banner
B1ueD0g

BlueDog's Home

上班使我怨气比鬼重！
x
telegram
email
首頁零信任AI 安全国学经典随笔封存AboutMe

漏洞&修复意見規範描述

#技术学习122
AI 翻譯
這篇文章透過AI由簡體中文翻譯成繁體中文。查看原文
AI 生成的摘要
2023-07-20最後修改，修改人為BlueDog🤡，文件將不定期更新。風險評級標準分為嚴重、高危、中危、低危和安全系統。漏洞評級基於漏洞的影響程度，包括嚴重、高危、中危和低危漏洞。建議採取相應的安全控制措施。低危漏洞包括信息泄露和安全漏洞，建議加強認證控制和密碼強度，對服務進行排查。應用程式需配置HTTPS方式訪問伺服器，對通訊進行加密，降權處理所有中間件，建議使用安全產品，並定期更新應用系統及安裝最新補丁，關注官方安全公告。對於使用各種中間件和服務的應用系統，管理員應及時關注官方的安全公告並及時更新。主機需合理配置安全組，定期進行渗透测试和漏洞掃描。應用程式代碼應嚴格區分代碼與數據，並在處理用

風險評級標準#

嚴重不安全系統

  • 存在 1 個及以上嚴重漏洞，或 3 個以上高危漏洞的系統

高危不安全系統

  • 存在 1 個及以上高危漏洞，或 5 個以上中危漏洞的系統

中危不安全系統

  • 存在 1 個及以上中危漏洞，或 5 個以上低危漏洞的系統

低危不安全系統

  • 無中高危，存在 5 個以上低危漏洞的系統

安全系統

  • 無中高危，存在 5 個以下低危漏洞的系統

漏洞評級依據#

嚴重漏洞

  1. 直接獲取業務伺服器權限的漏洞以及獲取重要數據的漏洞，包括但不限於命令執行、上傳 webshell、代碼執行、SQL 注入獲得大量重要數據
  2. 嚴重影響系統業務和數據安全的邏輯漏洞，包括但不限於任意帳號密碼重置或更改漏洞、任意帳號資金消費、系統可輕易被薅羊毛、嚴重越權訪問漏洞、未授權訪問後台管理系統、嚴重級別的敏感信息洩露
  3. 直接導致核心業務拒絕服務的漏洞，包括通過該遠程拒絕服務漏洞直接導致線上核心應用、系統、伺服器無法繼續提供服務的漏洞

高危漏洞

  1. 敏感信息洩漏漏洞，包括但不限於源代碼壓縮包洩漏、SQL 注入、越權或者直接獲取大量用戶、員工信息
  2. 帳號暴力破解漏洞
  3. 可遠程獲取客戶端和伺服端權限的漏洞，包括但不限於 SSRF、遠程緩衝區溢出、存儲型 XSS、以及可獲取 cookie 等敏感信息的 XSS

中危漏洞

  1. 普通信息洩漏，包括但不限於未涉及敏感數據的 SQL 注入、影響數據量有限或者敏感程度有限的越權、源代碼或系統日誌等信息洩漏
  2. 需受害者交互或其他前置條件才能獲取用戶身份信息的漏洞，包括但不限於包含用戶、網站敏感數據的 JSON Hijacking、重要操作（如支付類操作、發布信息或修改個人帳號敏感信息類操作）的 CSRF、反射型 XSS
  3. 普通的邏輯缺陷漏洞和越權漏洞

低危漏洞

  1. 輕微信息洩漏，包括但不限於路徑、SVN 信息洩漏、PHPinfo、異常和含有少量敏感字段的調試信息、日誌打印及配置等洩漏
  2. 應用場景有限的漏洞與難以利用的安全漏洞，包括但不限於有限制的反射型或 self 型 XSS、短信 / 郵件轟炸、URL 跳轉、敏感操作的 CSRF

