身份驗(yàn)證漏洞

暴力破解漏洞

漏洞介紹：攻擊者可以通過(guò)該漏洞獲取用戶名和對(duì)應(yīng)弱口令密碼，并進(jìn)行登錄操作 漏洞原理：由于沒(méi)有設(shè)置登錄失敗次數(shù)限制，導(dǎo)致攻擊者可以通過(guò)口令字典進(jìn)行特定用戶的密碼爆破或通過(guò)用戶名字典進(jìn)行特定弱口令的用戶枚舉 漏洞點(diǎn)：系統(tǒng)登錄點(diǎn) 漏洞修復(fù)：對(duì)于固定用戶名爆破密碼

可以針對(duì)用戶名進(jìn)行錯(cuò)誤次數(shù)計(jì)算，高于一定閾值賬號(hào)鎖定一段時(shí)間，或者添加驗(yàn)證碼

但是不能永久鎖定，可能被用來(lái)進(jìn)行賬戶惡意鎖定

對(duì)于固定密碼枚舉用戶名、 需要計(jì)算IP對(duì)URL的請(qǐng)求情況，某個(gè)IP短時(shí)間大量請(qǐng)求登錄應(yīng)該加入黑名單 進(jìn)行傳輸數(shù)據(jù)加密有一定的防護(hù)效果

Session固定攻擊

漏洞介紹：會(huì)話固定攻擊是利用服務(wù)器的session不變機(jī)制，借他人之手獲得認(rèn)證和授權(quán)，然后冒充他人 漏洞原理：在請(qǐng)求登錄過(guò)程時(shí)候，URL帶有一個(gè)session，登錄成功之后會(huì)將登錄成功的信息綁定到這個(gè)session中，攻擊者可以發(fā)送帶有session的URL給相關(guān)工作人員誘導(dǎo)其登錄，相當(dāng)于獲取了其身份信息 漏洞點(diǎn)：在GET方法請(qǐng)求登錄時(shí)候帶有session值 修復(fù)思路：

只要避免在URL中帶入session信息即可比較有效的防御

另外也要注意POST請(qǐng)求中帶有sessionid進(jìn)行session固定攻擊，雖然可利用性比較低，但是建議修復(fù)

Cookie欺騙漏洞

漏洞介紹：通過(guò)偽造cookie信息能夠偽造其他用戶進(jìn)行登錄。漏洞原理：開(kāi)發(fā)者為了方便將身份信息/登錄信息明文或者只是簡(jiǎn)單編碼、哈希之后存放在cookies中，網(wǎng)站通過(guò)獲取得到的cookies進(jìn)行授權(quán)或者身份驗(yàn)證 漏洞點(diǎn)：cookie中有明顯或者只是簡(jiǎn)單編碼、哈希的字段時(shí)候 修改lsLogin值為1可以判定為用戶已經(jīng)登錄 修改cookie為asp163=UserName=admin 漏洞修復(fù)：Cookie不應(yīng)該存儲(chǔ)可理解的身份信息和登錄信息 按照規(guī)定，cookie對(duì)身份信息和登錄信息的存儲(chǔ)只能通過(guò)存儲(chǔ)足夠長(zhǎng)度的隨機(jī)字符串進(jìn)行，避免篡改

權(quán)限類邏輯漏洞

權(quán)限相關(guān)邏輯漏洞是邏輯漏洞中出現(xiàn)的最多的漏洞

平行權(quán)限跨越

漏洞介紹：即普通用戶/管理員能訪問(wèn)其他普通用戶/管理員才能夠訪問(wèn)的系統(tǒng)信息或者系統(tǒng)功能

形成原因：在進(jìn)行方法調(diào)用時(shí)候未進(jìn)行請(qǐng)求用戶和目標(biāo)信息擁有者是否匹配一致，直接用userid/email之類的容易遍歷的參數(shù)進(jìn)行數(shù)據(jù)庫(kù)查詢

