Web安全漏洞原理及防范（二）

1.会话认证漏洞

1.1 定义

cookie是WEB服务器返回给客户端的一段用来标识用户身份或者认证情况的字符串，保存在客户端，浏览器下次请求时会带上这个标识，故这个标识是可以被用户修改的。session则是保存在服务器端的信息，如果没用代码操作，客户端时不能直接修改session的，相对cookie更为安全。

1.2 危害

cookie注入、cookie伪造

1.3 防范思路

把cookie和session结合起来用，需要保护客户端不能操作敏感的session函数。

尽量不要把敏感信息直接放到cookie中去。

2.业务逻辑漏洞

2.1 定义

web应用程序一般都要实现特定的业务功能，在实现功能时会发生漏洞。

2.2 分类

①验证码安全

• 无验证码造成垃圾用户大量注册
• 不刷新直接绕过：将验证码明文或者加密放在cookie或者post数据包里。 
• 无验证码或验证码太弱导致暴力破解
• 验证码造成短信轰炸

防范思路

• 使用高强度的验证码
• 不把验证码放到html页面或者cookie中
• 验证码要设置只能请求一次，请求一次后不管错误与否都在后端程序强制刷新
• 设置验证码的错误次数

②投票/积分/抽奖（单个用户限制次数 ）

• cookie或者post请求正文绕过
• 基于IP验证
• 基于用户验证

防范思路

• 机器识别认证，每台机器都根据硬件信息生成唯一的识别码
• 用户信息congsession中获得

③支付逻辑漏洞

• 价格可修改
• 数量可修改

防范思路

• 商品单价及总价不从客户端获取
• 验证购买数量和价格，不得小于0

3.越权漏洞

3.1 定义

越权漏洞时WEB系统中一种常见的安全漏洞，即攻击者能够执行本来没有权利执行的操作。

3.2 分类

①未授权访问

敏感接口未授权访问导致敏感信息泄露

防范思路

敏感接口不暴露在公网上，即使必须这么做，也要设置好登陆验证

②水平越权

• 对于一些敏感的数据，需要先验证用户身份再处理
• uid等参数不能由前端传递，要从session中获得

③垂直越权

• 无任何验证
• 仅用前端js进行验证
• 用cookie来验证用户身份

防范思路

• 采用成熟的权限管理框架，如spring security
• 用户进行访问操作的凭证放在session中获取