安全控制建議#

認證

  • 對於存在弱口令的系統，需在加強使用者安全意識的前提下，督促其修改密碼，或者使用策略來強制限制密碼長度和複雜性。
  • 對於存在弱口令或是空口令的服務，在一些關鍵服務上，應加強口令強度，同時需使用加密傳輸方式，對於一些可關閉的服務來說，建議關閉該服務以達到安全目的，或者限制為指定範圍內 IP 訪問。
  • 對於出現驗證碼功能的系統或服務，不能只在前端進行防護，而是要在後台進行二次檢測，做到前後端同時加固。
  • 不同系統、主機應根據密碼規則採用具有強複雜性的不同口令。
  • 對內外網中的各種服務的弱口令現象進行排查。

應用

主機

APP

代碼

  • 嚴格區分代碼與數據，在任何存在用戶輸入或交互的位置採取限制或過濾手段。
  • 進行文件上傳時，在服務端對文件屬性進行合法性校驗，白名單形式檢查文檔類型 (如文件的後緣名、文件頭信息校驗等) 和大小 (圖片校驗長、寬和像素等)。
  • 開發時，優先使用相應框架庫的最新穩定版本，及時關注相應的官方庫發布的安全補丁。
  • 根據企業軟件安全管理的組織架構，針對企業安全相關人員的專業水平，進行組織，分定角色等，形成安全團隊建立文檔。

認證#

弱口令 / 空口令#

web 後台系統弱口令

漏洞評級建議: 高危

漏洞類型: 認證缺陷

  • 詳情

    由於網站用戶帳號存在弱口令，導致攻擊者通過弱口令可輕鬆登錄到網站中，從而進行下一步的攻擊，例如上傳 webshell，獲取敏感數據，另外攻擊者利用弱口令登錄網站管理後台，可執行任意管理員的操作。

  • 造成的危害

    攻擊者利用此漏洞可直接進入應用系統或者管理系統，從而進行系統、網頁、數據的篡改與刪除，非法獲取系統、用戶的數據，甚至可能導致伺服器淪陷。

  • 修復建議

    • 用戶層面

      1. 不要使用常見的弱口令作為密碼。
      2. 不要多個系統或者社交帳號使用同一套密碼。
      3. 定期修改密碼。
      4. 建議使用包含隨機值的或者隨機生成的字符串作為系統密碼。

    • 系統層面

      1. 增加人機驗證機制，限制 ip 訪問次數。
      2. 服務端對登錄處增加圖形驗證碼並保證使用一次即銷毀。
      3. 強制用戶首次登錄時修改默認口令，或是使用用戶自定義初始密碼的策略。
      4. 服務端對登錄接口進行限制，單個 IP 單位時間內請求超過閾值，封禁 30 分鐘。
      5. 服務端對登錄接口進行限制，單個用戶密碼單位時間內錯誤次數超過閾值，封禁 20 分鐘。
      6. 修改密碼、添加帳號等涉及密碼策略處強制用戶使用強密碼策略（大小寫字母 + 數字 + 特殊字符 + 8 位以上）
      7. 完善密碼策略，信息安全最佳實踐的密碼策略為 8 位（包括）以上字符，包含數字、大小寫字母、特殊字符中的至少 3 種。

ftp 弱口令

漏洞評級建議: 高危,若無實際利用點建議降為中危

漏洞類型: 認證缺陷

  • 詳情

    滲透測試過程中，發現遠程 FTP Server 允許以弱口令組合登錄。

  • 造成的危害

    這可能允許攻擊者上傳惡意文件或者下載敏感文件。

  • 修復建議

    1. 不要使用常見的弱口令作為密碼。
    2. 定期修改密碼。
    3. 及時 FTP 服務更新到最新版本。
    4. 對採用白名單的方式，僅允許授權主機 IP 訪問該端口，避免漏洞被攻擊者惡意利用。

ftp 匿名登錄

漏洞評級建議: 高危,若無實際利用點建議降為中危

漏洞類型: 訪問控制缺陷

  • 詳情

    滲透測試過程中，發現目標主機開放的 ftp 服務允許匿名用戶進行登錄。

  • 造成的危害

    黑客利用弱口令或匿名登錄漏洞直接登錄 ftp 服務，上傳惡意文件，從而獲取系統權限，並可能造成數據洩露。

  • 修復建議

    1. 關閉匿名訪問。
    2. 不要使用常見的弱口令作為密碼。
    3. 定期修改密碼。
    4. 及時 ftp 服務更新到最新版本。
    5. 採用白名單的方式，僅允許授權主機 IP 訪問該端口，避免漏洞被攻擊者惡意利用。

