网站漏洞总结交流.pptVIP

网站漏洞总结交流 ——弱口令、目录列表、上传漏洞、SQL注入、XSS漏洞研究 网站漏洞研究背景 互联网网站安全事件频繁发生，尤其是政府门户网站更是黑客的着重攻击对象。所以加强网络层及应用层安全防范措施迫在眉睫。 2007年9月16日，海淀区政府网站遭遇黑客攻击事件，网站首页被篡改。2007年11月21日海淀区网上办公申报平台也发生了同样的系统安全事件。 一、上传漏洞 二、弱口令漏洞 三、支持目录列表漏洞 四、SQL注入漏洞 五、XSS漏洞 一、上传漏洞 二、弱口令漏洞 三、支持目录列表漏洞 四、SQL注入漏洞 五、XSS漏洞 上传漏洞入侵说明 上传附件漏洞是指攻击者利用系统提供的上传附件的功能，分析上传设计中的漏洞，采用不同的手段上传木马或病毒，然后利用上传的非法文件对应用进行控制，达到攻击的目的。 上传漏洞查找思路 对于上传漏洞的查找，从源文件入手，目标有两个，一个是FilePath（文件路径），另一个则是FileName（文件名称）。 并结合windows系统命名原则和计算机读取方式。（参考资料：上传漏洞是怎么出现的.doc） 常见上传漏洞 常见上传漏洞： 1、直接上传病毒文件的漏洞 （上传附件页面中对上传类型未加以控制） 2、图片木马上传漏洞 3、00上传漏洞 4、添加上传类型漏洞（后台管理平台，上传类型扩展的功能） 防范方法及测试 1、客户端： 1）对上传附件的格式进行判断，限制上传格式的类型。防止直接上传木马。 2）上传附件提交时，对附件重命名。防止上传附件名称中00形式（扩展名前添加空格），过滤掉00后的扩展名而上传木马 预防和测试分类说明 2、服务器端： 1）对上传的附件mime信息加以验证，判断上传内容的真正格式，防止上传木马程序扩展名修改后，客户端无法识别而上传木马。（由于客户端不能判断上传的真正类型） 参考：网站如何防范“上传漏洞”入侵.doc 问题： 1、上传工具 2、上传漏洞的技巧（见：文件上传漏洞.doc） 3、上传木马获取webshell权限 一、上传漏洞 二、弱口令漏洞 三、支持目录列表漏洞 四、SQL注入漏洞 五、XSS漏洞 弱口令漏洞说明 弱口令漏洞是指系统应用登录的用户名和口令过于简单，或者应用的管理路径名很容易被人工猜到，攻击者经过几次的尝试就能轻易的进入系统，或者利用工具暴力破解。 预防和测试分类说明 1、后台管理应用系统的路径扫描 工具：NBSI2、hacklu 扫描规律： 工具所扫描的路径是事先设置好的，那么所设置的扫描路径一般是常用的管理路径如http:网站ip地址/admin等。 预防方法：不使用常用的后台管理路径。 预防和测试分类说明 2、暴力破解工具破解 说明：利用强大的计算机资源（运算速度很快）的特点，设计计算机程序（破解工具），连续海量测试口令的方法，就是暴力破解法； 工具：WRACKBPC、WWWHACK； 预防和测试分类说明 预防方法：添加验证码（添加验证码的目的：给暴力破解工具增加阻碍，验证码一般是图片性质，编码方法复杂，非图片数字技术专业人员不容易破解，因此一般破解工具没有破解验证码的能力，也就不能使用工具连续、海量的测试口令组合了）； 预防和测试分类说明 测试方法：对于初始用户名可以通过暴力破解工具扫描，测试默认密码的修改情况。要实现此测试，首先，要知道初始化的用户名和密码，并将其编写到文档中，以供破解工具扫描使用，至于使用什么样格式编写文档要视破解工具而定；第二，破解工具设置，设置调用编写的文档及其他，最后就是扫描，查看结果。 一、上传漏洞 二、弱口令漏洞 三、支持目录列表漏洞 四、SQL注入漏洞 五、XSS漏洞 支持目录列表漏洞说明 支持目录列表漏洞指web应用服务（中间件，如apache、resin、tomcat、weblogic等）默认的配置一般是在浏览页面时支持显示目录?，这给恶意的攻击者很好的查看系统目录及文件很好的机会，服务安全性大大降低。 支持目录列表漏洞说明 例如如果一个images目录，里面除了图片没有别的东西了，那对于服务器的安全就没有什么危害，但是，如果目录里面放了一个管理页面adminpage.asp或者一些数据库连接信息文件，可能会导致你的服务器拱手相让给入侵者。 支持目录列表漏洞预防 需要对web应用服务中间件进行全面的安全设置，不同的中间件，配置有不同。 检测方法（以iis为例） 检测浏览目录的权限是否开启： 1、在网站的默认首页(如:default.asp)不存在 检测方法：在浏览器里面输入http://iis-server/dir/ ；如果权限开着的，那么会返回200响应，并且列出当前目录里面的内容，反之，没有列出目录的话就是关了。 2、默认页面（default.asp）存在 检测方法