安全漏洞不論對于個人用戶安全還是企業(yè)安全來說都是一個不容忽視的問題，一個和黑客通常都會花上幾個小時來熟悉Web應(yīng)用程序，象編制這一程序的程序員那樣思考然后找出編程時留下的安全漏洞，然后通過瀏覽器惡意地與應(yīng)用程序及其相關(guān)的設(shè)施進(jìn)行交互，造成或大或小的損害。

要防止這些問題，公司必須找出網(wǎng)站的弱點(diǎn)然后關(guān)閉有可能被黑可利用的縫隙。本文列舉并解釋網(wǎng)站中最容易被黑客利用從而進(jìn)行攻擊的弱點(diǎn)。

找出問題

作為Sanctum公司的CTO，我?guī)椭^許多公司找出并修補(bǔ)web應(yīng)用程序中的安全問題。Sanctum公司同時提供安全咨詢服務(wù)和用于完善網(wǎng)絡(luò)安全的長期防衛(wèi)技術(shù)以及驗(yàn)證工具從而為許多從事電子商務(wù)公司解決了大量的應(yīng)用程序級安全問題。

Sanctum檢查了超過100家的頂尖網(wǎng)站，模擬黑客攻擊，發(fā)現(xiàn)超過百分之97的網(wǎng)站有只需幾個小時就能攻破的嚴(yán)重的應(yīng)用程序級問題。Sanctum所進(jìn)行的檢查通常被稱為"善意黑客"，因?yàn)槭强蛻粢蟛⑹跈?quán)Sanctum對他們的網(wǎng)站進(jìn)行入侵的--象某個用戶(或黑客)那樣，在公司的防火墻和網(wǎng)絡(luò)之外對網(wǎng)站進(jìn)行訪問。

通過使用Sanctum的自動化應(yīng)用程序弱點(diǎn)評估工具AppScan，檢察人員遍歷整個網(wǎng)絡(luò)，辨識網(wǎng)站的應(yīng)用程序安全策略，找出目標(biāo)站點(diǎn)已知和未知的漏洞，然后模擬黑客利用這些漏洞對網(wǎng)站進(jìn)行攻擊。每次成功的攻擊和每個漏洞的嚴(yán)重程度都會進(jìn)行評估，然后提交給公司一份詳細(xì)的報告以及修補(bǔ)建議。

常見安全漏洞

幾乎所有Sanctum進(jìn)行過的檢查都發(fā)現(xiàn)各個網(wǎng)站都采取了嚴(yán)密的網(wǎng)絡(luò)級安全措施(例如防火墻和加密)，這些站點(diǎn)仍然會使黑客能夠?qū)蛻艉凸具M(jìn)行入侵。

1. Cookie中毒--身份偽裝

通過處理存放在瀏覽器cookie中的信息，黑客偽裝成合法的用戶然后就可以存取用戶的信息。許多Web應(yīng)用程序使用客戶機(jī)上的cookie來保存信息(用戶身份、時間戳等等)。由于cookie通常都沒有加密，黑客可以對它們進(jìn)行修改，這樣就可以通過這些"中了毒的cookie"來欺騙應(yīng)用程序。心存惡意的用戶可以訪問他人的賬戶然后象真正用戶那樣行事。

2. 操縱隱藏字段--電子行竊

黑客能夠很容易地更改網(wǎng)頁原碼中的隱藏字段以改變某件商品的價格。這些字段通常用來保存客戶的會話的信息，以便減少服務(wù)器端復(fù)雜的數(shù)據(jù)庫處理工作。由于電子商務(wù)應(yīng)用程序使用隱藏字段來保存商品的價格，Sanctum的檢查人員就能夠看到網(wǎng)站的源代碼，找出隱藏字段，然后更改價目。而在真實(shí)環(huán)境中沒有人能發(fā)現(xiàn)這些改動，而這家公司必須按照改動后的價格發(fā)送商品，甚至發(fā)送折扣。

3. 篡改參數(shù)--欺詐

這種技術(shù)改變網(wǎng)站URL的參數(shù)。很多web應(yīng)用程序無法確定嵌入在超鏈接中CGI參數(shù)的正確性。比如說，允許信用卡使用500，000元這樣大額的限制，跳過網(wǎng)站的登陸界面以及允許對取消后的訂單和客戶信息進(jìn)行訪問。

4. 緩沖區(qū)溢出--業(yè)務(wù)終止

通過使用某種形式的數(shù)據(jù)流，用過量的信息使服務(wù)器超載，黑客常常能夠使服務(wù)器崩潰從而關(guān)閉網(wǎng)站。

5. 跨站點(diǎn)腳本--截取信用

黑客向網(wǎng)站輸入惡意代碼，在目標(biāo)服務(wù)器上運(yùn)行一段看上去無害的錯誤的腳本程序會使黑客能夠完全訪問所獲取的文檔，服務(wù)器甚至有可能向黑客傳送頁面中的數(shù)據(jù)。

6. 后門和debug選項(xiàng)--入侵

程序員經(jīng)常在網(wǎng)站正式運(yùn)轉(zhuǎn)前在程序中留下調(diào)試選項(xiàng)。有時由于匆忙，他們忘記了關(guān)閉這些漏洞，使黑客能夠自由地訪問敏感信息。

7. 強(qiáng)制瀏覽--強(qiáng)行侵入

通過改變程序流程，黑客能夠?qū)φＧ闆r下無法獲得的信息和程序的某些部分進(jìn)行訪問，如日志文件、管理工具以及web應(yīng)用程序的源碼。

8. 潛入指令--秘密武器

黑客們常常通過木馬植入危險的指令，通過運(yùn)行惡意或未經(jīng)授權(quán)的指令來破壞網(wǎng)站。

9. 第三方的錯誤設(shè)置--弱化網(wǎng)站

一旦安全漏洞在公共網(wǎng)站上被公布和修正(比如Securityfocus)，黑客就會獲知這些新的安全漏洞。例如，通過一個設(shè)置錯誤，黑客就可以建立一個新數(shù)據(jù)庫以避免使用在該網(wǎng)站上不能奏效的入侵方法。

10. 已知安全漏洞--控制站點(diǎn)

各網(wǎng)站所使用的某些技術(shù)有一些固有的缺陷，這樣就會被某個執(zhí)著的黑客利用。舉例來說，微軟的ASP技術(shù)可以被用來獲取管理員口令進(jìn)而控制整個網(wǎng)站。

【編輯推薦】

1. Web專用網(wǎng)站服務(wù)器的安全設(shè)置
2. 怎樣進(jìn)行路由器的安全設(shè)置
3. 安全設(shè)置策略及自帶防火墻介紹
4. 企業(yè)如何對員工進(jìn)行網(wǎng)絡(luò)安全培訓(xùn)
5. 企業(yè)如何在復(fù)雜環(huán)境中降低安全風(fēng)險