【WEB安全】：基础知识

来源：互联网发布：淘宝店铺转化率怎么看编辑：程序博客网时间：2024/06/06 10:52

试着使用Metasploit进行了几次SQL注入的尝试之后，自己发现现在大多数的企业、政府等门户网站都进行了一定程度的防范，就SQL注入来说，在页面上设置了敏感字符的过滤规则，甚至将无关紧要的表命名为admin以迷惑攻击者。如果只是单纯地依赖已有的渗透工具，没有自己的原创性工作，很难在实际中完成对于一个系统的渗透工作。所以，自己决定还是先放放手头的工具使用，利用几个月的时间恶补一下自己的安全技术的基础知识。今天的主要内容是WEB安全的一些基本的认识。

一、WEB安全的地位
以前一直听说WEB安全如何重要，都没有切身的体会，直到最近自己实际努力去渗透一些网站的时候，才发现这句话的份量。现在已经不同于计算机网络的兴起阶段，系统安全和软件安全都有了很多的防范经验和实现规范，常见的网络服务端口也进行了很好的过滤，使得想要通过Exploit的方式直接拿到目标的root变得越来越难。相反，WEB应用技术却日新月异地得到了发展，一个是准入门槛低，C#、PHP等语言不需要太多时间的学习，就可以熟练使用开发WEB；另一个则是越来越多的应用集成到了WEB中，电子政府、Internet、数据库、网上银行等等。较低的准入门槛plus丰富的应用增长，结果就是从安全角度来看出现了一批参差不齐的网络站点。只要大家去wooyun上检索下结果，就会发现大大小小的企业、运营商、政府门户的漏洞多得吓人。
另一方面，防火墙的广泛使用，使得远程的攻击者可以接触到目标系统的唯一部分，就是暴露在为的WEB，因此WEB攻击也成为了攻击者们钟爱的方式，比如SQL注入，简单的步骤可以获得目标大量的数据信息，低投入高回报，大家自然趋之若鹜。WEB安全也成为了当今网络安全攻防的硝烟弥漫之地。
尽管你来我往互相斗法，有一点需要明确：安全是一种动态的过程，而非一个究极的状态。攻防不断互相变化，根据对方的情况作出改变。这点很类似星际，防守的角度来看，必须经常洞悉对手的开局策略，从而采用合适的兵种搭配，没有一种可以放之四海而皆准的战术，不可能一个兵种打到黑。比如人族的基础搭配是MM步兵组合，如果对方重甲单位多，就配合坦克；如果对方空中单位多，就配合维京；如果对方AOE巨像比较多了，MM就不行了，就需要转型机械化+维京。一句话：安全，是随着攻击手段的变化而不断变化的过程，安全强调运营，而非一劳永逸。

二、安全评估
黑客可以分为黑帽和白帽，“黑帽”当然是那些利用黑客技术为自己牟利的“破坏者”，而“白帽”则是那些掌握黑客技术对抗“黑帽”的人，是互联网安全的维护者。从“白帽”的角度，针对目标系统指定安全方案之前首先要进行安全评估，一般的过程可以分为四个阶段：资产等级划分、威胁分析、风险分析和确认解决方案。
资产等级划分的主要任务通俗来说就是明确要保护什么。互联网安全的核心问题是数据安全的问题，因此首先要明确各部门数据的重要等级，比如财务数据、人事数据、业务数据、客户信息、项目开发资料等，这些无疑都是极其重要的，明确了要保护的信息，接下来就要分析威胁和风险了。
威胁是可能造成危害的来源，或者是造成危害的“途径”，可以是某些人，也可以是某个部门或操作的流程、方面。一般可以使用下面的模型进行威胁建模：
-1. 伪装
-2. 篡改
-3. 抵赖
-4. 信息泄露
-5. 拒绝服务
-6. 提升权限
风险指的是可能出现的损失，风险需要考虑造成的总的危害和发生的概率。可以针对不同的风险设立级别，从而对风险评级。
设计安全的方案难在设计一个好的解决方案，既能满足客户的业务需求，又能满足系统的安全需求。安全工程师考虑的必须是如何通过简单而有效的方案设计出既能够抵抗威胁，又不会过多地干涉正常业务流程，同时在性能上也不拖后腿的解决方案。一个优秀的安全解决方案应该是：
-1. 能够有效地解决问题；
-2. 用户体验好；
-3. 高性能；
-4. 低耦合（模块间联系紧密性小）；
-5. 易于扩展和升级；

