Web应用程序安全诊断摘要记录.PDFVIP

Web应用程序安全诊断 摘要记录 2015/8/4 野村綜研（北京）系統集成有限公司 上海分公司 ○ 诊断对象 上海儿童时代倍乐生文化发展有限公司 小学生酷网 （开发环境) ○ 诊断时间 2015年7月27日 (9：00～18：00)~2015年7月29日 (9：00～18：00) ○ 诊断实施地点 NRI北京上海分公司office（通过互联网实施诊断） ○ 诊断实施方法 主要按照弊公司的诊断手册和诊断工具(VEXNikto)全面实施诊断 ○ 诊断对象功能 登录、投稿、提问 序号 指摘事项 危险度 难易度 说明 建议 多个页面存在XSS漏洞。 本系统的多个页面，因为从客户发送的参数没有经过无害化处理，存在XSS漏洞。通过恶意使用这个问题， 在服务器端全部检测从客户端发送的参数。对 存在可以在浏览器上执行恶意代码，从而取得Cookie，显示非法的错误信息等攻击的可能性。(参考另附图1) SELECT、RADIO、HIDDEN属性的值也要进 行检测。 1 存在XSS漏洞 中 难 本系统，因为Session管理使用的Cookie里含有SessionID，Cookie被诈取的情况下，存在可以伪装成第三 者的可能性。 另外，生成HTML，请对HTML标签进行正确 的无害化处理。 据报道，最近恶意使用这个漏洞，诱导和本系统类似站点的用户，非法取得重要信息的被称为网络钓鱼的攻 击较多。 ID、密码没有经过加密被发送。 输入、显示重要的信息的页面的情况下，请使 本系统，客户端和Web服务器之间的通信都是在http状态下进行的，没有使用SSL。使用http连接的情况 用SSl，加密通信。 2 明文发送重要信息