建站
咨詢
售后
建站咨詢
新聞中心
常見的web漏洞有哪些？
比較常見的 web 漏洞有：SQL注入、XSS跨站站點(diǎn)腳本、CSRF跨站請(qǐng)求偽造等。由于所在團(tuán)隊(duì)或者公司均有嚴(yán)格隔離的內(nèi)網(wǎng)環(huán)境和基礎(chǔ)運(yùn)維團(tuán)隊(duì)，對(duì)弱口令漏洞、敏感信息泄露漏洞等很少涉及。
創(chuàng)新互聯(lián)成都企業(yè)網(wǎng)站建設(shè)服務(wù)，提供網(wǎng)站設(shè)計(jì)、網(wǎng)站建設(shè)網(wǎng)站開發(fā),網(wǎng)站定制,建網(wǎng)站,網(wǎng)站搭建,網(wǎng)站設(shè)計(jì),成都響應(yīng)式網(wǎng)站建設(shè),網(wǎng)頁(yè)設(shè)計(jì)師打造企業(yè)風(fēng)格網(wǎng)站,提供周到的售前咨詢和貼心的售后服務(wù)。歡迎咨詢做網(wǎng)站需要多少錢:028-86922220
先簡(jiǎn)單的聊一聊 SQL 注入，這個(gè)基本上是最常見的 web 漏洞了。SQL注入攻擊（SQL Injection），簡(jiǎn)稱注入攻擊、SQL注入，被廣泛用于非法獲取網(wǎng)站控制權(quán)，是發(fā)生在應(yīng)用程序的數(shù)據(jù)庫(kù)層上的安全漏洞。在設(shè)計(jì)程序，忽略了對(duì)輸入字符串中夾帶的SQL指令的檢查，被數(shù)據(jù)庫(kù)誤認(rèn)為是正常的SQL指令而運(yùn)行，從而使數(shù)據(jù)庫(kù)受到攻擊，可能導(dǎo)致數(shù)據(jù)被、更改、刪除，以及進(jìn)一步導(dǎo)致網(wǎng)站被嵌入惡意代碼、被植入后門程序等危害。比如執(zhí)行下述 SQL 時(shí)
String sql = "select * from user where username = '" +uname "' and password = '" + pwd + "'";
# 輸入用戶名為: tom' or '1=1 , 密碼不輸入或者隨便輸入, SQL如下:
select * from user from username = 'tom' or '1=1' and password = '你輸入的密碼'
有了or 自然只要username = 'tom' 成立, 后面的也不會(huì)起作用，這個(gè)sql基本上是很常見的比較典型的 SQL 注入問題，在直接使用 JDBC進(jìn)行 SQL 拼接操作時(shí)，很容易引發(fā)這種情況。通常情況下，SQL注入的位置包括：
（1）表單提交，主要是POST請(qǐng)求，也包括GET請(qǐng)求；
（2）URL參數(shù)提交，主要為GET請(qǐng)求參數(shù)；
（3）Cookie參數(shù)提交。
將JDBC代碼中的Statement 換成 PreparedStatement ，使用預(yù)編譯機(jī)制進(jìn)行 SQL 注入預(yù)防，最普遍的是選用 Mybatis 或 Hibernate 等持久化框架，避免 JDBC 的直接使用，并在 Mybatis 的 SQL 中使用 '$' 符號(hào)替換'#',使預(yù)編譯機(jī)制起作用。
