用mod_security保障Web Services的安全

最新推荐文章于 2024-07-11 15:54:54 发布
最新推荐文章于 2024-07-11 15:54:54 发布
阅读量3.8k 收藏 1
点赞数
分类专栏： linux相关 php学习 文章标签： security web web服务 soap 正则表达式 encoding

用mod_security保障Web Services的安全


作者:Shreeraj Shah;skater     来源:matrix.org.cn
摘要:
Web服务正在变为下一代web应用的一个完整部分。但是它也较容易被攻击。这些攻击的种类与传统的web应用所受到的攻击是相同的，但是形式上发生了变化。这些攻击会导致信息泄漏；另外，这些攻击有助于执行远程命令。通过使用WSDL，一个攻击者能够确定web服务的入口和可用的接口。这些接口或方法使用SOAP协议通过HTTP/HTTPS方式得到输入。如果在源代码层没有好的保护，您的应用就会处于危险。mod_security作为一个Apache web服务器模块，是一种保护web服务免受恶意攻击（包括封装在S
 
 


版权声明：可以任意转载，转载时请务必以超链接形式标明文章原始出处和作者信息及本声明
英文原文地址:
http://www.onlamp.com/pub/a/onlamp/2005/06/09/wss_security.html
中文地址:
http://www.matrix.org.cn/resource/article/43/43728_mod_security.html
关键词： mod_security Web service


Web服务正在变为下一代web应用的一个完整部分。但是它也较容易被攻击。这些攻击的种类与传统的web应用所受到的攻击是相同的，但是形式上发生了变化。这些攻击会导致信息泄漏；另外，这些攻击有助于执行远程命令。通过使用WSDL，一个攻击者能够确定web服务的入口和可用的接口。这些接口或方法使用SOAP协议通过HTTP/HTTPS方式得到输入。如果在源代码层没有好的保护，您的应用就会处于危险。mod_security作为一个Apache web服务器模块，是一种保护web服务免受恶意攻击（包括封装在SOAP封套内的恶意数据）的理想解决方案。

问题域

Web服务所遭到的四种主要攻击：
•变量长度缓冲区(Variable-length buffer)注入
•元字符注入
•SQL注入
•SOAP错误代码信息暴露（译者注：是指返回的Exception信息的暴露）

通常防火墙配置会允许HTTP/HTTPS传输无碍的进入。通常对web服务的攻击会伪装成合法的HTTP/HTTPS传输，从而蒙骗了防火墙。这篇文章将告诉您如何区分合法的HTTP/HTTPS传输和恶意的HTTP/HTTPS传输，并截获恶意传输。这样将能够在很大程度上减轻对80/443端口的攻击。

解决方案是什么？

有很多解决方案，从安全代码到输入验证。一个途径是通过对每一个请求的内容用事先定义好的规则进行验证。这种途径在源代码层上阻止了恶意SOAP请求渗透入web服务。如您为web服务正确部署并配置了mod_security，它将能够阻止所有上述的攻击。这篇文章将详细的讨论mod_security如何能成为web 服务有效的防范工具。

当部署完web服务后，提供一个防御手段来防范不同类型的攻击是很重要的。每一种攻击都需要不同的防范策略。假设有这么一个银行—这个银行仅仅是一个作为例子的假想银行。

Blue 银行(www.bluebank.example.com)最近刚刚部署了web服务，并使用mod_security对web服务进行保护。该银行通过internet向它的金融合作伙伴和客户提供银行服务。它的web服务提供在线的客户服务，比如帐目结算，资金周转和更改用户信息。图1解释了在Blue Bank部署的web服务的架构。

image
图 1. Blue银行的部署

有许多部署web服务的方法。在这个例子中，web服务运行在Tomcat/Axis上。banking web服务应用以Java编码（以.jws作为扩展名）。
相关的Apache和Axis配置文件片断包含用来加载Tomcat的Apache httpd.conf： 

LoadModule jk2_module modules/mod_jk2.so
JkSet config.file /usr/local/apache2/conf/workers2.properties


