Web安全（owasp top 10）第二部分

最新推荐文章于 2024-08-02 18:24:49 发布

自饰者六便士

最新推荐文章于 2024-08-02 18:24:49 发布

阅读量137

点赞数

分类专栏：网络安全文章标签： web安全安全网络

本文链接：https://blog.csdn.net/vivlol918/article/details/130657312

版权

网络安全专栏收录该内容

25 篇文章 1 订阅

订阅专栏

Web安全（owasp top 10）第二部分

1.跨站脚本XSS

原理：

1.反射型XSS：攻击者向服务器发送一个带有恶意JS代码的请求，服务器会向攻击者返回一个带有JS脚本的页面，攻击者将带有恶意JS脚本的页面发送给目标用户，用户点击后就会触发XSS漏洞，从而被盗取cookie值或者被重定向到第三方网站

2.存储型XSS：攻击者向服务器发送一个带有恶意JS代码的请求，服务器会先在服务器上存储一份，然后会向攻击者返回一个带有JS脚本的页面。此时，当其他用户登录这个网站时，都会被盗取cookie值或者被重定向到第三方网站。

3.DOM型XSS：攻击者向服务器发送一个带有恶意JS代码的请求，服务器的响应不会以任何形式包含攻击者的脚本。当用户的浏览器处理这个响应时，DOM对象就会处理XSS代码，导致存在XSS漏洞。

危害：

1.盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
2.控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
3.盗窃企业重要的具有商业价值的资料
4.非法转账
5.强制发送电子邮件
6.网站挂马
7.控制受害者机器向其它网站发起攻击
8.可以获得管理员凭据，直接获取后台权限
9.造成蠕虫文件，在一些网站进行传播

防御手段：

1.对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。
2.实现Session标记,对HTTP引用头检查，以防功能被第三方网站所执行。
3.确认接收的的内容被妥善的规范化

2.安全性配置错误

原理：

安全配置错误是比较常见的漏洞，由于操作者的不当配置(默认配置，临时配置，开源云存储，http标头配置，以及包含敏感信息的详细错误)，导致攻击者可以利用这些配置获取到更高的权限，安全配置错误可以发生在各个层面，包含平台、web服务器、应用服务器、数据库、架构和代码。

危害：

服务器收到入侵，root权限泄露等

防御手段：

1.使用的服务不包含任何不必要的功能、组件、文档和示例。移除或不安装不适用的功能和框架
2.及时检测系统服务版本，为已发现的漏洞打补丁
3.在对文件等分配权限时，根据其工作需要采取最小权限原则的方法

3.跨站请求伪造CSRF

原理：

利用了网站允许攻击者预测特定操作的所有细节这一特点。由于浏览器自动发送会话cookie等认证凭证，导致攻击者能够创建恶意的web页面来伪造请求。这些伪造的请求很难和合法的请求区分开。CSRF通过伪装来自受信任用户的请求来利用受信任的网站。