SSH 弱口令

漏洞評級建議: 高危

漏洞類型: 認證缺陷

  • 詳情

    SSH 弱口令漏洞指 Linux 系統口令的長度太短或者複雜度不夠，如僅包含數字，或僅包含字母等，弱口令容易被破解。攻擊者可以利用弱口令直接登錄 SSH 伺服器，讀取甚至修改網站代碼，或者導致伺服器淪陷。

  • 造成的危害

    攻擊者經過爆破登錄後可完全控制機器，即使低權限帳號也可以通過提權進行進一步的破壞。

  • 修復建議

    1. 修改口令，增加口令複雜度，如包含大小寫字母、數字和特殊字符等。
    2. 修改默認口令，避免默認口令被猜解。
    3. 指定健壯的口令策略，比如指定每隔 30 天修改一次密碼，密碼不得與歷史密碼相同。
    4. 採用白名單的方式，僅允許授權主機 IP 訪問該端口，避免漏洞被攻擊者惡意利用。

數據庫弱口令

漏洞評級建議: 高危

漏洞類型: 認證缺陷

  • 詳情

    數據庫弱口令漏洞指數據庫管理員帳號對應密碼的長度太短或者複雜度不夠，僅包含數字，或僅包含字母等，弱口令容易被破解，一旦被攻擊者獲取，可用來直接登錄數據庫系統，讀取甚至修改伺服器上的文件，或者導致伺服器淪陷。

  • 造成的危害

    攻擊者可直接操作數據庫，甚至可以進行提權拿到伺服器權限。

  • 修復建議

    1. 修改口令，增加口令複雜度，如包含大小寫字母、數字和特殊字符等。
    2. 修改默認口令，避免默認口令被猜解。
    3. 指定健壯的口令策略，比如指定每隔 30 天修改一次密碼，密碼不得與歷史密碼相同。
    4. 採用白名單的方式，僅允許授權主機 IP 訪問該端口，避免漏洞被攻擊者惡意利用。

xxx 弱口令 / 空口令

漏洞評級建議: 高危,若無實際利用點建議降為中危

漏洞類型: 認證缺陷

  • 詳情

    滲透測試過程中，發現目標伺服器存在 xxx 服務弱口令問題。

  • 造成的危害

    攻擊者經過爆破登錄後可完全控制機器，即使低權限帳號也可以通過提權進行進一步的破壞。

    或

    攻擊者經過爆破登錄後可完全控制目標數據庫，進而可以對數據信息進行竊取、篡改等操作。

  • 修復建議

    1. 帳號不要採用弱口令，建議密碼強度 8 位以上，大小寫數字混合。
    2. 只允許白名單 IP 進行登錄。

xxx 後台無安全認證

漏洞評級建議: 高危,若無實際利用點建議降為中危

漏洞類型: 訪問控制缺陷

  • 詳情

    滲透測試過程中，發現目標 xxx 服務無任何安全認證。

  • 造成的危害

    攻擊者利用此漏洞可直接進入應用系統或者管理系統，從而進行系統、網頁、數據的篡改與刪除，非法獲取系統、用戶的數據，甚至可能導致伺服器淪陷。

  • 修復建議

    • 用戶層面
      1. 不要使用常見的弱口令作為密碼。
      2. 不要多個系統或者社交帳號使用同一套密碼。
      3. 定期修改密碼。
      4. 建議使用包含隨機值的或者隨機生成的字符串作為系統密碼。
    • 系統層面
      1. 用戶首次登錄後強制用戶修改默認密碼。
      2. 修改密碼、添加帳號等涉及密碼策略處強制用戶使用強密碼策略（大小寫字母 + 數字 + 特殊字符 + 8 位以上）。
      3. 服務端對登錄處增加圖形驗證碼並保證使用一次即銷毀。
      4. 服務端對登錄接口進行限制，單個 IP 單位時間內請求超過閾值，封禁 30 分鐘。
      5. 服務端對登錄接口進行限制，單個用戶密碼單位時間內錯誤次數超過閾值，封禁 20 分鐘。