让web服务支持AxisServlet 的Axis web.xml文件： 

<servlet-mapping>                                            
    <servlet-name>AxisServlet</servlet-name>                 
    <url-pattern>*.jws</url-pattern>                         
</servlet-mapping>


像如上配置之后，您将可以在该服务器上部署任何web服务。如果您注意到该服务器发回的如下的头信息，您能够识别如下这一行：

Server: Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d mod_jk2/2.0.4

以上的消息头说明服务器是运行于Tomcat模块mod_jk2/2.0.4之上的Apache/2.0.50 (Unix)。Axis作为Tomcat web应用的一部分并且已经可以部署web服务。为了给web服务层提供保护，Blue银行已经加载了有application级过滤能力的mod_security模块。下面一行在httpd.conf中的信息加载安全模块：

LoadModule security_module    modules/mod_security.so

当部署好mod_security后，Blue银行可以在httpd.conf里添加过滤规则： 

<IfModule mod_security.c> 
     # Turn the filtering engine On or Off
     SecFilterEngine On
     SecFilterDefaultAction "deny,log,status:500"
     SecFilterScanPOST On

     . . .
     # Other rules
     . . .
</IfModule>


通过上面的配置，Blue Bank已经为管理员和开发人员准备好创建web服务，并利用mod_security的有效的内容过滤能力来防范恶意HTTP/HTTPS请求。
考虑一个web服务例子
如：www.bluebank.example.com/axis/getBalance.jws.
这个web服务的WSDL请求来自：www.bluebank.example.com/axis/getBalance.jws?wsdl.
说明：www.bluebank.example.com是一个虚拟的域名，仅仅作为例子。

从WSDL得到 方法/接口 数据来显示帐目结算信息

仔细观察HTTP请求获得的WSDL应答结果。这里重点观察一个调用方法，该方法输入bank id 然后返回相关账目结算信息并通过Http传递给客户端。operation标签指定web服务能够调用的方法。相关的wsdl代码片断如下： 

<wsdl:operation name="getInput">
 <wsdlsoap:operation soapAction=""/>
   <wsdl:input name="getInputRequest">
<wsdlsoap:body encodingStyle=http://schemas.xmlsoap.org/soap/encoding/
             namespace="http://DefaultNamespace"
             use="encoded"/>
   </wsdl:input>
   <wsdl:output name="getInputResponse">
     <wsdlsoap:body encodingStyle=http://schemas.xmlsoap.org/soap/encoding/
             namespace="http://www.bluebank.example.com/axis/getBalance.jws"
             use="encoded"/>
   </wsdl:output>

<wsdl:message name="getInputResponse">
    <wsdl:part name="getInputReturn" type="xsd:string"/>
</wsdl:message>
<wsdl:message name="getInputRequest">
    <wsdl:part name="id" type="xsd:string"/>
</wsdl:message>


如上面代码所示，当向该方法传入一个id将得到一个字符串类型的输出。当你向该方法传入一个account id，你将回得到该account id的账目结算。

通过HTTP方式调用web服务

Blue银行的客户或者合作伙伴可以通过向banking web服务发送正确格式的SOAP封套来得到要求的信息。图2展示了一个通过向服务发送account id 12123 来获取相应账目结算的HTTP请求。

image
图 2.通过HTTP方式调用web服务

有很多种方法来产生有正确格式的SOAP请求的SOAP客户。这里有一个用Perl SOAP::Lite实现的SOAP客户。下面的简单代码将生成一个SOAP请求。 

#!perl -w
use SOAP::Lite;

print SOAP::Lite
  -> service('http://www.bluebank.example.com/axis/getBalance.jws?wsdl')
  -> getInput('12123');


在网络上探测到HTTP请求和应答是可能的，比如用ethereal。一个发送到www.bluebank.example.com 的包含id 信息为12123的HTTP/SOAP请求将产生如下信息： 

POST /axis/getBalance.jws HTTP/1.0
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Content-Length: 576
Expect: 100-continue
Host: www.bluebank.example.com

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:soapenc="http://schemas.xmlsoap.org/soap/encoding/"
xmlns:tns="http://www.bluebank.example.com/axis/getBalance.jws" xmlns:types="
http://www.bluebank.example.com/axis/getBalance.jws/encodedTypes"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:xsd="http://www.w3.org/2001/XMLSchema">
        <soap:Body
soap:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/">
                <q1:getInput xmlns:q1="http://DefaultNamespace">
                        <id xsi:type="xsd:string">12123</id>
                </q1:getInput>
        </soap:Body>
</soap:Envelope> 

...