接著我們聊聊XSS跨站站點(diǎn)腳本，跨站腳本攻擊（Cross-site scripting，通常簡(jiǎn)稱為XSS）發(fā)生在客戶端，可被用于進(jìn)行隱私、釣魚欺騙、密碼、傳播惡意代碼等攻擊。XSS攻擊使用到的技術(shù)主要為HTML和Javascript，也包括VBScript和ActionScript等。XSS攻擊對(duì)WEB服務(wù)器雖無直接危害，但是它借助網(wǎng)站進(jìn)行傳播，使網(wǎng)站的使用用戶受到攻擊，導(dǎo)致網(wǎng)站用戶帳號(hào)被，從而對(duì)網(wǎng)站也產(chǎn)生了較嚴(yán)重的危害。對(duì)于這個(gè)我是有親身體會(huì)的，我的應(yīng)用是基于Java + Velocity 實(shí)現(xiàn)的請(qǐng)求轉(zhuǎn)發(fā)應(yīng)用，比如通過 http 請(qǐng)求喚起 RN 、Android 或 IOS 原生，通過 http 請(qǐng)求路由定向到其他 http鏈接等功能的一個(gè)跳轉(zhuǎn)中間件應(yīng)用，出現(xiàn)的問題是該頁(yè)面鏈接被請(qǐng)求偽造之后通過，給非法用戶的頁(yè)面造成引流的效果，而其中的漏洞是某一個(gè)參數(shù)服務(wù)端未經(jīng)過濾和轉(zhuǎn)義直接在頁(yè)面輸出，導(dǎo)致非法用戶的腳本執(zhí)行，從而引起該攻擊的發(fā)生，在復(fù)盤漏洞時(shí)，我的應(yīng)用對(duì) javascript 和 html 的關(guān)鍵詞做了過濾處理的，但唯一漏掉了 某個(gè)關(guān)鍵詞，從而導(dǎo)致該漏洞被利用，在大年初一遠(yuǎn)程花費(fèi)了近3個(gè)小時(shí)，才完成解決這一漏洞。
順便提一下，還有一種漏洞在運(yùn)營(yíng)維護(hù)過程中遇到過，在登錄注冊(cè)模塊，由于當(dāng)時(shí)剛參加工作不久，欠缺研發(fā)經(jīng)驗(yàn)，在注冊(cè)環(huán)節(jié)未使用驗(yàn)證碼，導(dǎo)致大量的注冊(cè)機(jī)注冊(cè)，給非法用戶牟利帶來方便，在短信驗(yàn)證階段，為處理非法驗(yàn)證和重復(fù)發(fā)生的問題，導(dǎo)致一些運(yùn)營(yíng)商手機(jī)號(hào)，被非法用戶觸發(fā)發(fā)生短信驗(yàn)證碼，給用戶造成困擾，引起用戶向運(yùn)營(yíng)商投訴，對(duì)公司聲譽(yù)造成一定影響。這個(gè)事情也是自己親身經(jīng)歷，面向C端用戶的研發(fā)，要多考慮安全方面的問題，既要讓用戶用起來方便，又需要避免安全問題，并且一旦發(fā)現(xiàn)安全問題，要具備及時(shí)止損的措施的應(yīng)對(duì)預(yù)案。
作者：夕陽(yáng)雨晴，歡迎關(guān)注我的頭條號(hào)：偶爾美文，主流Java，為你講述不一樣的碼農(nóng)生活。
發(fā)現(xiàn)網(wǎng)站漏洞可以跟公司要報(bào)酬嗎？
這個(gè)是不可以的你是這個(gè)公司的員工，發(fā)現(xiàn)了漏洞，上報(bào)給公司是理所當(dāng)然的
什么是平臺(tái)漏洞？
漏洞是指一個(gè)系統(tǒng)存在的弱點(diǎn)或缺陷，系統(tǒng)對(duì)特定威脅攻擊或危險(xiǎn)事件的敏感性，或進(jìn)行攻擊的威脅作用的可能性。
漏洞可能來自應(yīng)用軟件或操作系統(tǒng)設(shè)計(jì)時(shí)的缺陷或編碼時(shí)產(chǎn)生的錯(cuò)誤，也可能來自業(yè)務(wù)在交互處理過程中的設(shè)計(jì)缺陷或邏輯流程上的不合理之處。這些缺陷、錯(cuò)誤或不合理之處可能被有意或無意地利用，從而對(duì)一個(gè)組織的資產(chǎn)或運(yùn)行造成不利影響，如信息系統(tǒng)被攻擊或控制，重要資料被，用戶數(shù)據(jù)被篡改，系統(tǒng)被作為入侵其他主機(jī)系統(tǒng)的跳板。
從目前發(fā)現(xiàn)的漏洞來看，應(yīng)用軟件中的漏洞遠(yuǎn)遠(yuǎn)多于操作系統(tǒng)中的漏洞，特別是WEB應(yīng)用系統(tǒng)中的漏洞更是占信息系統(tǒng)漏洞中的絕大多數(shù)。