認證缺陷#

邏輯萬能密鑰

漏洞評級建議: 高危

漏洞類型: 訪問控制缺陷

  • 詳情

    在後台登錄頁面，後端 SQL 語句過濾不嚴，攻擊者可發送特定數據包直接登錄到後台。

  • 造成的危害

    攻擊者利用此漏洞可直接進入應用系統或者管理系統，從而進行系統、網頁、數據的篡改與刪除，非法獲取系統、用戶的數據，甚至可能導致伺服器淪陷。

  • 修復建議

    1. 對用戶提交的參數安全過濾，像一些特殊的字符 (，()*&……%# 等等) 進行字符轉義操作，以及編碼的安全轉換。
    2. 對用戶提交的參數進行加密處理後，再和數據庫中存儲的密文進行比對。

繞過前端限制登錄

漏洞評級建議: 高危

漏洞類型: 訪問控制缺陷

  • 詳情

    在登錄抓包，修改返回值後將返回值改為 200. 即可繞過前端限制登錄目標用戶賬戶。

  • 造成的危害

    此時就不需要知道用戶密碼即可繞過身份認證限制登錄用戶賬戶。導致用戶信息洩露，違法操作用戶賬戶等嚴重危害。

  • 修復建議

    1. 將身份信息驗證交給後端執行。
    2. 做好登錄限制。
    3. 不要使用常見的弱口令作為密碼。
    4. 不要多個系統或者社交帳號使用同一套密碼。

存在爆破風險

漏洞評級建議: 低危,若無實際利用點建議降為信息

漏洞類型: 暴力破解

  • 詳情

    由於沒有對登錄頁面進行相關的人機驗證機制，如無驗證碼、有驗證碼但可重複利用以及無登錄錯誤次數限制等，導致攻擊者可通過暴力破解獲取用戶登錄賬號和密碼。

    或

    在後台登錄頁面，登錄時錯誤提示信息明確，因此可以判斷用戶名是否存在，然後針對用戶名進行暴力破解。

    或

    在後台登錄頁面，登錄時錯誤提示信息明確，且未對登錄失敗做訪問控制，導致攻擊者可以進行持續暴力破解登錄口令。

  • 造成的危害

    攻擊者可以針對某已知用戶名進行慢速暴力破解，再進一步爆破密碼，從而進入後台。

  • 修復建議

    1. 增加人機驗證機制。
    2. 修改錯誤提示信息，加強邏輯認證。
    3. 對於管理類系統配置登錄用戶允許的 IP 範圍。
    4. 如果某個 IP 登錄次數超過設置的閾值，則鎖定 IP。
    5. 驗證碼必須在服務器端進行校驗，客戶端的一切校驗都是不安全的。
    6. 如果用戶登錄次數超過設置的閾值，則鎖定賬號 (有惡意登錄鎖定賬號的風險)。
    7. 針對登錄次數進行限制，可使用登錄遠程 IP 或用戶名兩種方式進行鎖定，登錄錯誤次數 5 分鐘之內超過 3 次鎖定 1-3 小時。

驗證碼可繞過

漏洞評級建議: 低危,若無實際利用點建議降為信息

漏洞類型: 訪問控制缺陷

  • 詳情

    在後台登錄頁面，驗證碼只在前台 js 校驗，攻擊者再爆破賬號時可以進行繞過。

    或

    在後台登錄頁面，驗證碼只驗證一次，攻擊者只需截取第一個包即可進行繞過實施賬號爆破。

  • 造成的危害

    由於可以繞過驗證碼，導致攻擊者對後台的爆破難度大大降低。

  • 修復建議

    1. 驗證碼後端隨機生成，且驗證碼內容不能出現在客戶端的網頁源代碼以及 response 數據包中。
    2. 驗證碼要有背景干擾，干擾元素包括：顏色、位置、數量且元素需要隨機變化。
    3. 驗證碼後端校驗，且使用一次後即失效。
    4. 驗證碼在不同場景下需要與請求的參數一起提交給後端進行校驗，且優先校驗驗證碼。