三、安全方案设计原则
这部分主要是设计安全方案时的一些原则，更多地是在实际应用中使用的方法。
-1. Secure By Default原则：即“白名单”原则，设计允许运行的进程或者开发的端口，名单之外的统统拒绝，这样的好处是可以避免“黑名单”上的遗漏，但是同时面临的主要问题是“白名单”内容的确定缺乏灵活性；
-2. 最小权限原则：可信计算机系统设计的基本原则之一，即系统只授予主体必要的权限；
-3. 纵深防御原则：一方面是在不同的层面进行防御，如WEB应用安全、OS安全、数据库安全等层面都进行防御||另一方面则是找到问题发生的确切位置，明了本质，从跟不上解决问题；
-4. 数据与代码分离原则：用户的输入作为数据而非代码运行，如SQL注入防御等，比如代码：

点击(此处)折叠或打开

<html>
<head>example</head>
<body>
$var     //用户能够控制的变量
</body>
</html>

若$var作为代码执行，则会出现安全问题，安全的方法是：

点击(此处)折叠或打开

<html>
<head>example</head>
<body>
<script>
alert("$var");  //用户只能控制$var，


http://lvyou.baidu.com/plan/eba049d295306227479f1c76
http://lvyou.baidu.com/plan/ac388f417b3d66cdb4e3669c
http://lvyou.baidu.com/plan/83a7ae1ab4ea2edecbde2576
http://lvyou.baidu.com/plan/facedfdf7af60882c98f2876
http://lvyou.baidu.com/plan/1482b9e67a7acffc69316e9c
http://lvyou.baidu.com/plan/45db3d58a1d67e22b607739c
http://lvyou.baidu.com/plan/b6afba8128ff3b29977e9875
http://lvyou.baidu.com/plan/df6f47e3d69d8e33be8f9c75
http://lvyou.baidu.com/plan/b01cd88a90e4626ec15ddf9b
http://lvyou.baidu.com/plan/06da021dd374140f90f0eb9b
http://lvyou.baidu.com/plan/c522aa8e8ae7812312ee9f75
http://lvyou.baidu.com/plan/822ba942fb93332592a5a675
http://lvyou.baidu.com/plan/f5eec2d102e1397d13d1bb9b
http://lvyou.baidu.com/plan/00c76a23b6075754f03b7575
http://lvyou.baidu.com/plan/9dc9c0652cf7a6e24710ab9b
http://lvyou.baidu.com/plan/7c20d8c2e4bee2ab9d15b79b
http://lvyou.baidu.com/plan/52ed7d30e5212e59a1d67175
http://lvyou.baidu.com/plan/f345e43a0f64fefd9cfc7875
http://lvyou.baidu.com/plan/a40b260c41451799f6ea919a
http://lvyou.baidu.com/plan/bf387a8230d277ea7a23839a
http://lvyou.baidu.com/plan/4edf1439bf23536896e6879a
http://lvyou.baidu.com/plan/b83640293998fc3998c45874
http://lvyou.baidu.com/plan/691ee8f01b32eedd6d274974
http://lvyou.baidu.com/plan/a7bbe1bfae8028ff3b29979a
http://lvyou.baidu.com/plan/60163ddfcbde7af60882279a
http://lvyou.baidu.com/plan/8be388ceb6d8b30d14cfef73
http://lvyou.baidu.com/plan/59273da72918e63a1e21e773
http://lvyou.baidu.com/plan/6c7dd55cf6504206d28ae273
http://lvyou.baidu.com/plan/0932051dd374140f90f0eb73
http://lvyou.baidu.com/plan/554353c070d55126da0e159a
http://lvyou.baidu.com/plan/143479e19173a9dd3a284d73
http://lvyou.baidu.com/plan/8ae20f33eedd6d276de04a73
http://lvyou.baidu.com/plan/72f0ecbbf13e66c6f2d54473
http://lvyou.baidu.com/plan/e73b4fe41797d12ba31ef499