HTTP/1.1 200 OK
Date: Mon, 03 Jan 2005 19:24:10 GMT
Server: Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d mod_jk2/2.0.4
Set-Cookie: JSESSIONID=69C6540CC427A8B064C0795ADDFC20EA; Path=/axis
Content-Type: text/xml;charset=utf-8
Connection: close

<?xml version="1.0" encoding="UTF-8"?>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"
                xmlns:xsd="http://www.w3.org/2001/XMLSchema"
                xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
        <soapenv:Body>
                <ns1:getInputResponse
soapenv:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"
                        xmlns:ns1="http://DefaultNamespace">
                        <ns1:getInputReturn
xsi:type="xsd:string">$2500</ns1:getInputReturn>
                </ns1:getInputResponse>
        </soapenv:Body>
</soapenv:Envelope>


将Web服务与mod_security结合起来

Blue银行的web服务使用www.bluebank.example.com/axis/getBalance.jws的URL。为这个资源创建一套规则通常一个不错的主意。为达此目的，Blue银行将此资源通过以下方式加入到httpd.conf： 

<IfModule mod_security.c>
      SecFilterEngine On
      SecFilterDefaultAction "deny,log,status:500"
      # Other rules
# ------- Rules for web services --------------------------
      <Location /axis/getBalance.jws>
        SecFilterInheritance Off
        SecFilterDefaultAction "deny,log,status:500"
        SecFilterScanPOST On
        SecFilterCheckURLEncoding On
        SecFilterCheckUnicodeEncoding On
      </Location>
#---------------------------------------------------------------
</IfModule>


下面的指令块为/axis/getBalance.jws应用了过滤标准。为了保护web服务它添加了必要的规则。这些规则在<Location>块中，如下： 

# ------- Rules for web services --------------------------
<Location /axis/getBalance.jws>
        SecFilterInheritance Off
        SecFilterDefaultAction "deny,log,status:500"
        SecFilterScanPOST On
        SecFilterCheckURLEncoding On
        SecFilterCheckUnicodeEncoding On
</Location>
#---------------------------------------------------------------


在这里有两个重要的指令：

SecFilterInheritance  Off
这个指令关闭其他所有规则，为新的location建立一套规则创建一个干净的空间。（译者注：初始化，建立新空间）

SecFilterScanPOST  On
由于web服务的方法调用是通过POST，所以这个指令是打开POST过滤器。
有了上面的配置，Blue Bank已经在mod_security中部署了一个“护盾”（译者注：防火墙）。该“护盾”也知道它的防护目标——客户端通过SOAP封套发送的id的内容。

防范攻击

作为防护所有恶意请求的第一步，Blue银行需要限制从客户端发送的id的值，防止传来无效值。SOAP请求用XML标签将id信息发送到web服务的代码中，像如下这样： 

<q1:getInput xmlns:q1="http://DefaultNamespace">
     <id xsi:type="xsd:string">12123</id>
</q1:getInput>


为了过滤该请求，mod_security必须有一些途径去读取与标签相关的值（在这里标签是id）；这个例子中的值是12123，mod_security提供一些途径限制通过POST请求发送的值。其中的一个方法就是使用自定义过滤器： 

<Location /axis/getBalance.jws>
    SecFilterInheritance Off            
    SecFilterDefaultAction "deny,log,status:500"
    SecFilterScanPOST On
    SecFilterCheckURLEncoding On
    SecFilterCheckUnicodeEncoding On   
    SecFilterSelective POST_PAYLOAD "</s*id[^>]*>" chain
</Location>


上面标示出来的行对请求中的id进行限制。POST_PAYLOAD截取POST数据块并与正则表达式(</s*id[^>]*>)进行匹配。该正则表达式确保id标签存在，当存在的情况下才进行其余的检查。换句话说，如果id标签存在，mod_security继续下一个检查。

