15、网络安全攻防：社会工程学攻击与OWASP漏洞缓解策略

lilh34434

于 2025-12-09 12:35:26 发布

阅读量9

点赞数

CC 4.0 BY-SA版权

分类专栏： Kali渗透实战精讲文章标签：社会工程学 OWASP 网络安全

本文链接：https://blog.csdn.net/lilh34434/article/details/155801171

Kali渗透实战精讲专栏收录该内容

17 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

网络安全攻防：社会工程学攻击与OWASP漏洞缓解策略

在当今数字化时代，网络安全问题日益严峻。攻击者不断寻找新的方法来突破系统防线，获取敏感信息；而开发者和安全人员则需要采取有效的措施来保护系统和用户数据的安全。本文将介绍社会工程学攻击的方法以及如何缓解OWASP十大Web应用程序漏洞。

社会工程学攻击方法

社会工程学攻击是一种利用人类心理弱点来获取信息或访问权限的攻击方式。以下是一些常见的社会工程学攻击方法：
1. 做好前期调查
- 对于鱼叉式网络钓鱼攻击，需要对目标进行全面的研究，包括社交媒体、论坛、博客等，以了解目标的兴趣爱好。Kali Linux中的Maltego工具可能对此非常有用。
- 例如，曾经发现一个客户的员工在Facebook上发布了很多关于天使的图片、视频和文本。于是收集了她页面上的一些内容，制作了一个PowerPoint演示文稿，其中还包含一个用于在客户计算机上实现远程执行的漏洞利用程序，并通过电子邮件发送给了她。
2. 制造争议
- 如果目标是某个领域的意见领袖，可以利用他们自己的言论来引起他们对所传达内容的兴趣。
- 例如，在对一家金融公司进行渗透测试时，目标是一位在经济和金融界知名的人士。团队研究后从一本经济杂志的网站上获取了一篇他的文章，文章中包含了他所在公司（客户）的电子邮件。然后在其他网站上查找关于该文章的更多信息和评论，整理出一封电子邮件，声称对该文章有一些评论，并在邮件中给出了一个诱饵，同时用缩短的链接指向Google Drive上的一个文档。这个缩短的链接将用户引导到了一个由攻击者控制的虚假Google登录页面，从而获取了他的公司电子邮件和密码。
3. 巧妙伪装身份
- 对开发者和系统管理员来说，声称“我是一名安全研究人员，在你的系统中发现了一些问题”可能是一个很好的诱饵。
- 例如，在一次任务中需要对一家公司的系统管理员进行社会工程学攻击。虽然在网上没有找到关于他的有用信息，但发现了该公司一个网站的一些漏洞。于是以此为依据给目标发送了一封电子邮件，称在公司服务器中发现了一些重要漏洞，并表示可以帮助修复，同时附上了一张图片作为证据和一个指向Google Drive文档（另一个虚假登录页面）的链接。
4. 适度坚持和推进
- 有时第一次尝试可能得不到回应，需要分析结果，如目标是否点击了链接、是否提交了虚假信息，然后进行调整后再次尝试。
- 例如，在上述针对系统管理员的攻击中，第一次没有收到回复，也没有用户访问页面。于是发送了第二封包含“完整报告”的PDF电子邮件，并表示如果不回复，将在公共网站上披露这些漏洞，最终收到了回复。
5. 树立可信形象
- 尝试采用所冒充人员的术语，并提供一些真实信息。例如，发送公司电子邮件时，使用公司的标志，为虚假网站获取一个免费的.tk或.co.nf域名，花时间设计或正确复制目标网站等。
- 例如，常见的窃取信用卡数据的方法是发送“你需要更新信息”的邮件，使用部分信用卡号码后跟星号（ ）字符。合法的消息会说：“与你的卡对应的信息： 3241”，而骗子会使用：“与你的卡对应的信息：4916 *”，因为他们知道前四位数字（4916）是Visa信用卡的标准开头。

社会工程学攻击的关键在于让攻击者看起来是在为受害者做一些好事或必要的事情，并营造一种紧迫感，让用户必须迅速回应，否则将失去宝贵的机会。

此外，客户端攻击还可用于提升已被攻破服务器的权限。如果获得了服务器的访问权限但操作空间有限，可以在攻击机器上启动一个恶意服务器，然后在目标机器上访问它，从而利用其他类型的漏洞，可能获得特权命令执行权限。