http://lvyou.baidu.com/plan/32c5ac22536896e6f1bf8899
http://lvyou.baidu.com/plan/ae1be2befc2eb093dc3e8b99
http://lvyou.baidu.com/plan/f5e8c2d102e1397d13d1bb99
http://lvyou.baidu.com/plan/efbfb93f06d202e3f8ba4199
http://lvyou.baidu.com/plan/dbce28a8010f6bcc760c0773
http://lvyou.baidu.com/plan/681c2a7c13d1dcf68142bd99
http://lvyou.baidu.com/plan/762f11e2f8baf13e66c64399
http://lvyou.baidu.com/plan/8a47e23f66c6f2d51c0c4599
http://lvyou.baidu.com/plan/dc202fa8010f6bcc760c0799
http://lvyou.baidu.com/plan/90a9cf6f642665c98ee1c872
http://lvyou.baidu.com/plan/06280d5e9d62a12fbd180299
http://lvyou.baidu.com/plan/cef19d0a173ec3d457ec0b99
http://lvyou.baidu.com/plan/ec2170bbdb6e642665c9c772
http://lvyou.baidu.com/plan/adc3d0d557eca25ff55c0d99
http://lvyou.baidu.com/plan/9a1496f87ce8cedd1cbefc72
http://lvyou.baidu.com/plan/5667e5ebafeee347f2be9498
http://lvyou.baidu.com/plan/8383ae24c06744ecefb13e99
http://lvyou.baidu.com/plan/e4aa49e8687ebd25c0673c99
http://lvyou.baidu.com/plan/67dea2651f3264badb6ec598
http://lvyou.baidu.com/plan/8a37476996e6f1bffc2e8972
http://lvyou.baidu.com/plan/aa11fcb09f3be3809523c198
http://lvyou.baidu.com/plan/b740bd8128ff3b29977e9898
http://lvyou.baidu.com/plan/832a72c7f2d51c0cfcf14672
http://lvyou.baidu.com/plan/a409260c41451799f6ea9198
http://lvyou.baidu.com/plan/ca2ead1a77efbf1d3c245472
http://lvyou.baidu.com/plan/b83040293998fc3998c45872
http://lvyou.baidu.com/plan/c1189a0a173ec3d457ec0b72
http://lvyou.baidu.com/plan/3be32f2554283998fc395798
http://lvyou.baidu.com/plan/97237e266de09173a9dd4c98
http://lvyou.baidu.com/plan/cbc4aa1a77efbf1d3c245498
http://lvyou.baidu.com/plan/ed8dbadc3a281b92a6434f98
http://lvyou.baidu.com/plan/d2d62a99fc3998c4a2b55998 
http://lvyou.baidu.com/plan/ae4ee2befc2eb093dc3e8bce
http://lvyou.baidu.com/plan/64c085e7f1bffc2eb0938ace
http://lvyou.baidu.com/plan/576d8efd23fd4d3d68297bf6
http://lvyou.baidu.com/plan/e1ad7a289df13903a9d57ef6
http://lvyou.baidu.com/plan/8178f6aa9d15d1d002e1b9a0
http://lvyou.baidu.com/plan/017d63eb7a230738bf2385d7
http://lvyou.baidu.com/plan/ec2ab65ef55c2b2c901a0fa0
http://lvyou.baidu.com/plan/567954c070d55126da0e15a0
http://lvyou.baidu.com/plan/dd0a620d8e0b173ec3d40aa0
http://lvyou.baidu.com/plan/567954c070d55126da0e15a0
http://lvyou.baidu.com/plan/38b463eebf1d3c24542855d7
http://lvyou.baidu.com/plan/3d613d19e63a1e21111ce8af