漏洞點(diǎn)：在普通用戶/管理員登錄后的能訪問(wèn)的鏈接或者功能中都可能存在

漏洞修復(fù)：

在權(quán)限管理中，平行越權(quán)的權(quán)限管理顆粒度最小

修復(fù)思路

需要在方法中進(jìn)行相關(guān)的獲取請(qǐng)求request

再利用getAttribute("userid")獲取其userid

直接使用該userid作為參數(shù)進(jìn)行數(shù)據(jù)增刪查改，避免userid參數(shù)傳輸

垂直權(quán)限跨越

漏洞介紹：即普通用戶能夠訪問(wèn)管理員甚至超級(jí)管理員才能夠訪問(wèn)的系統(tǒng)信息或者系統(tǒng)功能

形成原因：程序再方法調(diào)用時(shí)候，缺少角色等級(jí)校驗(yàn)

漏洞點(diǎn)：在任何用戶登錄后才能訪問(wèn)的鏈接或者功能中都可能存在

對(duì)每一個(gè)傳輸?shù)膮?shù)都要了解參數(shù)的目的，嘗試將用戶名改為admin嘗試?yán)@過(guò)

漏洞修復(fù)：

需要校驗(yàn)用戶是否有權(quán)限訪問(wèn)這個(gè)方法

修復(fù)思路

獲取請(qǐng)求request

再利用getAuttribute("roleid")獲取其角色等級(jí)

檢查角色等級(jí)是否合法，錯(cuò)誤則直接返回錯(cuò)誤跳轉(zhuǎn)，返回頁(yè)面必須仍然從Attribute中獲取userid再進(jìn)一步查詢相關(guān)信息

值得注意的是切勿將錯(cuò)誤跳轉(zhuǎn)寫(xiě)到Javascript里面，還返回目標(biāo)URL頁(yè)面的相關(guān)信息。

未經(jīng)授權(quán)訪問(wèn)

漏洞介紹：即游客能夠訪問(wèn)普通用戶甚至超級(jí)管理員才能訪問(wèn)的系統(tǒng)信息或者系統(tǒng)功能

形成原因：主要是系統(tǒng)設(shè)計(jì)期間沒(méi)有進(jìn)行全局用戶身份校驗(yàn)；或者校驗(yàn)存在缺陷

漏洞點(diǎn)：在任何用戶登錄后才能訪問(wèn)的鏈接或者功能中都可能存在

漏洞修復(fù)：

J2EE中存在filter，可以獲取用戶的cookie等信息

修復(fù)思路：

建立LoginList，值是當(dāng)前在線用戶的id

對(duì)所有需要登錄訪問(wèn)到URL，獲取請(qǐng)求request

再利用 getAttribute("userid") 獲取其userid

檢查userid是否存在于LoginList中，不存在則直接返回錯(cuò)誤跳轉(zhuǎn)

值得注意的是切勿將錯(cuò)誤跳轉(zhuǎn)寫(xiě)到Javascript里面，還返回目標(biāo)URL頁(yè)面的相關(guān)信息

圖形驗(yàn)證碼漏洞

圖形驗(yàn)證碼突破

漏洞介紹：攻擊者通過(guò)突破圖形驗(yàn)證碼的驗(yàn)證，可以實(shí)現(xiàn)如登錄爆破、驗(yàn)證碼繞過(guò)等攻擊

漏洞原理：

圖形驗(yàn)證碼在錯(cuò)誤后未失效

返回驗(yàn)證碼信息

分步驗(yàn)證驗(yàn)證碼

漏洞點(diǎn)：任何存在圖形驗(yàn)證碼的功能中

漏洞修復(fù)