如果发送的POST请求中存在一个id，服务器能够执行信息。然而，一个恶意的客户端能够修改这个值加入恶意内容。有四种最流行的攻击方式。

攻击方式1：变量长度缓冲区注入（译者注：缓冲区溢出）

当把一个大的缓冲数据传给一个变量时可能会引起应用程序运行不正常或者在执行的时候“宕”掉的安全隐患。下面的规则将保护id变量免受此类攻击： 

<Location /axis/getBalance.jws>
        SecFilterInheritance Off
        SecFilterDefaultAction "deny,log,status:500"
        SecFilterScanPOST On
        SecFilterCheckURLEncoding On
        SecFilterCheckUnicodeEncoding On
        SecFilterSelective POST_PAYLOAD "</s*id[^>]*>" chain
        SecFilterSelective POST_PAYLOAD "</s*id[^>]*>.{6,}<//s*id/s*>""deny,status:500"
</Location>


在上面的指令中，正则表达式</s*id[^>]*>.{6,}<//s*id/s*>限制缓冲变量的长度为5个字符。为了检查上面的代码块是否起作用，Blue银行可以发送两个请求，一个请求符合约束，另一个越界。 

POST /axis/getBalance.jws HTTP/1.0
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Content-Length: 576
Expect: 100-continue
Host: www.bluebank.example.com

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:soapenc="http://schemas.xmlsoap.org/soap/encoding/"
xmlns:tns="http://www.bluebank.example.com/axis/getBalance.jws" xmlns:types="
http://www.bluebank.example.com/axis/getBalance.jws/encodedTypes"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:xsd="http://www.w3.org/2001/XMLSchema">
        <soap:Body
soap:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/">
                <q1:getInput xmlns:q1="http://DefaultNamespace">
                        <id xsi:type="xsd:string">12123</id>
                </q1:getInput>
        </soap:Body>
</soap:Envelope>

...

HTTP/1.1 200 OK
Date: Mon, 03 Jan 2005 19:24:10 GMT
Server: Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d mod_jk2/2.0.4
Set-Cookie: JSESSIONID=69C6540CC427A8B064C0795ADDFC20EA; Path=/axis
Content-Type: text/xml;charset=utf-8
Connection: close

<?xml version="1.0" encoding="UTF-8"?>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"
                xmlns:xsd="http://www.w3.org/2001/XMLSchema"
                xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
        <soapenv:Body>
                <ns1:getInputResponse
soapenv:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"
                        xmlns:ns1="http://DefaultNamespace">
                        <ns1:getInputReturn
xsi:type="xsd:string">$2500</ns1:getInputReturn>
                </ns1:getInputResponse>
        </soapenv:Body>
</soapenv:Envelope>


在上面的例子中，将一个包含5个字符的缓冲数据传给web服务，服务收到后发回一个响应值为$2500。下面的例子将更改12123这个数据为121234，新的数据有6个字符，将得到一个新的响应信息，如下： 

POST /axis/getBlalance.jws HTTP/1.0
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Content-Length: 577
Expect: 100-continue
Host: www.bluebank.example.com

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:soapenc="http://schemas.xmlsoap.org/soap/encoding/"
xmlns:tns="http://www.bluebank.example.com/axis/getBalance.jws" xmlns:types="
http://www.bluebank.example.com/axis/getBalance.jws/encodedTypes"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:xsd="http://www.w3.org/2001/XMLSchema">
        <soap:Body
soap:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/">
                <q1:getInput xmlns:q1="http://DefaultNamespace">
                        <id xsi:type="xsd:string">121234</id>
                </q1:getInput>
        </soap:Body>
</soap:Envelope>

...

