数据库网站开发工具,福建省建设局实名制网站,建设网站技术公司电话号码,返利网站制作一、SQL注入漏洞
SQL注入攻击#xff08;SQL Injection#xff09;#xff0c;简称注入攻击、SQL注入#xff0c;被广泛用于非法获取网站控制权#xff0c;是发生在应用程序的数据库层上的安全漏洞。 在设计程序#xff0c;忽略了对输入字符串中夹带的SQL指令的检查SQL Injection简称注入攻击、SQL注入被广泛用于非法获取网站控制权是发生在应用程序的数据库层上的安全漏洞。 在设计程序忽略了对输入字符串中夹带的SQL指令的检查被数据库误认为是正常的SQL指令而运行从而使数据库受到攻击可能导致数据被窃取、更改、删除以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。
通常情况下SQL注入的位置包括
1表单提交主要是POST请求也包括GET请求
2URL参数提交主要为GET请求参数
3Cookie参数提交
4HTTP请求头部的一些可修改的值比如Referer、User_Agent等
5一些边缘的输入点比如.mp3文件的一些文件信息等。 SQL注入的危害不仅体现在数据库层面上还有可能危及承载数据库的操作系统如果SQL注入被用来挂马还可能用来传播恶意软件等这些危害包括但不局限于
1数据库信息泄漏数据库中存放的用户的隐私信息的泄露。作为数据的存储中心数据库里往往保存着各类的隐私信息SQL注入攻击能导致这些隐私信息透明于攻击者。
2网页篡改通过操作数据库对特定网页进行篡改。
3网站被挂马传播恶意软件修改数据库一些字段的值嵌入网马链接进行挂马攻击。
4数据库被恶意操作数据库服务器被攻击数据库的系统管理员帐户被篡改。
5服务器被远程控制被安装后门。经由数据库服务器提供的操作系统支持让黑客得以修改或控制操作系统。
6破坏硬盘数据瘫痪全系统。 解决SQL注入问题的关键是对所有可能来自用户输入的数据进行严格的检查、对数据库配置使用最小权限原则。 通常使用的方案有
1所有的查询语句都使用数据库提供的参数化查询接口参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都提供了参数化SQL语句执行接口使用此接口可以非常有效的防止SQL注入攻击。
2对进入数据库的特殊字符*;等进行转义处理或编码转换。
3确认每种数据的类型比如数字型的数据就必须是数字数据库中的存储字段必须对应为int型。
4数据长度应该严格规定能在一定程度上防止比较长的SQL注入语句无法正确执行。
5网站每个数据层的编码统一建议全部使用UTF-8编码上下层编码不一致有可能导致一些过滤模型被绕过。
6严格限制网站用户的数据库的操作权限给此用户提供仅仅能够满足其工作的权限从而最大限度的减少注入攻击对数据库的危害。
7避免网站显示SQL错误信息比如类型错误、字段不匹配等防止攻击者利用这些错误信息进行一些判断。
8在网站发布之前建议使用一些专业的SQL注入检测工具进行检测及时修补这些SQL注入漏洞。 二、跨站脚本漏洞
跨站脚本攻击Cross-site scripting通常简称为XSS发生在客户端可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。 XSS攻击使用到的技术主要为HTML和Javascript也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害但是它借助网站进行传播使网站的使用用户受到攻击导致网站用户帐号被窃取从而对网站也产生了较严重的危害。
XSS类型包括
1非持久型跨站 即反射型跨站脚本漏洞是目前最普遍的跨站类型。跨站代码一般存在于链接中请求这样的链接时跨站代码经过服务端反射回来这类跨站的代码不存储到服务端比如数据库中。上面章节所举的例子就是这类情况。
2持久型跨站 这是危害最直接的跨站类型跨站代码存储于服务端比如数据库中。常见情况是某用户在论坛发贴如果论坛没有过滤用户输入的Javascript代码数据就会导致其他浏览此贴的用户的浏览器会执行发贴人所嵌入的Javascript代码。
