Web API 入门指南

最新推荐文章于 2024-05-11 18:21:57 发布

网络安全大本营

最新推荐文章于 2024-05-11 18:21:57 发布

阅读量582

点赞数 1

文章标签：服务器数据库 web安全网络攻击模型网络安全

本文链接：https://blog.csdn.net/m0_74131821/article/details/129976035

版权

本篇文章主要围绕着Web API的安全性来展开，介绍一些安全的基本概念，常见安全隐患、相关的防御技巧以及Web API提供的安全机制。

一、Web API 安全概览

先引用下wikipedia信息安全的定义：即保护信息免受未经授权的进入、使用、披露、破坏、修改、检视、记录及销毁，从而保证数据的机密性(Confidentiality)、完整性(Integrity)和可靠性(Availability)。

机密性和完整性都很好理解，可靠性作为信息安全的一个重要原则这里特别解释一下，即访问信息的时候保证可以访问的到，有一种攻击方式叫DOS/DDOS，即拒绝服务攻击，专门破坏网站的可用性。

Information security, sometimes shortened to InfoSec, is the practice of defending information from unauthorized access, use, disclosure, disruption, modification, perusal, inspection, recording or destruction.

围绕Web API安全，在不同的层次上有不同的防护措施。例如，

网络传输层https数据加密
认证方式Knowledge Factors/Ownership Factors/Two-Factor Security
服务器系统层权限管理，安全补丁升级更新
IIS层认证/授权模块管理
.NET层面的Identity管理，认证模块管理
Web API授权管理，输入验证
数据库层面数据加密，用户权限管理

下图是一个概览。

二、安全隐患

安全隐患种类繁多，这里简单介绍下OWASP票选前十位安全隐患。

1. 注入(Injection)

注入是指输入中包含恶意代码(在解释器中会被作为语句执行而非纯文本)，直接被传递给给解释器并执行，那么攻击者就可以窃取、修改或者破坏数据。

注入有很多种类型，最常见的如SQL注入、LDAP注入、OS命令注入等。

示例

以下代码是一个典型的SQL注入隐患

1	`String query =` `"SELECT * FROM accounts WHERE customerName='"` `+ request.getParameter("name") +` `"'";`

如果输入中customerName后面加上一个' or '1'='1，可以想象所有的accounts表数据都回被返回。

防御

通过封装API以参数形式来调用解释器，避免将整个解释器功能暴露给客户端。
如果没有封装好的安全API，可以考虑将特殊字符转义之后再传递给解释器。
更加激进一点的话可以提供一个输入的白名单，只有名单上的数据才可以进入解释器。

2. 无效认证和Session管理方式(Broken Authentication and Session Management)

开发人员经常自己编写认证或session管理模块，但是这种模块需要考虑的因素众多，很难正确完整的实现。所以经常会在登入登出、密码管理、超时设置、安全问题、帐户更新等方面存在安全隐患，给攻击者以可乘之机。

示例

用户密码用明文保存，例如2011年12月多家网站数据泄露，其中就发现国内知名技术网站居然也用明文存储用户密码。单纯的客户密码复杂度高还是不够，服务器的坑爹的实现还是会导致客户裸奔。
用户密码可以被特殊操作覆盖。例如不正确的实现密码更改功能、恢复密码功能等都有可能造成密码被直接更改。
网页URL中包含Session ID。例如你发现一个有趣的网页，然后把链接通过聊天工具贴给其他人，但是这个链接中包含了你的session id，别人点击这个链接就直接使用了你的session，同时他也可以作任何你可以在该网站上允许的操作，例如买张手机冲值卡。
Session ID不会timeout，或者session/token/SSO token在登出的时候没有将其失效。
用户认证信息、Session ID使用未加密连接传输。这里要提一下博客园的认证连接也是不加密的，通过抓报工具很容易抓到用户的密码信息。目前来说我们可以做的是为博客园专门设置一个密码，千万别用自己自己信用卡或支付宝密码。

防御