HTTP/1.1 500 Internal Server Error
Date: Mon, 03 Jan 2005 22:00:33 GMT
Server: Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d mod_jk2/2.0.4
Content-Length: 657
Connection: close
Content-Type: text/html; charset=iso-8859-1

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
   <title>500 Internal Server Error</title>
  </head><body>
  <h1>Internal Server Error</h1>
  <p>The server encountered an internal error or misconfiguration and was
  unable to complete your request.</p>
  <p>Please contact the server administrator, you@example.com and inform
  them of the time the error occurred, and anything you might have done that
  may have caused the error.</p>
  <p>More information about this error may be available in the server
error
  log.</p>
  <hr />
  <address>Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d
mod_jk2/2.0.4
  Server  at 192.168.7.50 Port 80</address>
</body></html>


mod_security模块拒绝了该请求。返回500状态。这说明请求根本没有到达web服务层。Blue 银行成功地防范了最常见和常常被忽略的缓冲区溢出攻击。（译者注：HTTP定义的500状态是服务器执行错误）

第二种攻击：元字符注入

另外一个主要的针对输入变量的威胁来自于使用像%，单引号（’），双引号（”）。这些字符会导致SQL注入攻击，并且可能会导致不必要的信息泄漏。采用下面的策略将保护web服务防范此类攻击。 

<Location /axis/getBalance.jws>
   SecFilterInheritance Off
        
   SecFilterDefaultAction "deny,log,status:500"
   SecFilterScanPOST On
   SecFilterCheckURLEncoding On
   SecFilterCheckUnicodeEncoding On
      
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>" chain
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>.{6,}<//s*id/s*>" 
     "deny,status:500"
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>.*[^a-zA-Z0-9][^<]*<//s*id/s*>" 
     "deny,status:500"      
</Location>


正则表达式</s*id[^>]*>.*[^a-zA-Z0-9][^<]*<//s*id/s*>阻止不符合正则表达式的变量通过HTTP请求传入。这种转化字符集是mod_security的一项重要技术。
下面是传递一个id值为12'12的请求与应答： 

POST /axis/getBalance.jws HTTP/1.0
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Content-Length: 576
Expect: 100-continue
Host: www.bluebank.example.com

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:soapenc="http://schemas.xmlsoap.org/soap/encoding/"
xmlns:tns="http://www.bluebank.example.com/axis/getBalance.jws" xmlns:types="
http://www.bluebank.example.com/axis/getBalance.jws/encodedTypes"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:xsd="http://www.w3.org/2001/XMLSchema">
        <soap:Body
soap:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/">
                <q1:getInput xmlns:q1="http://DefaultNamespace">
                        <id xsi:type="xsd:string">12'12</id>
                </q1:getInput>
        </soap:Body>
</soap:Envelope>

...

500 Internal Server Error
HTTP/1.1 500 Internal Server Error
Date: Mon, 03 Jan 2005 22:00:33 GMT
Server: Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d mod_jk2/2.0.4
Content-Length: 657
Connection: close
Content-Type: text/html; charset=iso-8859-1


如上，您可以看到返回500状态，说明这个攻击也失败了，mod_security捕获到了该攻击。

第三种攻击：SQL注入

在变量里注入SQL语句也是可能的。同时执行许多SQL语句也是可能的。如果您的应用的输入不“干净”，恶意的客户端将可以向已有的SQL请求增加额外的SQL语句，通常会导致严重的后果。 

<Location /axis/getBalance.jws>
   SecFilterInheritance Off
   SecFilterDefaultAction "deny,log,status:500"
   SecFilterScanPOST On
   SecFilterCheckURLEncoding On
   SecFilterCheckUnicodeEncoding On
 
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>" chain
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>.{6,}<//s*id/s*>" 
     "deny,status:500"
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>.*[^a-zA-Z0-9][^<]*<//s*id/s*>" 
     "deny,status:500"
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>.*select.+from[^<]*<//s*id/s*>" 
     "deny,status:500"
</Location>


被标示出来的正则表达式与“select * from . . .”子句匹配，如果匹配将会返回500状态。类似的您可以添加delete, update等正则表达式规则。mod_security会为您阻挡此类攻击。

第四种攻击：SOAP错误代码信息暴露

在web服务中有一种重要的信息是错误信息。一个错误的请求将会得到一段错误代码。下面是针对一个恶意用户故意非难Blue银行，向一个需要整型的变量发送字符类型“a”的请求时，Blue银行的应答结果。 