http://lvyou.baidu.com/plan/1fc864f252d923b05dd319a0
http://lvyou.baidu.com/plan/8b3788ceb6d8b30d14cfefaf
http://lvyou.baidu.com/plan/1c1e19565ae9687ebd253bd7
http://lvyou.baidu.com/plan/a1789bc5698330d277ea82af
http://lvyou.baidu.com/plan/dfd91d3eb20082f97ce8faaf
http://lvyou.baidu.com/plan/b0319543aa3e06d202e340af
http://lvyou.baidu.com/plan/132f8122b1641f3264bac4d6
http://lvyou.baidu.com/plan/47ef0f93a6434a3ab91b51af
http://lvyou.baidu.com/plan/8612080dfcf11b32eedd48af
http://lvyou.baidu.com/plan/9282c7652cf7a6e24710abd6
http://lvyou.baidu.com/plan/38dc63eebf1d3c24542855af
http://lvyou.baidu.com/plan/3cda282554283998fc3957af
http://lvyou.baidu.com/plan/a997539e11d463b4a9d11fd6
http://lvyou.baidu.com/plan/951e37b15dd3953062271baf
http://lvyou.baidu.com/plan/dc1377b5a9d1ec7c52b721af
http://lvyou.baidu.com/plan/fa6edfdf7af60882c98f28d6
http://lvyou.baidu.com/plan/df45dd8e250ef993e0082baf
http://lvyou.baidu.com/plan/672d3adfcbde7af6088227af
http://lvyou.baidu.com/plan/0caad796bce7cb8b90e4ddd5
http://lvyou.baidu.com/plan/0cd3d796bce7cb8b90e4ddae
http://lvyou.baidu.com/plan/2d54455ae97d5d3ed03fd8d5
http://lvyou.baidu.com/plan/c74384e5626ec15df650e0ae
http://lvyou.baidu.com/plan/5a8fc43e051bc397bce7dbd5
http://lvyou.baidu.com/plan/53cec68b4a3429a62918e5ae
http://lvyou.baidu.com/plan/af50c43bbd43fb933325a5d5
http://lvyou.baidu.com/plan/66ed86a4c532d3642cf7a9ae
http://lvyou.baidu.com/plan/c414d133d3642cf7a6e2aad5
http://lvyou.baidu.com/plan/fc5353111ca0dfbe726eaed5
http://lvyou.baidu.com/plan/8bac38f6a6e247101ca0acae
http://lvyou.baidu.com/plan/8861150e6bcc760c8e0b08ae
http://lvyou.baidu.com/plan/24ead3f93d0018dbcbc3b4d5
http://lvyou.baidu.com/plan/1ca663f252d923b05dd319ce
http://lvyou.baidu.com/plan/5fb10cdacbc3e4bee2abb6d5
http://lvyou.baidu.com/plan/dd7d620d8e0b173ec3d40ad5
http://lvyou.baidu.com/plan/8818150e6bcc760c8e0b08d5
http://lvyou.baidu.com/plan/e7f57c289df13903a9d57eae
http://lvyou.baidu.com/plan/eb7ff146f2beae8028ff96f5
http://lvyou.baidu.com/plan/ec24b65ef55c2b2c901a0fae
http://lvyou.baidu.com/plan/551753c070d55126da0e15ce
http://lvyou.baidu.com/plan/c1c49a0a173ec3d457ec0bae
http://lvyou.baidu.com/plan/9a7130b15dd3953062271bce
http://lvyou.baidu.com/plan/e9113afe3b29977e53e299f5
http://lvyou.baidu.com/plan/ea184ed295306227479f1cce
