫服務器防止不恰當?shù)脑L問數(shù)據(jù)。 建議使用以下措施防范sql注入漏洞 :232020 年 5 月 29 日文檔僅供參考對于開發(fā)= 使用以下建議編寫不受sql 注入攻擊影響的 web 應用。 參數(shù)化查詢 : sql 注入源于攻擊者控制查詢數(shù)據(jù)以修改查詢邏輯 , 因此防范 sql 注入攻擊的最佳方式就是將查詢的邏輯與其數(shù)據(jù)分隔 , 這能夠防止執(zhí)行從用戶輸 入所注入的命令。這種方式的缺陷是可能對性能產(chǎn)生影響 (但影響很小 ) ,且必 須以這種方式構(gòu)建站點上的每個查詢才能完全有效。只要無意中繞過了一個查

5、詢 ,就足以導致應用受 sql 注入的影響。以下代碼顯示的是能夠進行 sql 注入 的 sql 語句示例。ssql = select locationname from locations ; ssql = ssql + where locationid = + requestlocationid; ocmd.commandtext = ssql;下面的例子使用了參數(shù)化的查詢,不受 sql 注入攻擊的影響。ssql = select * from locations ; ssql = ssql + wherelocationid=locationid;ocmd.commandtext=ssql

6、;ocmd.parameters.add(locationid, requestlocationid);應 用 程 序 沒 有 包 含 用 戶 輸 入 向 服 務 器 發(fā) 送 sql 語 句 , 而 是 使 用 -locationid- 參數(shù)替代該輸入 ,這樣用戶輸入就無法成為 sql 執(zhí)行的命令。3這種方式能夠有效的拒絕攻擊者所注入的任何輸入,盡管仍會生成錯誤 ,但僅為 數(shù)據(jù)類型轉(zhuǎn)換錯誤,而不是黑客能夠利用的錯誤。42020 年 5 月 29 日文檔僅供參考以下代碼示例顯示從 http 查詢字符串中獲得產(chǎn)品 id 并使用到 sql 查詢 中。 請注意傳送給 sqlcommand 的包含有 s

7、elect 的字符串僅僅是個靜態(tài)字符串,不是從輸入中截取的。另外還請注意使用 sqlparameter 對象傳送輸入?yún)?shù)的方式 ,該對象的名稱(pid) 匹配 sql 查詢中所使用的名稱。c#示例 :stringconnstring=webconfigurationmanager.connectionstringsmyconn.connections tr ing; using (sqlconnection conn = new sqlconnection(connstring) conn.open(); sqlcommand cmd = new sqlcommand(select count(*) from products where prodid=pid, conn); sqlparameter prm = new sqlparameter(pid, sqldbtype.varchar,50); prm.value = request.querys