POST /axis/getBalance.jws HTTP/1.0
Content-Type: text/xml; charset=utf-8
SOAPAction: ""
Content-Length: 569
Expect: 100-continue
Host: www.bluebank.example.com

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"
xmlns:soapenc="http://schemas.xmlsoap.org/soap/encoding/"
xmlns:tns="http://www.bluebank.example.com/axis/getBalance.jws" xmlns:types="
http://www.bluebank.example.com/axis/getBalance.jws/encodedTypes"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xmlns:xsd="http://www.w3.org/2001/XMLSchema">
        <soap:Body soap:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/">
                <q1:getInput xmlns:q1="http://DefaultNamespace">
                        <id xsi:type="xsd:string">a</id>
                </q1:getInput>
        </soap:Body>
</soap:Envelope>

...

500 Internal Server Error
HTTP/1.1 500 Internal Server Error
Date: Tue, 04 Jan 2005 16:22:14 GMT
Server: Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d mod_jk2/2.0.4
Set-Cookie: JSESSIONID=1CAF4CD0ED0F38FB40ECBC7BDAB56C75; Path=/axis
Content-Type: text/xml;charset=utf-8
Connection: close

<?xml version="1.0" encoding="UTF-8"?>
<soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/"
        xmlns:xsd="http://www.w3.org/2001/XMLSchema"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
 <soapenv:Body>
   <soapenv:Fault>
        <faultcode>soapenv:Server.userException</faultcode>
        <faultstring>java.lang.NumberFormatException: 
                  For input string:"a"</faultstring>
   <detail/>
   </soapenv:Fault>
  </soapenv:Body>
</soapenv:Envelope>
如应答所示，错误的代码可能会暴露重要的内部信息，因此，非常有必要定义及使用过滤器。Blue Bank可以用下面的规则来过滤：
<Location /axis/getBalance.jws>
   SecFilterInheritance Off
        
   SecFilterDefaultAction "deny,log,status:500"
   SecFilterScanPOST On
   SecFilterCheckURLEncoding On
   SecFilterCheckUnicodeEncoding On
     
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>" chain
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>.{6,}<//s*id/s*>" 
     "deny,status:500"
   SecFilterSelective POST_PAYLOAD "</s*id[^>]*>.*[^a-zA-Z0-9][^<]*<//s*id/s*>" 
     "deny,status:500"
     
   SecFilterScanOutput On
   SecFilterSelective OUTPUT "faultcode" "deny,status:500"
</Location>


SecFilterScanOutput On
这个指令扫描一个输出数据块并使用过滤器

SecFilterSelective OUTPUT "faultcode" "deny,status:500"
这个指令块处理包含错误代码的传输。如果攻击者发送一个错误请求，比如上面的例子，它将会收到下面的响应： 

HTTP/1.1 500 Internal Server Error
Date: Mon, 03 Jan 2005 22:00:33 GMT
Server: Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d mod_jk2/2.0.4
Content-Length: 657
Connection: close
Content-Type: text/html; charset=iso-8859-1

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
   <title>500 Internal Server Error</title>
  </head><body>
  <h1>Internal Server Error</h1>
  <p>The server encountered an internal error or misconfiguration and was
  unable to complete your request.</p>
  <p>Please contact the server administrator,  you@example.com and inform
  them of the time the error occurred, and anything you might have done that
  may have caused the error.</p>
  <p>More information about this error may be available in the server
error 
  log.</p>
  <hr />
  <address>Apache/2.0.50 (Unix) mod_ssl/2.0.50 OpenSSL/0.9.7d
mod_jk2/2.0.4
  Server  at 192.168.7.50 Port 80</address>
</body></html>

如上，当正确配置了mod_security后，将可以阻止此类攻击。

总结

mod_security可能看起来只不过是安全世界里的又一个工具而已，但是它较现有的安全工具有自己独特的优势。在提供HTTP层防护的同时，mod_security支持POST_PAYLOAD过滤能力。
然而，mod_security的优势在于提供了允许开发人员和web管理员不需要修改源代码就可以来防护web服务的手段。它并不是使差代码变得可容忍；它通常意味着公司或者组织能够不需要运行冗长的代码就可以为它们的web服务装配附加的有效的安全保障。

