第二章 核心防御机制

web应用程序采用的防御机制由以下几个核心因素构成：1、处理用户访问应用程序的数据与功能，防止用户获得未授权访问 2、处理用户对应用程序功能的输入，防止错误输入造成不良影响 3、防范攻击者，确保应用程序在成为直接攻击目标时能够正常运转，并采取适当的防御与攻击措施挫败攻击者 4、管理应用程序本身，帮助管理员监控其行为，配置其功能

鉴于她们在解决核心安全问题过程中的所发挥的主要作用，一个典型的应用程序的绝大多数受攻击面也由这些机制构成

在软件环境中，受攻击面是指对未通过验证的用户的有效功能，也就是说，未通过验证的用户通过软件的默认配置能够得到什么目的

大多数web应用程序使用三层相互关联的安全机制处理用户访问：身份验证、会话管理、访问控制

攻击web应用程序时，渗透测试员应当投入大量精力，攻击应用程序采用的各种身份验证有关的功能。出人意料的是，这种功能中存在的缺陷往往允许攻击者非法访问敏感的数据与功能。

处理用户访问的下一项逻辑任务是管理通过验证用户的会话。

几乎所有的web应用程序都为每一位用户建立一个会话，并向用户发布一个表示会话的令牌，会话本身是一组保存在服务器上的数据结构，用于追踪用户与应用程序 的交互状态。令牌是一个唯一的字符串，用于程序将其映射到会话中，当用户收到一个令牌是，浏览器会在随后的http请求中将它返回给服务器，帮助应用程序将该请求与该用户联系起来，虽然许多应用程序使用隐藏表单字段或url查询字符串传送会话令牌，但http cookie菜式实现这一目的的常规方法。

就受攻击面而言，会话管理机制的有效性基本上取决于其令牌的安全性，绝大多数针对他的攻击都企图攻破其他用户的令牌。令牌生成过程中的缺陷是主要的漏洞来源，实攻击者能够推测出发布给其他用户的令牌，随后，攻击者在利用令牌中的缺陷截获其他用户的令牌。

处理用户访问的最后一个逻辑步骤是做出并实施正确的决策，决定允许或拒绝每一个请求。

如果前面的机制运作正常，应用程序即可从收到的每一个请求确认用户的身份。再次基础上，应用程序需要决定是否授权用户执行其所请求的操作或访问其中数据。

开发者经常会对用户与应用程序的交互做出错误的假设，并常常有所疏忽，在某些应用程序功能中省略访问控制检查。探查这些漏洞是一件费力的工作，因为需要对每一项功能重复进行相同的检查。然而，因为访问控制机制中存在的大量漏洞，所以在测试web应用程序时付出的努力总是值得的。

应用程序的每一项功能以及几乎每一种常用的技术都可能出现输入方面的漏洞。通常来说，输入确认（input validation）是防御这些估计的必要手段。

除了用户通过浏览器界面提交的各种输入外，一个典型的应用程序还会收到大量数据，她们在服务器上生成，并被传送给客户端，以便客户端能够在随后的请求中将其返回给服务器，这些数据包包括cookie和隐藏表单字段，普通应用程序用户虽然无法浏览这些数据项，但攻击者能够查看并修改这些数据。

输入处理方法：1、拒绝已知的不良输入（黑名单）2、接受已知的正常输入（白名单）3、净化4、安全处理数据 5、安全检查

各种基于黑名单的过滤，特别是那些由web应用程序防火墙执行的过滤，都易受空字节的攻击。由于在托管和非托管情况下处理字符串的方式各不相同，在被阻止的表达式之前的任何位置出入空字节可能导致过滤器停止处理输入，并因此无法确定表达式。

对空字节的处理方式加以利用的攻击存在于web应用程序安全的各个领域。在空字节被当做字符串分隔符的情况下，空字节可用于终止文件名或对某个后端组建的查询，在接受并忽略空字节的情况下，可以被阻止的表达式中插入任意空字节，以避开基于黑名单的过滤。

边界确认（boundary validation）是一种更加有效的模型。服务器端应用程序的每一个单独的组件或功能单元将其输入当做来自潜在恶意来源的输入等待。除客户端与服务器之间的外部边界外，应用程序在上述每一个信任边界上执行数据确认。