http://lvyou.baidu.com/plan/f1f2dedd6c766f40a7d034ce
http://lvyou.baidu.com/plan/12ff8b39445bc7f83d00b2f5
http://lvyou.baidu.com/plan/2f747f776f40a7d0eb1835ce
http://lvyou.baidu.com/plan/f8a9565ac7f83d0018dbb3f5
http://lvyou.baidu.com/plan/59910adacbc3e4bee2abb6f5
http://lvyou.baidu.com/plan/7d4ad9c2e4bee2ab9d15b7f5
http://lvyou.baidu.com/plan/151c45df38e2d969a4da5ff5
http://lvyou.baidu.com/plan/d3b92b99fc3998c4a2b559f5
http://lvyou.baidu.com/plan/2924c1b9988d57de38e25df5
http://lvyou.baidu.com/plan/1255b0b4d3b8988d57de5cf5
http://lvyou.baidu.com/plan/75a88ac5a2b5d3b8988d5bf5
http://lvyou.baidu.com/plan/c28d718c1defd8d727c2d2cd
http://lvyou.baidu.com/plan/a7f5ecfc9cfc23fd4d3d7af5
http://lvyou.baidu.com/plan/886c5f3c68299df139037df5
http://lvyou.baidu.com/plan/dab3a4065754f03b0f6476f5
http://lvyou.baidu.com/plan/366d31fc4d3d68299df17cf5
http://lvyou.baidu.com/plan/13964555f03b0f64fefd77f5
http://lvyou.baidu.com/plan/8c598fceb6d8b30d14cfefcd
http://lvyou.baidu.com/plan/2196a10182f97ce8ceddfbcd
http://lvyou.baidu.com/plan/a8506fe9cedd1cbe65d2fdcd
http://lvyou.baidu.com/plan/7f4545eda25ff55c2b2c0ef5
http://lvyou.baidu.com/plan/1ccee75d2b2c901a6b0a10f5
http://lvyou.baidu.com/plan/bf6d7a8230d277ea7a2383cd
http://lvyou.baidu.com/plan/5741dddc1cbe65d28fbffecd
http://lvyou.baidu.com/plan/3d99b0af44da9e1736412ff5
http://lvyou.baidu.com/plan/ec47f046f2beae8028ff96cd
http://lvyou.baidu.com/plan/b717bd8128ff3b29977e98cd
http://lvyou.baidu.com/plan/ec47f046f2beae8028ff96cd
http://lvyou.baidu.com/plan/b443bcefe347f2beae8095cd
http://lvyou.baidu.com/plan/9b4b8c163641105acddc31f5
http://lvyou.baidu.com/plan/c29aad8e8ae7812312ee9fcd
http://lvyou.baidu.com/plan/e7c648e8687ebd25c0673cf5
http://lvyou.baidu.com/plan/c44e922212eeca9bfee1a1cd
http://lvyou.baidu.com/plan/b1787a7fbd25c06744ec3df5
http://lvyou.baidu.com/plan/84efaf24c06744ecefb13ef5
http://lvyou.baidu.com/plan/ce8a01efca9bfee1d03aa2cd
http://lvyou.baidu.com/plan/165f897acffc6931e5216fde
http://lvyou.baidu.com/plan/abdf68cfb6d8b30d14cfef57
http://lvyou.baidu.com/plan/d015ea21111cd374140fea57
http://lvyou.baidu.com/plan/2e2064f09ccfb6d8b30dee57
http://lvyou.baidu.com/plan/f991575ac7f83d0018dbb3cd
http://lvyou.baidu.com/plan/8c7a6f407b3d66cdb4e366de
http://lvyou.baidu.com/plan/7329268a4a3429a62918e557
http://lvyou.baidu.com/plan/8117616f9938445bc7f8b1cd