一旦驗(yàn)證碼使用過(guò)了，必須要進(jìn)行刪除，重新生成驗(yàn)證碼，可以梵高attribute中

驗(yàn)證碼需要設(shè)置超時(shí)，時(shí)間一到立即刪除舊驗(yàn)證碼，用戶需要獲取新的驗(yàn)證碼

驗(yàn)證碼只需要返回圖片，切勿將生成驗(yàn)證碼的字符串也一并返回

驗(yàn)證碼不應(yīng)該進(jìn)行分布校驗(yàn)，應(yīng)該連同請(qǐng)求數(shù)據(jù)一起發(fā)送到目標(biāo)服務(wù)器進(jìn)行校驗(yàn)，服務(wù)器校驗(yàn)通過(guò)則返回合法數(shù)據(jù)，否則返回錯(cuò)誤

找回密碼邏輯漏洞

密碼找回漏洞

漏洞介紹：攻擊者通過(guò)密碼找回邏輯漏洞，可以重置他人賬號(hào)密碼，危害他人賬號(hào)安全

漏洞原理：其實(shí)是驗(yàn)證碼漏洞的一種：

驗(yàn)證碼時(shí)間長(zhǎng)可爆破

返回重置密碼憑證

若加密的重置密碼憑證

漏洞點(diǎn)：任何密碼找回處（可延伸至相似具有驗(yàn)證功能） 修改接受校驗(yàn)碼目標(biāo)

漏洞修復(fù)

一旦驗(yàn)證碼使用過(guò)了，必須要進(jìn)行刪除，重新生成驗(yàn)證碼，可以放到attribute中

驗(yàn)證碼需要設(shè)置超時(shí)，時(shí)間一到立即刪除舊驗(yàn)證碼，用戶需要獲取新的驗(yàn)證碼

校驗(yàn)憑證不能夠隨著返回包進(jìn)行返回

驗(yàn)證碼不應(yīng)該進(jìn)行分布校驗(yàn)，應(yīng)該連同請(qǐng)求數(shù)據(jù)一起發(fā)送到目標(biāo)服務(wù)器進(jìn)行校驗(yàn)，服務(wù)器校驗(yàn)通過(guò)則返回合法數(shù)據(jù)，否則返回錯(cuò)誤

校驗(yàn)憑證的生成需要進(jìn)行隨機(jī)生成，防止憑證破解

用戶身份憑證和權(quán)限類漏洞修復(fù)一樣，需要從attribute中獲取

業(yè)務(wù)數(shù)據(jù)篡改漏洞

業(yè)務(wù)數(shù)據(jù)篡改（賦值反沖）

漏洞介紹：攻擊者通過(guò)進(jìn)行數(shù)值篡改進(jìn)行攻擊，從而獲利

漏洞原理：

沒(méi)有對(duì)傳輸數(shù)據(jù)添加相關(guān)的校驗(yàn)參數(shù)

后臺(tái)未對(duì)參數(shù)值進(jìn)行校驗(yàn)并直接使用數(shù)據(jù)包中的參數(shù)

漏洞點(diǎn)：抽獎(jiǎng)、購(gòu)買、轉(zhuǎn)賬、返現(xiàn)等功能

漏洞修復(fù)：

對(duì)于軟件來(lái)說(shuō)，需要保護(hù)好內(nèi)存數(shù)據(jù)，防止內(nèi)存數(shù)據(jù)篡改

計(jì)算傳輸數(shù)據(jù)的哈希，并將哈希附加在傳輸數(shù)據(jù)中作為校驗(yàn)值，避免被篡改

先校驗(yàn)數(shù)值，防止大整數(shù)和負(fù)數(shù)；接著利用傳輸?shù)纳唐稩D從數(shù)據(jù)庫(kù)中獲取商品單價(jià)重新進(jìn)行價(jià)格計(jì)算；最后生成訂單（訂單號(hào)應(yīng)為隨機(jī)值）

執(zhí)行順序邏輯漏洞

執(zhí)行順序篡改

漏洞介紹：攻擊者通過(guò)篡改分步邏輯中的步驟數(shù)字，達(dá)到繞過(guò)支付、校驗(yàn)等效果

漏洞原理：程序邏輯分布進(jìn)行，但是對(duì)步驟、驗(yàn)證信息、支付信息沒(méi)有做好嚴(yán)格校驗(yàn)，導(dǎo)致修改步驟就直接繞過(guò)驗(yàn)證或者支付