OWASP十大漏洞缓解策略

OWASP（Open Web Application Security Project）列出了Web应用程序中最关键的十大漏洞，以下是针对部分漏洞的缓解策略：

A1 - 防止注入攻击

根据OWASP的说法，Web应用程序中最关键的漏洞类型是代码注入，如SQL注入、操作系统命令注入、HTML注入等。这些漏洞通常是由于应用程序对输入验证不足导致的。以下是防止注入攻击的最佳实践：
1. 输入验证
- 服务器端 ：可以编写自己的验证例程，但最好使用语言自带的验证例程，如PHP中的filter_var或ASP.NET中的验证助手。例如，PHP中的电子邮件验证函数：

function isValidEmail($email){ 
    return filter_var($email, FILTER_VALIDATE_EMAIL);
}

- **客户端**：可以使用JavaScript和正则表达式创建验证函数。例如，电子邮件验证例程：

function isValidEmail (input)
{
    var result=false;
    var email_regex = /^[a-zA-Z0-9._-]+@([a-zA-Z0-9.-]+\.)+[a-zA-Z0-9.-]{2,4}$/;
    if ( email_regex.test(input) ) {
        result = true;
    }
    return result;
}

使用参数化查询 ：对于SQL注入，应避免将输入值直接拼接在查询语句中，而是使用参数化查询。不同编程语言的示例如下：
- PHP with MySQLi ：

$query = $dbConnection->prepare('SELECT * FROM table WHERE name = ?');
$query->bind_param('s', $name);
$query->execute();

- **C#**：

string sql = "SELECT * FROM Customers WHERE CustomerId = @CustomerId";
SqlCommand command = new SqlCommand(sql);
command.Parameters.Add(new SqlParameter("@CustomerId", System.Data.SqlDbType.Int));
command.Parameters["@CustomerId"].Value = 1;

- **Java**：

String custname = request.getParameter("customerName"); 
String query = "SELECT account_balance FROM user_data WHERE user_name =? ";  
PreparedStatement pstmt = connection.prepareStatement( query );
pstmt.setString( 1, custname); 
ResultSet results = pstmt.executeQuery( );

限制损害范围
- 使用低权限的系统用户来运行数据库和Web服务器。
- 确保应用程序连接到数据库服务器的用户不是数据库管理员。
- 禁用或删除允许攻击者执行系统命令或提升权限的存储过程，如MS SQL Server中的xp_cmdshell。

防止代码注入攻击的关键在于客户端和服务器端都要进行正确的输入验证。对于SQL注入，始终使用参数化或预准备查询，而不是拼接SQL语句和输入。此外，还需要通过合理配置用户权限来减少注入代码可能造成的影响。

以下是防止注入攻击的流程图：

graph TD;
    A[开始] --> B[输入验证];
    B --> C{是否为SQL查询};
    C -- 是 --> D[使用参数化查询];
    C -- 否 --> E[继续处理];
    D --> F[限制用户权限];
    E --> F;
    F --> G[禁用危险存储过程];
    G --> H[结束];

A2 - 构建适当的身份验证和会话管理

有缺陷的身份验证和会话管理是当今Web应用程序中第二大关键漏洞。身份验证是用户证明自己身份的过程，通常通过用户名和密码来实现；会话管理则是处理已登录用户的会话标识符。以下是实现用户名/密码身份验证和管理会话标识符的最佳实践：
1. 确保身份验证 ：如果应用程序中有只有授权用户才能查看的页面、表单或信息，在显示之前要进行适当的身份验证。
2. 保证数据唯一性和大小写敏感 ：确保用户名、ID、密码和所有其他身份验证数据对每个用户都是唯一的，并且区分大小写。
3. 建立强密码策略
- 密码长度超过8个字符，最好是10个。
- 使用大写和小写字母。
- 至少使用一个数字字符（0 - 9）。
- 至少使用一个特殊字符（如空格、!、&、#、%等）。
- 禁止使用用户名、网站名称、公司名称或其变体作为密码。
- 禁止使用“最常见密码”列表中的密码：https://www.teamsid.com/worst-passwords-2015/。
- 对于登录错误，使用相同的通用消息，如“登录数据不正确”、“无效的用户名或密码”、“访问被拒绝”，不要在错误消息中透露用户是否存在或信息格式是否正确。
4. 安全存储密码 ：密码不能以明文形式存储在数据库中，应使用强哈希算法，如SHA - 2、scrypt或bcrypt，其中bcrypt特别设计用于防止GPU破解。
5. 密码比较 ：在比较用户输入的密码进行登录时，先对用户输入进行哈希处理，然后比较两个哈希字符串，不要解密密码与明文用户输入进行比较。
6. 避免基本HTML身份验证 。
7. 使用多因素身份验证（MFA） ：使用多种身份验证因素进行登录，如“你知道的信息（账户详细信息或密码）”、“你拥有的物品（令牌或手机）”、“你本身的特征（生物识别）”。
8. 实施无密码身份验证协议 ：如OAuth2、OpenID、SAML或FIDO等。
9. 使用内置会话管理系统 ：建议使用语言自带的会话管理系统，如Java、ASP.NET和PHP的系统，它们经过了良好设计和广泛测试，比开发团队自行开发的版本更容易实现。
10. 使用HTTPS ：登录和已登录页面始终使用HTTPS，避免使用SSL，只接受TLS v1.1或更高版本的连接。
11. 启用HTTP严格传输安全（HSTS） ：通过使用Strict - Transport - Security头来确保使用HTTPS，它会在URL使用http://时重定向到安全选项，并防止覆盖“无效证书”消息。
12. 设置安全的Cookie属性 ：始终设置HTTPOnly和Secure Cookie属性。
13. 设置合理的会话过期时间 ：会话过期时间不宜过长，以免攻击者在合法用户离开后重用会话；也不宜过短，以免用户没有机会完成应用程序的预期任务。