http://lvyou.baidu.com/plan/a5512e0118dbcbc3e4beb5cd
http://lvyou.baidu.com/plan/65ba2f24628d1defd8d7d1f4
http://lvyou.baidu.com/plan/dc1877b5a9d1ec7c52b721aa
http://lvyou.baidu.com/plan/2e387e0b97bf40c170d51344
http://lvyou.baidu.com/plan/661df87d52b7ba1bb4ea23aa
http://lvyou.baidu.com/plan/7d280396d12ba31e2cd6f5a9
http://lvyou.baidu.com/plan/ac3a1c83c98f250ef9932aaa
http://lvyou.baidu.com/plan/09ec051dd374140f90f0eba9
http://lvyou.baidu.com/plan/e4c25007d28a4a3429a6e4f4
http://lvyou.baidu.com/plan/877c0f0dfcf11b32eedd48cd
http://lvyou.baidu.com/plan/126fe1d41c0cfcf11b3247cd
http://lvyou.baidu.com/plan/72fcd35cf6504206d28ae2f4
http://lvyou.baidu.com/plan/8b580833eedd6d276de04acd
http://lvyou.baidu.com/plan/8a13e23f66c6f2d51c0c45cd
http://lvyou.baidu.com/plan/b2f74427da0e70f352d91744
http://lvyou.baidu.com/plan/b52d7ecd760c8e0b173e0944
http://lvyou.baidu.com/plan/6f4dd45cf6504206d28ae243
http://lvyou.baidu.com/plan/ab3468e9cedd1cbe65d2fda9
http://lvyou.baidu.com/plan/dfd31d3eb20082f97ce8faa9
http://lvyou.baidu.com/plan/cb57010e90f09ccfb6d8ed43
http://lvyou.baidu.com/plan/83f372c7f2d51c0cfcf146a9
http://lvyou.baidu.com/plan/682fe9f01b32eedd6d274943
http://lvyou.baidu.com/plan/c71d13d302e3f8baf13e4243
http://lvyou.baidu.com/plan/197ce05d2b2c901a6b0a1043
http://lvyou.baidu.com/plan/14c38472a9dd3a281b924e43
http://lvyou.baidu.com/plan/3519ac1a77efbf1d3c245443
http://lvyou.baidu.com/plan/d5102e291b92a6434a3a50a9
http://lvyou.baidu.com/plan/c02f9b0a173ec3d457ec0b43
http://lvyou.baidu.com/plan/3928023fc3d457eca25f0c43
http://lvyou.baidu.com/plan/c1c19a0a173ec3d457ec0ba9
http://lvyou.baidu.com/plan/9205cf0f70f352d923b01843
http://lvyou.baidu.com/plan/136f993ae3809523b164c287
http://lvyou.baidu.com/plan/95e1841b6b0a97bf40c112a9
http://lvyou.baidu.com/plan/07dafdb00d575ae9687e3ab8
http://lvyou.baidu.com/plan/1ee7bb1968dd3ca9010f05ae
http://lvyou.baidu.com/plan/d1e19bf03903a9d51e5f7fae
http://lvyou.baidu.com/plan/e8195ae41797d12ba31ef487
http://lvyou.baidu.com/plan/c959a8e6cb8b90e4626edea8
http://lvyou.baidu.com/plan/32b454b6ba1bb4ea2ede24ae
http://lvyou.baidu.com/plan/5495fd7c5d3ed03f051bd9a8
http://lvyou.baidu.com/plan/13173de4515be97d5d3ed7a8
http://lvyou.baidu.com/plan/8ad489ceb6d8b30d14cfef42
http://lvyou.baidu.com/plan/5222c78b4a3429a62918e542
http://lvyou.baidu.com/plan/6ca0d55cf6504206d28ae2a8

0 0