这篇文章主要是讲述一种web服务安全技术，这种技术是一种有效的技术。您可以自由选择您自己的技术来保护web服务。

要了解更多关于mod_security的信息，请看 Introducing mod_security, mod_security quick examples,和HOWTO: Enhancing Apache with mod_security。
破法者
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Mod_Security介绍
qq_33557485的博客
07-13 3493
官方介绍地址：https://github.com/SpiderLabs/ModSecurity/wiki/Reference-Manual-%28v2.x%29#Introduction 一.简介 mod_security就是一个开源的WAF。特色是完整的http流量记录。提供实时的监控和攻击检测。（基于http的实时监控） （一）常用方式： 消极消极安全模型。监控异常请求，异常行为和常...
用mod_security增强web安全性（下）
jiangxinyu的专栏
01-04 1628
用mod_security增强web安全性一孔之见2003.07.11行为有以下几种行为：l 首要行为(primary action)将要决定是否继续请求。只可以存在一种首要行为，如果你在参数中同时设置几种首要行为，最后的一个行为将被执行。首要行为有 deny,pass和redirectl 次要行为(secondary action)将独立于首要行为的决定来进行匹配。可以有任何数目的次要行为。其中
【项目实战】深入解析HTTP状态码：500 Internal Server Error
最新发布
一勺菠萝丶的博客
07-11 1786
500 Internal Server Error 是一个表示服务器错误的HTTP状态码，用于通知客户端由于服务器内部错误，无法完成请求。这种错误通常是服务器遇到了预料之外的情况，使得它无法按预期方式处理请求。500 Internal Server Error 是服务器遇到未预期错误的一种通用反馈，处理这类错误需要服务器管理员和开发者的密切合作。
ModSecurity CRS 笔记、WAF防御checklist,及WAF架构的一些想法
chengfangang的专栏
10-30 2997
转载地址：http://danqingdani.blog.163.com/blog/static/186094195201472304841643/ ModSecurity的规则因为奇怪的正则(可读性差？正则都很天书地说！）及被绕过案例（哪个WAF没有被绕过的经历呢？），还有性能啥的，被不少的安全人员围攻，但从架构层面来说，是款非常优秀的WAF，对构造我们自己的WAF非常具有借鉴性。
极客大学架构师训练营 组件设计原则 安全架构 防火墙ModSecurity 第21课 听课总结
AI架构师易筋
08-13 427
说明 讲师：李智慧 组件设计原则 在没有编程语言的时候就已经有了软件组件。 软件的复杂度和它的规模成指数关系 一个复杂度为 100 的软件系统，如果能拆分成两个互不相关、同等规模的子系统，那么每个子系统的复杂度应该是25，而不是50.软件开发这个行业很久之前就形成了一个共识，应该将复杂的软件系统进行拆分，拆成多个更低复杂度的子系统，子系统还可以继续拆分成更小粒度的组件。也就是说，软件需要进行模块化、组件化设计。 组件内聚原则 组件内聚原则主要讨论哪些类应该聚合在同一个组件中，以便组件既能提供相对完整的功能
web应用防火墙：ModSecurity
步行者的专栏
01-06 1555
ModSecurity是web应用防火墙。可以和Apache一起使用。 ModSecurity是一个开源的Web软件防火墙。它可以作为Apache Web服务器的一个模块或单独的应用程序来运行.ModSecurity的目的是为增强Web应用程序的安全性和保护Web应用程序避免遭受来自已知与未 知的攻击. With over 70% of all attacks now carried out
WebServer Security apache / bind / IIS5
04-30
这包括限制匿名访问，使用SSL/TLS加密敏感数据，安装并启用安全模块如mod_security，定期检查并修复潜在的安全漏洞，以及通过日志监控来检测不寻常的活动。 2. **BIND DNS服务器安全**： BIND是互联网上最广泛使用...
web server
06-20
1. 模块扩展：Apache支持多种模块，如mod_rewrite用于URL重写，mod_security提供安全防护。Nginx则通过模块化的架构实现功能扩展。 2. 负载均衡：当流量增大时，可以配置负载均衡器分发请求到多台服务器，提高系统...
Practical Mod Perl
04-05