短信驗證碼可被爆破

漏洞評級建議: 視情況而定 4位數為高危 6位數算中危

漏洞類型: 訪問控制缺陷

  • 詳情

    在用戶註冊頁面，由於沒有對短信驗證碼校驗進行次數限制，導致攻擊者可以通過字典爆破出驗證碼內容，進而登錄用戶賬戶。進行身份信息盜取等操作。

  • 造成的危害

    攻擊者可以對短信驗證碼進行重複驗證，爆破成功後進入後台進行操作。

  • 修復建議：

    1. 添加短信驗證碼限制，做單次判斷並放在後端進行。
    2. 同一手機號，60 秒內不能重複發送驗證碼校驗，24 小時內總共發送不超過 5 次。
    3. 加上 IP 限制，例如某 IP 一小時內連續登錄發送 3 次驗證碼，6 個小時內禁止該 ip 發送驗證。

JWT token 固定

漏洞評級建議: 高危

漏洞類型: 認證缺陷

  • 詳情

    在退出賬號後，依然可以通過添加 jwt token 進行訪問。即使修改密碼，通過原有的 jwt token 依然可以訪問 jwt token 應該隨時間、賬號的密碼進行生成，並存在存活周期。

  • 造成的危害

    攻擊者利用此漏洞可直接進入應用系統或者管理系統，從而進行系統、網頁、數據的篡改與刪除，非法獲取系統、用戶的數據，甚至可能導致伺服器淪陷。

  • 修復建議

    1. Jwt token 具備存活周期，超時後自動註銷。
    2. 在檢測到用戶賬號敏感操作 (如修改密碼) 後重新刷新 Jwt token。

B/S#

常見漏洞#

任意命令 / 代碼執行漏洞

漏洞評級建議: 高危

漏洞類型: 代碼執行

  • 詳情

    任意命令 / 代碼執行通常因為應用在伺服器上拼接系統命令而造成的漏洞。攻擊者通過提交惡意構造的參數破壞命令語句結構，從而達到執行惡意命令的目的。

  • 造成的危害

    攻擊者可在伺服器通過利用拼接、管道符、通配符等繞過手段來執行任意命令，寫入後門，從而入侵伺服器，獲取伺服器權限，直接導致伺服器淪陷。

  • 修復建議

    1. 在代碼級調用 shell 時，對命令行中的特殊字符（比如 |、&、；等）進行轉義，防止執行其他非法命令。
    2. 根據業務邏輯進行白名單方式校驗或使用正則表達式進行過濾。
    3. PHP 中可使用 escapeshellarg、escapeshellcmd 來轉義對應敏感字符。
    4. 對於相關敏感的命令執行函數，做好參數校驗和合法性驗證，或者直接在配置文件中禁用該函數，不要讓用戶可以直接控制 eval、system、exec、shell_exec 等函數的參數。

任意文件上傳漏洞

漏洞評級建議: 高危

漏洞類型: 文件上傳

  • 詳情

    測試過程中發現目標站點存在文件上傳漏洞，應用系統在文件上傳功能處對用戶上傳文件類型、格式、內容等做合法性校驗，導致攻擊者可以上傳 Webshell（.php、.jsp、asp 等）惡意腳本文件或者非期望格式的文件比如：HTML 文件、SHTML 文件等，同時可利用目錄跳轉等字符或者控制上傳目錄，直接上傳文件到 Web 目錄或任意目錄下，從而可能導致在遠程伺服器上執行任意惡意腳本文件，從而直接獲取應用系統權限。

  • 造成的危害

    1. 上傳惡意腳本文件到伺服器中，通過訪問該惡意文件從而執行文件中的惡意代碼。
    2. 攻擊者可利用目錄跳轉上傳 php、config 等文件，覆蓋原有的系統文件，到達篡改系統文件、甚至獲取系統權限的目的。
    3. 攻擊者可上傳 html、shtm 等文件，並寫入非法博彩、賭博等惡意 SEO 頁面或者寫入惡意 js 文件進行釣魚來非法獲取用戶信息等。