身份验证机制通常简化为用户名/密码登录页面，密码的强度是关键。通过建立强密码策略、使用强哈希算法存储密码等方法，可以提高密码的安全性。对于会话管理，会话ID的过期时间、唯一性和强度，以及Cookie设置的安全性是关键考虑因素。同时，使用如TLS这样的加密通信通道对于保护用户身份验证数据至关重要。

以下是构建适当身份验证和会话管理的步骤列表：
1. 身份验证前检查
2. 确保数据唯一性和大小写敏感
3. 建立强密码策略
4. 安全存储密码
5. 正确比较密码
6. 避免基本HTML身份验证
7. 启用多因素身份验证
8. 实施无密码身份验证协议
9. 使用内置会话管理系统
10. 使用HTTPS
11. 启用HSTS
12. 设置安全的Cookie属性
13. 设置合理的会话过期时间

A3 - 防止跨站脚本攻击

跨站脚本攻击（XSS）发生在显示给用户的数据未正确编码，浏览器将其解释为脚本代码并执行的情况下。这也与输入验证有关，因为恶意代码通常通过输入变量插入。以下是防止XSS漏洞的方法：
1. 避免直接使用用户输入构建输出 ：应用程序容易受到XSS攻击的一个迹象是页面直接反映用户输入的内容，因此尽量避免使用用户提供的信息来构建输出文本。
2. 验证用户输入 ：当需要将用户提供的数据放入输出页面时，要验证这些数据，防止插入任何类型的代码，具体方法可参考A1 - 防止注入攻击的内容。
3. 数据清理和编码
- 如果允许用户输入特殊字符或代码片段，在将其插入输出之前进行清理或正确编码。
- PHP中的清理 ：可以使用filter_var进行清理，例如只保留字符串中的电子邮件有效字符：

<?php
$email = "john(.doe)@exa//mple.com";
$email = filter_var($email, FILTER_SANITIZE_EMAIL);
echo $email;
?>

- **PHP中的编码**：可以使用htmlspecialchars进行编码，例如：

<?php
$str = "The JavaScript HTML tags are <script> for opening, and </script>  for closing.";
echo htmlspecialchars($str);
?>

.NET中的处理 ：对于.NET 4.5及更高版本，System.Web.Security.AntiXss命名空间提供了必要的工具；对于.NET Framework 4及更早版本，可以使用Web Protection库：http://wpl.codeplex.com/。
防止存储型XSS ：在将信息存储到数据库和从数据库检索信息之前，对每一条信息进行编码或清理。
注意页面的其他部分 ：不要忽视页面的头部、标题、CSS和脚本部分，它们也可能被利用。

防止XSS攻击的关键在于输入验证和输出编码。通过正确处理用户输入和输出，可以有效减少XSS漏洞的风险。

以下是防止跨站脚本攻击的流程图：

graph TD;
    A[开始] --> B[避免直接使用用户输入];
    B --> C[验证用户输入];
    C --> D{是否允许特殊字符};
    D -- 是 --> E[清理或编码数据];
    D -- 否 --> F[继续处理];
    E --> F;
    F --> G[处理存储数据];
    G --> H[检查其他页面部分];
    H --> I[结束];

