IT安全運維_幾個常見web漏洞匯總

2020-05-08 17:48 作者：艾銻無限 瀏覽量：

在服務器安全領域，針對web的漏洞非常多。對web服務器的安全運維也顯得尤為重要。作為管理員需要對這些漏洞有清楚的了解，避免在配置web服務器造成安全隱患，導致服務器被攻擊滲透。下面整理出幾種常見漏洞，供廣大IT安全運維工程師參考。


一、服務器維護之SQL注入漏洞

SQL注入攻擊（SQL Injection），簡稱注入攻擊、SQL注入，被廣泛用于非法獲取網站控制權，是發生在應用程序的數據庫層上的安全漏洞。在設計程序，忽略了對輸入字符串中夾帶的SQL指令的檢查，被數據庫誤認為是正常的SQL指令而運行，從而使數據庫受到攻擊，可能導致數據被竊取、更改、刪除，以及進一步導致網站被嵌入惡意代碼、被植入后門程序等危害。 

通常情況下，SQL注入的位置包括： 

（1）表單提交，主要是POST請求，也包括GET請求； 

（2）URL參數提交，主要為GET請求參數； 

（3）Cookie參數提交； 

（4）HTTP請求頭部的一些可修改的值，比如Referer、User_Agent等； 

（5）一些邊緣的輸入點，比如.mp3文件的一些文件信息等。 

常見的防范方法 

（1）所有的查詢語句都使用數據庫提供的參數化查詢接口，參數化的語句使用參數而不是將用戶輸入變量嵌入到SQL語句中。當前幾乎所有的數據庫系統都提供了參數化SQL語句執行接口，使用此接口可以非常有效的防止SQL注入攻擊。 

（2）對進入數據庫的特殊字符（’”<>&*;等）進行轉義處理，或編碼轉換。 

（3）確認每種數據的類型，比如數字型的數據就必須是數字，數據庫中的存儲字段必須對應為int型。 

（4）數據長度應該嚴格規定，能在一定程度上防止比較長的SQL注入語句無法正確執行。 

（5）網站每個數據層的編碼統一，建議全部使用UTF-8編碼，上下層編碼不一致有可能導致一些過濾模型被繞過。 

（6）嚴格限制網站用戶的數據庫的操作權限，給此用戶提供僅僅能夠滿足其工作的權限，從而最大限度的減少注入攻擊對數據庫的危害。 

（7）避免網站顯示SQL錯誤信息，比如類型錯誤、字段不匹配等，防止攻擊者利用這些錯誤信息進行一些判斷。 

（8）在網站發布之前建議使用一些專業的SQL注入檢測工具進行檢測，及時修補這些SQL注入漏洞。

二、服務器維護之跨站腳本漏洞

跨站腳本攻擊（Cross-site scripting，通常簡稱為XSS）發生在客戶端，可被用于進行竊取隱私、釣魚欺騙、竊取密碼、傳播惡意代碼等攻擊。 

XSS攻擊使用到的技術主要為HTML和Javascript，也包括VBScript和ActionScript等。XSS攻擊對WEB服務器雖無直接危害，但是它借助網站進行傳播，使網站的使用用戶受到攻擊，導致網站用戶帳號被竊取，從而對網站也產生了較嚴重的危害。 

XSS類型包括： 

（1）非持久型跨站：即反射型跨站腳本漏洞，是目前最普遍的跨站類型。跨站代碼一般存在于鏈接中，請求這樣的鏈接時，跨站代碼經過服務端反射回來，這類跨站的代碼不存儲到服務端（比如數據庫中）。上面章節所舉的例子就是這類情況。 

（2）持久型跨站：這是危害最直接的跨站類型，跨站代碼存儲于服務端（比如數據庫中）。常見情況是某用戶在論壇發貼，如果論壇沒有過濾用戶輸入的Javascript代碼數據，就會導致其他瀏覽此貼的用戶的瀏覽器會執行發貼人所嵌入的Javascript代碼。 

（3）DOM跨站（DOM XSS）：是一種發生在客戶端DOM（Document Object Model文檔對象模型）中的跨站漏洞，很大原因是因為客戶端腳本處理邏輯導致的安全問題。 

常用的防止XSS技術包括： 

（1）與SQL注入防護的建議一樣，假定所有輸入都是可疑的，必須對所有輸入中的script、iframe等字樣進行嚴格的檢查。這里的輸入不僅僅是用戶可以直接交互的輸入接口，也包括HTTP請求中的Cookie中的變量，HTTP請求頭部中的變量等。 

（2）不僅要驗證數據的類型，還要驗證其格式、長度、范圍和內容。 

（3）不要僅僅在客戶端做數據的驗證與過濾，關鍵的過濾步驟在服務端進行。 

（4）對輸出的數據也要檢查，數據庫里的值有可能會在一個大網站的多處都有輸出，即使在輸入做了編碼等操作，在各處的輸出點時也要進行安全檢查。 

（5）在發布應用程序之前測試所有已知的威脅。

三、服務器維護之弱口令漏洞

弱口令(weak password) 沒有嚴格和準確的定義，通常認為容易被別人（他們有可能對你很了解）猜測到或被破解工具破解的口令均為弱口令。設置密碼通常遵循以下原則： 