  • 修復建議

    1. 對上傳文件類型進行驗證，除在前端驗證外在後端依然要做驗證，後端可以進行擴展名檢測，重命名文件，MIME 類型檢測以及限制上傳文件的大小等限制來防禦，或是將上傳的文件其他文件存儲伺服器中。
    2. 嚴格限制和校驗上傳的文件，禁止上傳惡意代碼的文件。
    3. 對上傳文件格式進行嚴格校驗，防止上傳惡意腳本文件。
    4. 嚴格限制上傳的文件路徑、文件內容服務端校驗。文件擴展名服務端白名單校驗。
    5. 隱藏上傳文件路徑。上傳文件重命名。設置項目目錄權限：可寫目錄不執行，執行目錄不可寫。

特定語言漏洞#

PHP#

PHP 反序列化

漏洞評級建議: 高危

漏洞類型: 代碼執行

  • 詳情：

    在代碼審計過程中發現，程序沒有對用戶輸入的反序列化字符串進行檢測，導致反序列化過程可以被惡意控制，進而導致任意代碼執行漏洞，獲取伺服器權限等危險操作。

  • 造成的危害：

    攻擊者可以構造惡意信息，伺服器收到該惡意代碼後解析出的命令可能會造成信息洩露或者被攻擊者直接用拿下主機伺服器等安全風險。

  • 修復建議：

    1. 對傳入的對象進行嚴格的過濾檢查。
    2. 在反序列化過程執行的文件讀寫、命令或代碼執行函數中是否有用戶可控的參數。

測試項#

弱口令組合爆破測試

  • 詳情

    渗透测试过程中对目标系统 / 登录页面进行弱口令组合爆破测试，测试使用 TOP1000 弱口令组合字典。

  • 測試結果

    經檢測，截至爆破結束，未發現目標系統 / 登錄頁面存在弱口令組合。

敏感文件目錄爆破測試

  • 詳情

    渗透测试过程中对目标 URL 进行目录扫描、敏感文件扫描，使用 TOP5000 常见路径字典和 TOP1000 备份文件字典。

  • 測試結果

    經檢測，截至爆破結束，未發現目標存在敏感文件目錄。

任意文件上傳測試

  • 詳情

    渗透测试过程中对目标编辑器上传页面进行任意文件上传漏洞测试。

  • 測試結果

    使用多個伺服器可執行文件後綴對目標進行測試，經檢查上傳失敗，未發現存在文件上傳漏洞。

RDP 爆破測試

  • 詳情

    渗透测试过程中发现目标主机开启 RDP 服务，对目标服务使用 TOP1000 弱口令组合进行爆破测试。

  • 測試結果

    經檢測，截至爆破結束，未發現目標 RDP 服務存在弱口令組合。

Struts2 漏洞測試

  • 詳情

    渗透测试过程中使用工具对目标网站进行 Apache Struts2 框架漏洞测试。

  • 測試結果

    使用滲透測試工具測試，經檢查，未發現目標網站存在 Apache Struts2 框架漏洞。

XSS 漏洞測試

  • 詳情

    渗透测试过程中对目标网站进行 XSS 漏洞测试，如果利用成功，攻击者可窃取用户 cookie 信息，登录后台获取用户敏感数据。

  • 測試結果

    使用 TOP10000 xss 漏洞代碼，經檢查，未發現目標存在 XSS 漏洞。

SQL 注入測試

  • 詳情

    渗透测试过程中发现目标存在搜索功能，对目标搜索接口进行 SQL 注入测试。该漏洞可以获取到数据库的所有数据，甚至可以获得主机权限。

  • 測試結果

    經檢測，未注入成功，未發現目標存在 SQL 注入漏洞。

Oracle 遠程數據投毒漏洞測試

  • 詳情

    對目標 Oracle 數據庫進行遠程數據投毒漏洞測試。該漏洞可以遠程獲取到 Oracle 的內存信息，若是能獲取到內存中的數據即為存在漏洞，進而可以再爆破 Oracle 的 SID。

