WEB安全漏洞(2)

本文档主要介绍WEB安全漏洞和解决方法。

（续上篇）

8. Cookie安全性

漏洞描述

cookie的一些属性设置不当，导致黑客利用网站存在的XSS漏洞来窃取cookie

修复建议

在设置cookie时：1）domain设置为网站本域名；2）HTTPOnly属性设为true；3）如果网站使用HTTPS协议，设置secure属性为true。

9.Trojan(挂马)

漏洞描述

挂马是恶意攻击者通过各种手段篡改页面，种植恶意代码，最终导致网站用户机器被中木马进而引起用户各种资损并间接导致网站资损的恶性攻击行为。

漏洞危害

应用程序已经被攻击者破坏，同时会危及来访的用户电脑安全。

解决方案

首先，检查被挂马页面，去除其中被添加的挂马代码；然后，找出系统存在的安全漏洞并修复，删除恶意代码。

示例一、利用iframe挂马

漏洞描述

挂马是恶意攻击者通过各种手段篡改页面，种植恶意代码，最终导致网站用户机器被中木马进而引起用户各种资损并间接导致网站资损的恶性攻击行为。

漏洞危害

应用程序已经被攻击者破坏，同时会危及来访的用户电脑安全。

解决方案

首先，检查被挂马页面，去除其中被添加的挂马代码；然后，找出系统存在的安全漏洞并修复，删除恶意代码。

示例一、利用iframe挂马

修复方法：

删除其中的
（注：特征为iframe长宽都为0或者很低）

示例二、利用scirpt挂马：

修复方法：

删除其中的
（注：特征为script为外站script或者为非网站所有者所知的script）

10.URL跳转过滤不严漏洞

漏洞描述

某些页面由于功能需要需要进行页面跳转，如果没有对跳转的目的页面做检查就会导致被利用作为恶意URL的访问渠道。

漏洞危害

攻击者可以利用这个漏洞进行跳转钓鱼。

潜在危险等级：中

修复建议

1. 在控制页面转向的地方检查目标URL是否为可信URL。
2. 跳转页面参数中添加redirect_url参数的签名，防止被篡改。

11.CSRF漏洞

漏洞描述

攻击者通过一定技巧设计网页，强迫受害者的浏览器向一个易受攻击的Web应用程序发送请求,最后达到攻击者所需要的操作行为。

潜在危险等级：中

修复建议

1)         在表单中添加隐藏、随机值的form token；

2)         关键的提交请求表单使用图片验证码。

12.源代码泄漏

漏洞描述

临时文件漏洞源代码内容、版本管理工具文件泄漏路径等信息

修复建议

部署前删除编辑器生成的备份文件、临时文件及版本管理工具生成的有关文件。

13.flash安全配置

漏洞描述

web程序在引入flash时，若allowScriptAccess和allowNetworking属性配置不当，可能会产生XSS漏洞、CSRF等问题

修复建议

对于不信任的flash源，allowScriptAccess设置为never，allowNetworking尽量设置为none。

 

-完-