综上所述，无论是社会工程学攻击还是OWASP十大漏洞，都对网络安全构成了严重威胁。了解这些攻击方法和漏洞缓解策略，对于开发者和安全人员来说至关重要。通过采取有效的措施，可以提高Web应用程序的安全性，保护用户的敏感信息。

网络安全攻防：社会工程学攻击与OWASP漏洞缓解策略

A4 - 防止不安全的直接对象引用

不安全的直接对象引用是指应用程序在处理用户请求时，直接使用用户提供的参数来访问内部对象，而没有进行适当的授权检查。攻击者可以通过修改这些参数来访问未授权的资源。以下是防止不安全的直接对象引用的方法：
1. 使用间接引用 ：不要直接使用用户提供的对象标识符，而是使用一个中间层来映射这些标识符到实际的对象。例如，使用数据库中的一个代理键来代替实际的对象ID。
2. 进行授权检查 ：在访问任何对象之前，确保用户具有相应的权限。可以通过角色和权限管理系统来实现这一点。
3. 隐藏内部标识符 ：不要在URL或表单中暴露内部对象的标识符，以防止攻击者猜测或修改这些标识符。

以下是一个简单的示例，展示如何使用间接引用：

// 假设 $user_provided_id 是用户提供的ID
$safe_id = map_user_id_to_safe_id($user_provided_id);
if (user_has_permission($safe_id)) {
    // 允许访问对象
    $object = get_object_by_safe_id($safe_id);
} else {
    // 拒绝访问
    echo "Access denied";
}

A5 - 基本安全配置指南

正确的安全配置是保护Web应用程序的基础。以下是一些基本的安全配置建议：
1. 更新软件 ：及时更新操作系统、Web服务器、数据库管理系统和应用程序框架，以修复已知的安全漏洞。
2. 配置防火墙 ：使用防火墙来限制对服务器的访问，只允许必要的流量通过。
3. 禁用不必要的服务 ：关闭不需要的服务和端口，减少攻击面。
4. 设置强密码 ：为所有系统账户和数据库账户设置强密码。
5. 定期备份数据 ：定期备份重要的数据，并将备份存储在安全的位置。

以下是一个简单的防火墙配置示例（使用iptables）：

# 允许本地回环接口
iptables -A INPUT -i lo -j ACCEPT
# 允许已建立和相关的连接
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
# 允许SSH连接
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
# 允许HTTP和HTTPS连接
iptables -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
# 拒绝所有其他输入流量
iptables -A INPUT -j DROP

A6 - 保护敏感数据

敏感数据如用户的个人信息、信用卡号码、密码等需要得到妥善保护。以下是保护敏感数据的方法：
1. 加密数据 ：在存储和传输过程中对敏感数据进行加密。可以使用对称加密算法（如AES）或非对称加密算法（如RSA）。
2. 最小化数据收集 ：只收集必要的敏感数据，并在不需要时及时删除。
3. 访问控制 ：限制对敏感数据的访问，只有授权人员才能查看和处理这些数据。
4. 安全存储 ：将敏感数据存储在安全的数据库或存储系统中，并设置适当的访问权限。

以下是一个使用PHP进行AES加密的示例：

$plaintext = "sensitive data";
$key = openssl_random_pseudo_bytes(32);
$cipher = "aes-256-cbc";
$ivlen = openssl_cipher_iv_length($cipher);
$iv = openssl_random_pseudo_bytes($ivlen);
$ciphertext = openssl_encrypt($plaintext, $cipher, $key, $options=0, $iv);
echo $ciphertext;

A7 - 确保功能级访问控制

功能级访问控制是指根据用户的角色和权限来限制对应用程序特定功能的访问。以下是确保功能级访问控制的方法：
1. 定义角色和权限 ：明确不同角色（如管理员、普通用户）的权限，并将这些权限分配给相应的角色。
2. 实现访问控制逻辑 ：在应用程序的代码中实现访问控制逻辑，确保只有具有相应权限的用户才能访问特定的功能。
3. 定期审查权限 ：定期审查用户的权限，确保权限的分配仍然符合业务需求。

以下是一个简单的访问控制示例：

$user_role = get_user_role();
if ($user_role == 'admin') {
    // 允许访问管理功能
    show_admin_panel();
} else {
    // 拒绝访问
    echo "Access denied";
}