  • 測試結果

    經檢查，目標不存在 Oracle 遠程數據投毒漏洞。

TLS 安全可靠性測試

  • 詳情

    對目標 TLS 安全可靠性進行了掃描，測試了常見 TLS 存在的漏洞及加密認證方式支持程度。

  • 測試結果

    經檢查，發現不存在可實際利用的中高危漏洞。

URL 跳轉漏洞測試

  • 詳情

    渗透测试过程中，对目标网站进行 URL 跳转漏洞测试，通过常见 Top100 跳转参数生成 URL 跳转字典。

  • 測試結果

    對字典批量生成的大量跳轉結果進行驗證，未發現目標存在 URL 跳轉漏洞。

CORS 漏洞測試

  • 詳情

    渗透测试过程中，对目标进行 CORS 漏洞测试。

  • 測試結果

    經檢測，未利用成功，未發現目標存在 CORS 漏洞。

xxx 未授權訪問漏洞測試

  • 詳情

    渗透测试过程中，对目标 XXX 服务进行未授权访问漏洞测试。若利用成功，该漏洞无需认证即可访问目标服务管理页面，并有部分操作数据的权限且泄露数据信息。

  • 測試結果

    經檢測，漏洞未能利用成功，未發現目標存在 xxx 未授權訪問漏洞。

JQuery XSS 測試

  • 詳情

    渗透测试过程中，发现目标站点存在 JQuery 框架库，所引用的 jQuery 版本可能会存在 XSS 漏洞。

  • 測試結果

    通過 JQuery XSS 測試模板檢測，目標站點 JQuery 框架庫未發現 XSS 漏洞。

Apache Log4j 測試

  • 詳情

    渗透测试过程中，对目标进行 Apache Log4j 远程代码执行漏洞测试。

  • 測試結果

    經檢測，未利用成功，未發現目標存在 Apache Log4j 遠程代碼執行漏洞。

wadl/SOAP 接口 Fuzz 測試

  • 詳情

    渗透测试过程中，对目标暴露的 wadl/SOAP 接口进行 Fuzz 测试，探测可能存在的 xxe、sql 注入等漏洞问题。

  • 測試結果

    經檢測，未利用成功，未發現目標 wadl/SOAP 接口存在可能的注入漏洞。

凑数#

密碼明文傳輸

漏洞評級建議: 低危

漏洞類型: 信息洩漏

  • 詳情

    用戶登錄過程中使用明文傳輸用戶登錄信息，若用戶遭受中間人攻擊時，攻擊者可直接獲取該用戶登錄賬戶，從而進行進一步滲透。

  • 造成的危害

    明文傳輸用戶賬號密碼，存在被中間人攻擊、竊取密碼的風險。

  • 修復建議

    1. 用戶登錄信息使用加密傳輸，如密碼在傳輸前使用安全的算法加密後傳輸，可採用的算法包括：不可逆 hash 算法加鹽（4 位及以上隨機數，由服務器端產生）；安全對稱加密算法，如 AES (128、192、256 位)，且必須保證客戶端密鑰安全，不可被破解或讀出；非對稱加密算法，如 RSA (不低於 1024 位)、SM2 等。
    2. 使用 https 來保證傳輸的安全。

JQuery 版本過低存在 XSS 漏洞風險

漏洞評級建議: 低危

漏洞類型: 版本過低

  • 詳情

    渗透测试过程中，发现目标站点存在 JQuery 框架库漏洞，所引用的 jQuery 版本可能会存在 XSS 漏洞。

  • 造成的危害

    目標網站使用了存在漏洞的 JQuery 庫，jQuery 中過濾用戶輸入數據所使用的正則表達式存在缺陷，可能導致 location.hash 跨站腳本攻擊。攻擊者可以利用此漏洞進行 XSS、cookioe 劫持等攻擊。

  • 修復建議

    1. 更新 jQuery 到 3.5.0 或更高版本。
    2. 使用全局的 XSS 過濾清理用戶輸入的 HTML。

缺少 Content-Security-Policy 頭

漏洞評級建議: 低危

漏洞類型: 配置不當

  • 詳情

    遠程網絡應用程序未設置 Content-Security-Policy 響應頭。

  • 造成的危害

    Content-Security-Policy 響應頭的缺失使得目標 URL 更易遭受跨站腳本攻擊。

  • 修復建議

    需要在 Web 應用程序的所有頁面上設置以下響應頭：Content-Security-Policy: default-src'self'