3DOM跨站DOM XSS 是一种发生在客户端DOMDocument Object Model文档对象模型中的跨站漏洞很大原因是因为客户端脚本处理逻辑导致的安全问题。
XSS的危害包括
1钓鱼欺骗 最典型的就是利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站或者注入钓鱼JavaScript以监控目标网站的表单输入甚至发起基于DHTML更高级的钓鱼攻击方式。
2网站挂马 跨站时利用IFrame嵌入隐藏的恶意网站或者将被攻击者定向到恶意网站上或者弹出恶意网站窗口等方式都可以进行挂马攻击。
3身份盗用 Cookie是用户对于特定网站的身份验证标志XSS可以盗取到用户的Cookie从而利用该Cookie盗取用户对该网站的操作权限。如果一个网站管理员用户Cookie被窃取将会对网站引发巨大的危害。
4盗取网站用户信息 当能够窃取到用户Cookie从而获取到用户身份使攻击者可以获取到用户对网站的操作权限从而查看用户隐私信息。
5垃圾信息发送 比如在SNS社区中利用XSS漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。
6劫持用户Web行为 一些高级的XSS攻击甚至可以劫持用户的Web行为监视用户的浏览历史发送与接收的数据等等。
7XSS蠕虫 XSS 蠕虫可以用来打广告、刷流量、挂马、恶作剧、破坏网上数据、实施DDoS攻击等。 常用的防止XSS技术包括
1与SQL注入防护的建议一样假定所有输入都是可疑的必须对所有输入中的script、iframe等字样进行严格的检查。这里的输入不仅仅是用户可以直接交互的输入接口也包括HTTP请求中的Cookie中的变量HTTP请求头部中的变量等。
2不仅要验证数据的类型还要验证其格式、长度、范围和内容。
3不要仅仅在客户端做数据的验证与过滤关键的过滤步骤在服务端进行。
4对输出的数据也要检查数据库里的值有可能会在一个大网站的多处都有输出即使在输入做了编码等操作在各处的输出点时也要进行安全检查。
5在发布应用程序之前测试所有已知的威胁。 三、弱口令漏洞
弱口令(weak password) 没有严格和准确的定义通常认为容易被别人他们有可能对你很了解猜测到或被破解工具破解的口令均为弱口令。设置密码通常遵循以下原则 1不使用空口令或系统缺省的口令这些口令众所周之为典型的弱口令。
2口令长度不小于8个字符。
3口令不应该为连续的某个字符例如AAAAAAAA或重复某些字符的组合例如tzf.tzf.。
4口令应该为以下四类字符的组合大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊字符。每类字符至少包含一个。如果某类字符只包含一个那么该字符不应为首字符或尾字符。
5口令中不应包含本人、父母、子女和配偶的姓名和出生日期、纪念日期、登录名、E-mail地址等等与本人有关的信息以及字典中的单词。
6口令不应该为用数字或符号代替某些字母的单词。
7口令应该易记且可以快速输入防止他人从你身后很容易看到你的输入。
8至少90天内更换一次口令防止未被发现的入侵者继续使用该口令。
四、HTTP报头追踪漏洞 HTTP/1.1RFC2616规范定义了HTTP TRACE方法主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息。当Web服务器启用TRACE时提交的请求头会在服务器响应的内容Body中完整的返回其中HTTP头很可能包括Session Token、Cookies或其它认证信息。
攻击者可以利用此漏洞来欺骗合法用户并得到他们的私人信息。该漏洞往往与其它方式配合来进行有效攻击由于HTTP TRACE请求可以通过客户浏览器脚本发起如XMLHttpRequest并可以通过DOM接口来访问因此很容易被攻击者利用。
防御HTTP报头追踪漏洞的方法通常禁用HTTP TRACE方法。
