给大家的福利
零基础入门
对于从来没有接触过网络安全的同学,我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线,大家跟着这个大的方向学习准没问题。
同时每个成长路线对应的板块都有配套的视频提供:
因篇幅有限,仅展示部分资料
网络安全面试题
绿盟护网行动
还有大家最喜欢的黑客技术
网络安全源码合集+工具包
所有资料共282G,朋友们如果有需要全套《网络安全入门+黑客进阶学习资源包》,可以扫描下方二维码领取(如遇扫码问题,可以在评论区留言领取哦)~
网上学习资料一大堆,但如果学到的知识不成体系,遇到问题时只是浅尝辄止,不再深入研究,那么很难做到真正的技术提升。
一个人可以走的很快,但一群人才能走的更远!不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人,都欢迎加入我们的的圈子(技术交流、学习资源、职场吐槽、大厂内推、面试辅导),让我们一起学习成长!
**摘****要:**Web应用安全评估是系统等级保护评估中的重要一环,本文以实例分析了常见Web应用漏洞的形成原理,介绍了相应的评估实施方法,并给出了增强Web应用安全性的实用性建议。
**关键词:**Web应用安全 评估 系统等级保护 跨站脚本 SQL注入
【本文作者:李毅、顾健、顾铁军,转载请注明】
1. 引言
当今世界,因特网已经成为一个非常重要的基础平台,很多单位都将应用架设在该平台上,为客户提供更为方便、快捷的服务支持。这些应用在功能和性能上,都在不断的完善和提高,然而在非常重要的安全性上,却没有得到足够的重视。由于网络技术日趋成熟,黑客们也将注意力从以往对网络服务器的攻击逐步转移到了对Web应用的攻击上。根据 Gartner 的最新调查,信息安全攻击有 75% 都是发生在 Web应用而非网络层面上。同时,数据也显示,三分之二的Web站点都相当脆弱。然而现实中绝大多数的投资都花费在网络和服务器的安全上,没有从真正意义上保证Web应用本身的安全,给黑客以可乘之机。
在Web应用的各个层面,都会使用不同的技术来确保安全性。为了保护服务端机器的安全,用户会安装防病毒软件;为了保证用户数据传输到Web服务器的传输安全,通信层通常会使用SSL(安全套接层)技术加密数据;使用防火墙和IDS(入侵诊断系统)/IPS(入侵防御系统)来保证只允许特定的访问,其他不必要暴露的端口和非法的访问,在这里都会被阻止。
但是,即便有防病毒保护、防火墙和 IDS/IPS,仍然不得不允许一部分的通讯经过防火墙,毕竟Web应用的目的是为用户提供服务,保护措施可以关闭不必要暴露的端口,但是 Web应用必须的 80 和 443 端口,是一定要开放的。可以顺利通过的这部分通讯,可能是善意的,也可能是恶意的,很难辨别。这里需要注意的是,Web 应用是由软件构成的,那么,它一定会包含缺陷(bugs),这些缺陷就可以被恶意的用户利用,他们通过执行各种恶意的操作,偷窃、操控或破坏 Web 应用中的重要信息。
通常用户会采用网络脆弱性扫描工具来检查Web服务器的漏洞,但是常规的网络脆弱性扫描工具仅仅用来分析网络层面的漏洞,而不是Web应用本身,所以不能彻底提高Web应用安全性。
只要访问可以顺利通过企业的防火墙,Web应用就毫无保留的呈现在用户面前。只有加强Web应用自身的安全,才是真正的Web应用安全解决之道。
Web应用已经成为现今各类信息系统中不可或缺的组成部分,因此在系统等级保护评估中对Web应用安全的评估成为整个安全评估工作中重要一环,而且由于Web应用漏洞存在的普遍性以及对Web应用漏洞利用的直观性,这方面的评估对被评估方具有很强的现实意义,对引导被评估方重新审视自己系统的安全性也更有说服力。
本文从常见的Web应用漏洞原理入手,介绍了常用的Web应用安全评估方法,并给出了在评估后对被评估方的实用建议。
2. 常见的Web应用漏洞
OWASP(Open Web Application Security Project)是一个专注于研究Web应用安全的国际性组织。在其的一份报告中列举出了常见的十大 Web 应用安全隐患,见图1:
图1 OWASP Web应用安全隐患排名
从图中可以看出有两个概率最高的攻击手段,它们分别是“跨站点脚本攻击”(Cross-Site Scripting)和“注入缺陷”(Injection Flaws)。下面将通过举例来说明这两种攻击是如何实施的。
2.1. 跨站脚本攻击
跨站脚本攻击指的是攻击者往Web页面里插入恶意html代码,当用户浏览该页面时,嵌入其中Web里面的html代码会被执行,从而达到恶意用户的特殊目的,其攻击对象主要是Web应用的访问者而非Web应用系统本身。跨站脚本攻击属于被动式的攻击,因为需要访问特定Web页面才能进行攻击,因为其被动且不好利用,所以许多人常忽略其危害性。
跨站脚本攻击得以实现的前提是可以在Web页面中插入特定的html代码,这一般是通过利用Web应用对提交数据的检查漏洞来完成。以BBS为例,如果Web应用没有对用户的输入进行检查,恶意攻击者可以在BBS的输入框中提交如下内容:
你好