A8 - 防止CSRF

跨站请求伪造（CSRF）是指攻击者通过诱导用户在已登录的网站上执行恶意操作的攻击方式。以下是防止CSRF的方法：
1. 使用CSRF令牌 ：在表单和URL中包含一个随机生成的CSRF令牌，并在服务器端验证该令牌。
2. 验证请求来源 ：检查请求的来源是否合法，可以通过验证Referer头或使用SameSite属性来实现。
3. 设置SameSite属性 ：在Cookie中设置SameSite属性，以限制Cookie在跨站请求中的使用。

以下是一个使用PHP生成和验证CSRF令牌的示例：

// 生成CSRF令牌
session_start();
if (!isset($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}
$csrf_token = $_SESSION['csrf_token'];

// 在表单中包含CSRF令牌
echo '<form action="submit.php" method="post">';
echo '<input type="hidden" name="csrf_token" value="'.$csrf_token.'">';
echo '<input type="submit" value="Submit">';
echo '</form>';

// 在服务器端验证CSRF令牌
if ($_SERVER['REQUEST_METHOD'] == 'POST') {
    if ($_POST['csrf_token'] == $_SESSION['csrf_token']) {
        // 令牌验证通过
        echo "CSRF token verified";
    } else {
        // 令牌验证失败
        echo "CSRF token verification failed";
    }
}

A9 - 查找第三方组件的已知漏洞

许多Web应用程序依赖于第三方组件，如开源库、框架和插件。这些组件可能存在已知的安全漏洞。以下是查找第三方组件已知漏洞的方法：
1. 使用漏洞扫描工具 ：如Nessus、OpenVAS等，定期扫描应用程序的第三方组件，以发现已知的漏洞。
2. 关注安全公告 ：关注第三方组件的官方网站和安全公告，及时了解新发现的漏洞和修复方法。
3. 使用依赖管理工具 ：使用依赖管理工具（如npm、Maven等）来管理第三方组件的版本，并及时更新到安全的版本。

A10 - 重定向验证

重定向是指将用户从一个URL引导到另一个URL的过程。攻击者可以利用重定向漏洞将用户引导到恶意网站。以下是防止重定向漏洞的方法：
1. 验证重定向目标 ：在进行重定向之前，验证重定向目标的合法性，只允许重定向到可信的URL。
2. 使用白名单 ：维护一个可信URL的白名单，只允许重定向到白名单中的URL。

以下是一个简单的重定向验证示例：

$redirect_url = $_GET['redirect_url'];
$whitelist = array('https://example.com', 'https://another-example.com');
if (in_array($redirect_url, $whitelist)) {
    header("Location: $redirect_url");
} else {
    echo "Invalid redirect URL";
}

总结

网络安全是一个持续的过程，需要不断地关注和改进。通过了解社会工程学攻击的方法和OWASP十大漏洞的缓解策略，开发者和安全人员可以采取有效的措施来保护Web应用程序和用户的敏感信息。在实际应用中，应根据具体的业务需求和安全风险，选择合适的安全措施，并定期进行安全评估和更新。

以下是OWASP十大漏洞及缓解策略的总结表格：
| 漏洞编号 | 漏洞名称 | 缓解策略 |
| ---- | ---- | ---- |
| A1 | 防止注入攻击 | 输入验证、使用参数化查询、限制用户权限、禁用危险存储过程 |
| A2 | 构建适当的身份验证和会话管理 | 确保身份验证、保证数据唯一性和大小写敏感、建立强密码策略、安全存储密码等 |
| A3 | 防止跨站脚本攻击 | 避免直接使用用户输入、验证用户输入、数据清理和编码等 |
| A4 | 防止不安全的直接对象引用 | 使用间接引用、进行授权检查、隐藏内部标识符 |
| A5 | 基本安全配置指南 | 更新软件、配置防火墙、禁用不必要的服务等 |
| A6 | 保护敏感数据 | 加密数据、最小化数据收集、访问控制、安全存储 |
| A7 | 确保功能级访问控制 | 定义角色和权限、实现访问控制逻辑、定期审查权限 |
| A8 | 防止CSRF | 使用CSRF令牌、验证请求来源、设置SameSite属性 |
| A9 | 查找第三方组件的已知漏洞 | 使用漏洞扫描工具、关注安全公告、使用依赖管理工具 |
| A10 | 重定向验证 | 验证重定向目标、使用白名单 |

通过遵循这些策略，可以显著提高Web应用程序的安全性，降低被攻击的风险。