漏洞點(diǎn)：任何分布邏輯且?guī)Р襟E數(shù)字，或者利用JS進(jìn)行步驟控制的功能中

漏洞修復(fù)

在請(qǐng)求最后一步時(shí)候需要帶入前面的驗(yàn)證信息，服務(wù)端再進(jìn)行一次校驗(yàn)信息的驗(yàn)證，驗(yàn)證正確方能繼續(xù)執(zhí)行數(shù)據(jù)操作

也可以及通過(guò)getAttributr("userid")獲取userid進(jìn)行userid和驗(yàn)證結(jié)果綁定，最后一步不帶入驗(yàn)證信息，但是仍然要獲取userid進(jìn)行校驗(yàn)

再最后一步通過(guò)驗(yàn)證之后或者服務(wù)器收到支付信息后再生成相應(yīng)的數(shù)據(jù)交給用戶

其他類型邏輯漏洞

條件競(jìng)爭(zhēng)漏洞

漏洞介紹：可以通過(guò)同時(shí)重放大量數(shù)據(jù)包進(jìn)行漏洞利用，通常用于突破限量、限額的問(wèn)題都有奇效

漏洞原理：由于目標(biāo)函數(shù)中，判斷與數(shù)據(jù)修復(fù)兩個(gè)步驟之間，或者兩個(gè)數(shù)據(jù)修改步驟之間存在時(shí)間差，且函數(shù)未進(jìn)行同步鎖定，則可以造成漏洞

漏洞點(diǎn)：程序中存在限制，可以猜測(cè)到后臺(tái)有判斷與修改操作的方法

漏洞修復(fù)

-修復(fù)思路：使用synchronized關(guān)鍵字，可以限制同一時(shí)間內(nèi)訪問(wèn)方法的只有單一線程

并不是每個(gè)條件競(jìng)爭(zhēng)都必須修復(fù)

數(shù)據(jù)包重放漏洞

漏洞介紹：通過(guò)數(shù)據(jù)包重放，可以造成短信轟炸、郵件轟炸、重復(fù)提交訂單等

漏洞原理：后臺(tái)未進(jìn)行相關(guān)操作的技術(shù)導(dǎo)致數(shù)據(jù)包重放

漏洞點(diǎn)：短信驗(yàn)證碼、郵件校驗(yàn)、提交訂單等功能。

修復(fù)方案：

修復(fù)思路（針對(duì)短信、郵件）

構(gòu)造一個(gè)Hashmap<String，short>，存放郵箱或電話號(hào)碼及對(duì)應(yīng)次數(shù)

只要某個(gè)郵箱或者電話號(hào)碼次數(shù)夠了，就不能繼續(xù)發(fā)送了

或者計(jì)算兩次發(fā)送的時(shí)間間隔，時(shí)間過(guò)短就不繼續(xù)發(fā)送了

通用修復(fù)方案

需要建立token機(jī)制或驗(yàn)證碼機(jī)制，一次有效

參數(shù)綁定漏洞

漏洞介紹：通過(guò)添加對(duì)象字段相關(guān)參數(shù)進(jìn)行數(shù)據(jù)篡改

漏洞原理：對(duì)象自動(dòng)綁定被許多框架支持，它允許將HTTP請(qǐng)求參數(shù)自動(dòng)的綁定到對(duì)象，開(kāi)發(fā)者沒(méi)有對(duì)其進(jìn)行安全校驗(yàn)則容易導(dǎo)致數(shù)據(jù)篡改

漏洞點(diǎn)：常見(jiàn)的所有輸入的地方都會(huì)出現(xiàn)這個(gè)漏洞，特別是金融、用戶、緩存等。

漏洞修復(fù)：Spring MVC中可以使用@InitBinder注釋，通過(guò)WebDataBinder的方法setAllowedFields、setDisallowedFields設(shè)置允許或不允許綁定的參數(shù)

SRC中的邏輯漏洞總結(jié)