缺少 X-Content-Type-Options 頭

漏洞評級建議: 低危

漏洞類型: 配置不當

  • 詳情

    X-Content-Type-Options HTTP 消息頭相當於一個提示標誌，被伺服器用來提示客戶端一定要遵循在 Content-Type 首部中對 MIME 類型 的設定，而不能對其進行修改。遠程網絡應用程序未設置 X-Content-Options 響應頭，這就禁用了客戶端的 MIME 類型嗅探行為。

  • 造成的危害

    X-Content-Type-Options 響應頭的缺失使得目標 URL 更易遭受跨站腳本攻擊。

  • 修復建議

    需要在 Web 應用程序的所有頁面上設置以下響應頭：X-Content-Type-Options：nosniff , 這樣頁面中 script 和 styleSheet 元素會拒絕包含錯誤的 MIME 類型的響應。這是一種安全功能，有助於防止基於 MIME 類型混淆的攻擊。

缺少 X-Frame-Options 頭

漏洞評級建議: 低危

漏洞類型: 配置不當

  • 詳情

    遠程 Web 應用程序未設置 X-Frame-Options 響應頭。微軟已經提出 X-Frame-Options 作為緩解點擊劫持攻擊的一種方法，並且已經在 Chrome 和 Safari 中實施。

  • 造成的危害

    攻擊者可以使用一個透明的、不可見的 iframe，覆蓋在目標網頁上，然後誘使用戶在該網頁上進行操作，此時用戶將在不知情的情況下點擊透明的 iframe 頁面的一些功能性按鈕上，導致被劫持。

  • 修復建議

    修改 web 伺服器配置，添加 X-frame-options 響應頭。賦值有如下三種：
（1）DENY：不能被嵌入到任何 iframe 或 frame 中。
（2）SAMEORIGIN：頁面只能被本站頁面嵌入到 iframe 或者 frame 中。
（3）ALLOW-FROM uri：只能被嵌入到指定域名的框架中。
也可在代碼中加入，在 PHP 中加入：
header('X-Frame-Options: deny');

缺少 x-xss-protection 頭

漏洞評級建議: 低危

漏洞類型: 配置不當

  • 詳情

    遠程網絡應用程序未設置 x-xss-protection 響應頭。X-XSS-Protection 響應頭是 Internet Explorer，Chrome 和 Safari 的一個特性，當檢測到跨站腳本攻擊 (XSS) 時，瀏覽器將停止加載頁面。

  • 造成的危害

    X-XSS-Protection 響應頭的缺失使得目標 URL 更易遭受跨站腳本攻擊。

  • 修復建議

    需要在 Web 應用程序的所有頁面上設置以下響應頭：X-XSS-Protection：1; mode=block

啟用了危險的 Method

漏洞評級建議: 低危

漏洞類型: 配置不當

  • 詳情

    目標伺服器啟用了不安全的傳輸方法，如 PUT、TRACE、DELETE、MOVE 等，這些方法表示可能在伺服器上使用了 WebDAV，由於 dav 方法允許客戶端操縱伺服器上的文件，如上傳、修改、刪除相關文件等危險操作，如果沒有合理配置 dav，有可能允許未授權的用戶對其進行利用，修改伺服器上的文件。

  • 造成的危害

    惡意攻擊者可能使用該方法修改伺服器上的任意文件，從而給用戶造成數據損失，系統損壞等結果。

  • 修復建議

    正確配置的 WEB 伺服器不應允許任意用戶隨意使用危險的方法在伺服器上對文件進行修改，因此建議：

    1. 如果實在必要，請進行配置，限定這些 Http 方法能夠操作的目錄為指定目錄，該目錄不應包含重要的文件；
    2. 如非必要，關閉不安全的傳輸方法，只開啟 POST、GET 方法。
    3. 如果伺服器不使用 WebDAV 可直接禁用，或為允許 webdav 的目錄配置嚴格的訪問權限，如認證方法，認證需要的用戶名，密碼。

  • 參考鏈接

載入中......
此文章數據所有權由區塊鏈加密技術和智能合約保障僅歸創作者所有。