Practical Mod Perl <br> Copyright Preface What You Need to Know Who This Book Is For How This Book Is Organized Reference Sections Filesystem Conventions Apache ...
apache_2.0.63-win32-x86-no_ssl.msi
10-28
在现代环境中，建议使用最新稳定版的Apache，以确保更好的安全性和功能。 "win32-x86" 指出这个版本适用于32位的Windows操作系统，这意味着如果你的系统是64位的，你需要寻找一个匹配的64位版本。同时，"no_ssl" ...
modsecurity实用安装部署
10-25
实用的modsecurity安装手册，详细介绍了安装过程的中遇到的问题。适合小白和初级人员。
mod_security简要安装设置指南
jiangxinyu的专栏
01-04 2548
mod_security简要安装设置指南。   P K[quFC  (c? bYmKZ  -------------------------------------------------------------------------------- 6[f ~c5$%  t`:ElTF  系统：4.10 rwF#Zon4  apache：1.3.x 1@+ "#!A  @)@
Tomcat服务器的安全设置实验
Mystic_JJ的博客
12-15 326
实验名称：Tomcat服务器的安全设置实验 实验目的：进行实验操作：Tomcat服务器的安全设置实验，并访问成功 实验环境：Linux CentOS7(一台） 实验步骤： 一、配置如下： 1、Tomcat的部署。 安装JDK1.7.x 将jdk1.7版本的包复制粘贴到虚拟机的./目录下 [root@localhost~]#cp ‘//tmp/VMwareDnD/23fb7099/jdk-7u80-linux-x64.tar.gz’ ./ [root@localhost ~]# tar zxvf jdk-7u
modsecurity 启动不了
chengfangang的专栏
11-01 1353
./configure make && make install LoadModule unique_id_module modules/mod_unique_id.so
初识Modsecurity
一个想做dba的sa
03-15 847
1,ModeSecuity是apache一个安全模块，用于处理web应用的安全事件，同时该模块也有Nginx的beta版本。 示意图如下： 2,安装该模块以后，访问模式变成requst->Mod->Web-server 3,详细安装URL http://www.modsecurity.org/documentation/modsecurity-apache/1.9.3/modsec
Mod_Security 安装配置
浅笑996的博客
10-26 1345
Mod_Security 安装配置 OS平台：Ubuntu 16 服务器：Apache2 一、更新Ubuntu apt-get更新源 sudo mv /etc/apt/sources.list /etc/apt/sources.list_backup sudo nano /etc/apt/sources.list 将以下内容，写入source.list deb http://mirrors....
学习"ModSecrity Handbook"之摘录
zhangge3663的博客
04-10 347
1.ModSecurity四大原则:灵活性、被动性、可预测性、功能质量而不是数量。2.Audit log directivesDirectiveDescriptionSecAuditEngine控制审计日志引擎；可能的值:打开、关闭或仅关联SecAuditLog审计日志文件的路径SecAuditLog2另一个审计日志文件的路径(副本)SecAuditLogParts指定将记录事务的哪个部分。Sec...
ModSecurity混合应用
weixin_42730268的博客
07-11 222
ModSecurity 是一种混合 WAF（Web Application Firewall） 引擎，其中某些工作依赖于主机 Web 服务器。 ModSecurity 最初是为 Apache Web 服务器编写的，但此后已移植到 Nginx 和 IIS。尽管在Nginx和IIS都得到了积极维护，但它们都具有 ModSecurity 的传统以及与 Apache 源代码紧密集成。 Apache 为 ModSecurity 所做的一切与所有其他模块所做的一样，具有如下的功能：
入门指南：使用MOD_WSGI进行Python Web开发
"这篇文档是关于使用MOD_WSGI的入门指南，由Graham Dumpleton在2010年PyCon Australia上发表。主要内容涵盖了WSGI（Web Server Gateway Interface）规范、MOD_WSGI模块的功能以及如何创建一个简单的WSGI应用和URL...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值