（1）不使用空口令或系統缺省的口令，這些口令眾所周之，為典型的弱口令。 

（2）口令長度不小于8個字符。 

（3）口令不應該為連續的某個字符（例如：AAAAAAAA）或重復某些字符的組合（例如：tzf.tzf.）。 

（4）口令應該為以下四類字符的組合，大寫字母(A-Z)、小寫字母(a-z)、數字(0-9)和特殊字符。每類字符至少包含一個。如果某類字符只包含一個，那么該字符不應為首字符或尾字符。 

（5）口令中不應包含本人、父母、子女和配偶的姓名和出生日期、紀念日期、登錄名、E-mail地址等等與本人有關的信息，以及字典中的單詞。 

（6）口令不應該為用數字或符號代替某些字母的單詞。 

（7）口令應該易記且可以快速輸入，防止他人從你身后很容易看到你的輸入。 

（8）至少90天內更換一次口令，防止未被發現的入侵者繼續使用該口令。

四、HTTP報頭追蹤漏洞 

HTTP/1.1（RFC2616）規范定義了HTTP TRACE方法，主要是用于客戶端通過向Web服務器提交TRACE請求來進行測試或獲得診斷信息。當Web服務器啟用TRACE時，提交的請求頭會在服務器響應的內容（Body）中完整的返回，其中HTTP頭很可能包括Session Token、Cookies或其它認證信息。攻擊者可以利用此漏洞來欺騙合法用戶并得到他們的私人信息。該漏洞往往與其它方式配合來進行有效攻擊，由于HTTP TRACE請求可以通過客戶瀏覽器腳本發起（如XMLHttpRequest），并可以通過DOM接口來訪問，因此很容易被攻擊者利用。 

防御HTTP報頭追蹤漏洞的方法通常禁用HTTP TRACE方法。

五、Struts2遠程命令執行漏洞 

ApacheStruts是一款建立Java web應用程序的開放源代碼架構。Apache Struts存在一個輸入過濾錯誤，如果遇到轉換錯誤可被利用注入和執行任意Java代碼。 

網站存在遠程代碼執行漏洞的大部分原因是由于網站采用了Apache Struts Xwork作為網站應用框架，由于該軟件存在遠程代碼執高危漏洞，導致網站面臨安全風險。CNVD處置過諸多此類漏洞，例如：“GPS車載衛星定位系統”網站存在遠程命令執行漏洞(CNVD-2012-13934)；Aspcms留言本遠程代
碼執行漏洞（CNVD-2012-11590）等。 

修復此類漏洞，只需到Apache官網升級Apache Struts到最新版本

六、服務器維護之文件上傳漏洞 

文件上傳漏洞通常由于網頁代碼中的文件上傳路徑變量過濾不嚴造成的，如果文件上傳功能實現代碼沒有嚴格限制用戶上傳的文件后綴以及文件類型，攻擊者可通過 Web 訪問的目錄上傳任意文件，包括網站后門文件（webshell），進而遠程控制網站服務器。 

因此，在開發網站及應用程序過程中，需嚴格限制和校驗上傳的文件，禁止上傳惡意代碼的文件。同時限制相關目錄的執行權限，防范webshell攻擊。

七、服務器維護之私有IP地址泄露漏洞 

IP地址是網絡用戶的重要標示，是攻擊者進行攻擊前需要了解的。獲取的方法較多，攻擊者也會因不同的網絡情況采取不同的方法，如：在局域網內使用Ping指令，Ping對方在網絡中的名稱而獲得IP；在Internet上使用IP版的QQ直接顯示。最有效的辦法是截獲并分析對方的網絡數據包。攻擊者可以找到并直接通過軟件解析截獲后的數據包的IP包頭信息，再根據這些信息了解具體的IP。 

針對最有效的“數據包分析方法”而言，就可以安裝能夠自動去掉發送數據包包頭IP信息的一些軟件。不過使用這些軟件有些缺點，譬如：耗費資源嚴重，降低計算機性能；訪問一些論壇或者網站時會受影響；不適合網吧用戶使用等等。現在的個人用戶采用最普及隱藏IP的方法應該是使用代理，由于使用代理服務器后，“轉址服務”會對發送出去的數據包有所修改，致使“數據包分析”的方法失效。一些容易泄漏用戶IP的網絡軟件(QQ、MSN、IE等)都支持使用代理方式連接Internet，特別是QQ使用“ezProxy”等代理軟件連接后，IP版的QQ都無法顯示該IP地址。雖然代理可以有效地隱藏用戶IP，但攻擊者亦可以繞過代理，查找到對方的真實IP地址，用戶在何種情況下使用何種方法隱藏IP，也要因情況而論。

八、服務器維護之未加密登錄請求 

由于Web配置不安全，登陸請求把諸如用戶名和密碼等敏感字段未加密進行傳輸，攻擊者可以竊聽網絡以劫獲這些敏感信息。建議進行例如SSH等的加密后再傳輸。

九、服務器維護之敏感信息泄露漏洞 

SQL注入、XSS、目錄遍歷、弱口令等均可導致敏感信息泄露，攻擊者可以通過漏洞獲得敏感信息。針對不同成因，防御方式不同

 

艾銻無限科技專業：IT外包、企業外包、北京IT外包、桌面運維、弱電工程、網站開發、wifi覆蓋方案,網絡外包,網絡管理服務,網管外包,綜合布線,服務器運維服務,中小企業it外包服務,服務器維保公司,硬件運維,網站運維服務

 
以上文章由北京艾銻無限科技發展有限公司整理