五、Struts2远程命令执行漏洞 Apache Struts是一款建立Java web应用程序的开放源代码架构。Apache Struts存在一个输入过滤错误如果遇到转换错误可被利用注入和执行任意Java代码。
网站存在远程代码执行漏洞的大部分原因是由于网站采用了Apache Struts Xwork作为网站应用框架由于该软件存在远程代码执高危漏洞导致网站面临安全风险。
CNVD处置过诸多此类漏洞例如“GPS车载卫星定位系统”网站存在远程命令执行漏洞(CNVD-2012-13934)Aspcms留言本远程代码执行漏洞CNVD-2012-11590等。
修复此类漏洞只需到Apache官网升级Apache Struts到最新版本http://struts.apache.org
六、框架钓鱼漏洞框架注入漏洞 框架注入攻击是针对Internet Explorer 5、Internet Explorer 6、与 Internet Explorer 7攻击的一种。这种攻击导致Internet Explorer不检查结果框架的目的网站因而允许任意代码像Javascript或者VBScript跨框架存取。
这种攻击也发生在代码透过多框架注入肇因于脚本并不确认来自多框架的输入。这种其他形式的框架注入会影响所有的不确认不受信任输入的各厂商浏览器和脚本。
如果应用程序不要求不同的框架互相通信就可以通过完全删除框架名称、使用匿名框架防止框架注入。但是因为应用程序通常都要求框架之间相互通信因此这种方法并不可行。
因此通常使用命名框架但在每个会话中使用不同的框架并且使用无法预测的名称。一种可行的方法是在每个基本的框架名称后附加用户的会话令牌如main_display。
七、文件上传漏洞 文件上传漏洞通常由于网页代码中的文件上传路径变量过滤不严造成的如果文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型攻击者可通过 Web 访问的目录上传任意文件包括网站后门文件webshell进而远程控制网站服务器。
因此在开发网站及应用程序过程中需严格限制和校验上传的文件禁止上传恶意代码的文件。同时限制相关目录的执行权限防范webshell攻击。
八、应用程序测试脚本泄露
由于测试脚本对提交的参数数据缺少充分过滤远程攻击者可以利用洞以WEB进程权限在系统上查看任意文件内容。防御此类漏洞通常需严格过滤提交的数据有效检测攻击。
九、私有IP地址泄露漏洞 IP地址是网络用户的重要标示是攻击者进行攻击前需要了解的。获取的方法较多攻击者也会因不同的网络情况采取不同的方法如在局域网内使用Ping指令Ping对方在网络中的名称而获得IP在Internet上使用IP版的QQ直接显示。
最有效的办法是截获并分析对方的网络数据包。攻击者可以找到并直接通过软件解析截获后的数据包的IP包头信息再根据这些信息了解具体的IP。
针对最有效的“数据包分析方法”而言就可以安装能够自动去掉发送数据包包头IP信息的一些软件。不过使用这些软件有些缺点譬如耗费资源严重降低计算机性能访问一些论坛或者网站时会受影响不适合网吧用户使用等等。
现在的个人用户采用最普及隐藏IP的方法应该是使用代理由于使用代理服务器后“转址服务”会对发送出去的数据包有所修改致使“数据包分析”的方法失效。一些容易泄漏用户IP的网络软件(QQ、MSN、IE等)都支持使用代理方式连接Internet特别是QQ使用“ezProxy”等代理软件连接后IP版的QQ都无法显示该IP地址。
虽然代理可以有效地隐藏用户IP但攻击者亦可以绕过代理查找到对方的真实IP地址用户在何种情况下使用何种方法隐藏IP也要因情况而论。
十、未加密登录请求
由于Web配置不安全登陆请求把诸如用户名和密码等敏感字段未加密进行传输攻击者可以窃听网络以劫获这些敏感信息。建议进行例如SSH等的加密后再传输。
十一、敏感信息泄露漏洞
SQL注入、XSS、目录遍历、弱口令等均可导致敏感信息泄露攻击者可以通过漏洞获得敏感信息。针对不同成因防御方式不同。