在公共網(wǎng)站上發(fā)了PoC攻擊代碼的漏洞是不是最容易被利用發(fā)起網(wǎng)絡(luò)攻擊？
本周發(fā)表的一項(xiàng)新研究揭示了在過去10年里發(fā)現(xiàn)的安全漏洞中實(shí)際遭到利用的數(shù)量。據(jù)悉，這項(xiàng)被認(rèn)為是迄今為止在同類研究中最廣泛的研究發(fā)現(xiàn)，在2009年至2018年發(fā)現(xiàn)的7.6萬(wàn)個(gè)安全漏洞中只有4183個(gè)安全漏洞遭到利用。
更有趣的是，研究人員發(fā)現(xiàn)，在公共網(wǎng)站上發(fā)布概念驗(yàn)證(PoC)攻擊代碼與網(wǎng)絡(luò)攻擊嘗試之間沒有相關(guān)性。
研究小組表示，2009年至2018年間，在4183個(gè)安全漏洞中只有一半的漏洞代碼曾出現(xiàn)在公共網(wǎng)站上。
這意味著，沒有公共PoC并不一定會(huì)阻止攻擊者利用某些漏洞--一些黑客在需要的時(shí)候會(huì)利用自己的漏洞。
嚴(yán)重缺陷被利用的最多
研究指出，在外被利用的大多數(shù)漏洞都是安全漏洞，它們都具有很高的CVSSv2嚴(yán)重性評(píng)分（可以從1到10，其中10分被分配給最危險(xiǎn)和最容易遭到利用的漏洞）。
研究小組表示：“在所有被利用的漏洞中，將近一半的漏洞CVSS的得分是9分或更高?！?/p>
研究工作來源
據(jù)悉，這項(xiàng)研究的核心數(shù)據(jù)由多種來源匯編而成的。例如，從NIST的國(guó)家漏洞數(shù)據(jù)庫(kù)(NVD)中提取了所有安全漏洞、分?jǐn)?shù)和漏洞特征的列表。而與在外發(fā)現(xiàn)的攻擊有關(guān)數(shù)據(jù)則從防御工事實(shí)驗(yàn)室收集而來，有關(guān)攻擊的證據(jù)從SANS Internet Storm Center、Secureworks CTU、Alienvault的OSSIM元數(shù)據(jù)和reverse Labs元數(shù)據(jù)中收集而來。關(guān)于編寫的利用代碼信息來自Exploit DB、利用框架（Metasploit、D2 Security的Elliot Kit和Canvas Exploitation Framework）、Contagio、Reversing Labs和Secureworks CTU，研究團(tuán)隊(duì)發(fā)現(xiàn)在2009年到2018年間PoCs發(fā)布的數(shù)量有9726個(gè)。
此外，通過Kenna Security，安全研究人員還獲得了從掃描數(shù)百個(gè)公司網(wǎng)絡(luò)的漏洞掃描器信息中提取的每個(gè)漏洞的流行程度。
未來
研究人員希望，他們這一安全漏洞研究將能幫助企業(yè)優(yōu)先考慮其首先想到的漏洞修補(bǔ)以及那些最有可能遭到攻擊的漏洞。
這份研究表明，一個(gè)漏洞的CVSSv2得分越高，它遭到嚴(yán)重利用的可能性就越大--無論利用代碼公開與否。
另外，受到攻擊的漏洞數(shù)量是1/20，而不是以前的研究表明的1/10。
此外，研究團(tuán)隊(duì)還希望他們的工作將能增強(qiáng)整個(gè)CVSS框架并提供關(guān)于特定漏洞可能會(huì)被利用的新信息，進(jìn)而幫助那些依賴CVSS評(píng)分來評(píng)估和優(yōu)先打補(bǔ)丁的組織提供更好的指導(dǎo)。
網(wǎng)站名稱：常見的web漏洞有哪些？（發(fā)現(xiàn)網(wǎng)站漏洞可以跟公司要報(bào)酬嗎？）
新聞來源：http://m.fisionsoft.com.cn/article/ccohgod.html
