Web常见漏洞及修复建议

Posted 2021-03-11 雨沁馨梦

1.SQL注入

　　漏洞描述

　　Web程序中对于用户提交的参数未做过滤直接拼接到SQL语句中执行，导致参数中的特殊字符破坏了SQL语句原有逻辑，攻击者可以利用该漏洞执行任意SQL语句，如查询数据、下载数据、写入webshell、执行系统命令以及绕过登录限制等。

　　修复建议

代码层最佳防御sql漏洞方案：使用预编译sql语句查询和绑定变量。

　　（1）使用预编译语句，使用PDO需要注意不要将变量直接拼接到PDO语句中。所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都提供了参数化SQL语句执行接口，使用此接口可以非常有效的防止SQL注入攻击。

　　（2）对进入数据库的特殊字符（’”<>&*;等）进行转义处理，或编码转换。

　　（3）确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。

　　（4）数据长度应该严格规定，能在一定程度上防止比较长的SQL注入语句无法正确执行。

　　（5）网站每个数据层的编码统一，建议全部使用UTF-8编码，上下层编码不一致有可能导致一些过滤模型被绕过。

　　（6）严格限制网站用户的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。

　　（7）避免网站显示SQL错误信息，比如类型错误、字段不匹配等，防止攻击者利用这些错误信息进行一些判断。

　　（8）过滤危险字符，例如：采用正则表达式匹配union、sleep、and、select、load_file等关键字，如果匹配到则终止运行。

2.XSS

　　漏洞描述

　　1、Web程序代码中对用户提交的参数未做过滤或过滤不严，导致参数中的特殊字符破坏了html页面的原有逻辑，攻击者可以利用该漏洞执行恶意HTML/JS代码、构造蠕虫、篡改页面实施钓鱼攻击、以及诱导用户再次登录，然后获取其登录凭证等。

　　2、XSS攻击对Web服务器本身虽无直接危害，但是它借助网站进行传播，对网站用户进行攻击，窃取网站用户账号身份信息等，从而也会对网站产生较严重的威胁。

 

XSS攻击可导致以下危害：

　　1、钓鱼欺骗：最典型的就是利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站，或者通过注入钓鱼javascript脚本以监控目标网站的表单输入，甚至攻击者基于DHTML技术发起更高级的钓鱼攻击。

　　2、网站挂马：跨站时，攻击者利用Iframe标签嵌入隐藏的恶意网站，将被攻击者定向到恶意网站上、或弹出恶意网站窗口等方式，进行挂马。

　　3、身份盗用：Cookie是用户对于特定网站的身份验证标志，XSS攻击可以盗取用户的cookie，从而利用该cookie盗取用户对该网站的操作权限。

　　4、盗取网站用户信息：当窃取到用户cookie从而获取到用户身份时，攻击者可以盗取到用户对网站的操作权限，从而查看用户隐私信息。

　　5、垃圾信息发送：在社交网站社区中，利用XSS漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。

　　6、劫持用户Web行为：一些高级的XSS攻击甚至可以劫持用户的Web行为，从而监视用户的浏览历史、发送与接收的数据等等。

　　7、XSS蠕虫：借助XSS蠕虫病毒还可以用来打广告、刷流量、挂马、恶作剧、破坏数据、实施DDoS攻击等。

　　修复建议

xss漏洞本质上是一种html注入，也就是将html代码注入到网页中。那么其防御的根本就是在将用户提交的代码显示到页面上时做好一系列的过滤与转义

　　（1）过滤输入的数据，对例如：“ ‘ ”，“ “ ”，” < “，” > “，” on* “，script、iframe等危险字符进行严格的检查。这里的输入不仅仅是用户可以直接交互的输入接口，也包括HTTP请求中的Cookie中的变量，HTTP请求头部中的变量等。

　　（2）不仅验证数据的类型，还要验证其格式、长度、范围和内容。

　　（3）不仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。

　　（4）对输出到页面的数据进行相应的编码转换，如HTML实体编码、JS编码等。对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行检查。

3.XXE

　　漏洞详情

　　参考：https://www.freebuf.com/company-information/165769.html

4.CSRF

　　漏洞描述：

　　CSRF是跨站请求伪造，不攻击网站服务器，而是冒充用户在站内的正常操作。通常由于服务端没有对请求头做严格过滤引起的。CSRF会造成密码重置，用户伪造等问题，可能引发严重后果。绝大多数网站是通过 cookie 等方式辨识用户身份，再予以授权的。所以要伪造用户的正常操作，最好的方法是通过 XSS 或链接欺骗等途径，让用户在本机（即拥有身份 cookie 的浏览器端）发起用户所不知道的请求。CSRF攻击会令用户在不知情的情况下攻击自己已经登录的系统。

　　修复建议

　　1、验证请求的Referer是否来自本网站，但可被绕过。

　　2、在请求中加入不可伪造的token，并在服务端验证token是否一致或正确，不正确则丢弃拒绝服务。

5.SSRF

　　漏洞描述

　　SSRF（Server-Side Request Forgery，服务器端请求伪造）：通俗的来说就是我们可以伪造服务器端发起的请求，从而获取客户端所不能得到的数据。SSRF漏洞形成的原因主要是服务器端所提供的接口中包含了所要请求的内容的URL参数，并且未对客户端所传输过来的URL参数进行过滤。这个漏洞造成的危害有：

　　(1)、可以对外网、服务器所在内网、本地进行端口扫描，获取一些服务的banner信息;

　　(2)、攻击运行在内网或本地的应用程序（比如溢出）;

　　(3)、对内网Web应用进行指纹识别，通过访问默认文件实现;

　　(4)、攻击内外网的Web应用，主要是使用Get参数就可以实现的攻击（比如Struts2漏洞利用，SQL注入等）;

　　(5)、利用File协议读取本地文件。

　　修复建议

　　1、禁用不需要的协议，只允许HTTP和HTTPS请求，可以防止类似于file://, gopher://, ftp:// 等引起的问题。

　　2、白名单的方式限制访问的目标地址，禁止对内网发起请求

　　3、过滤或屏蔽请求返回的详细信息，验证远程服务器对请求的响应是比较容易的方法。如果web应用是去获取某一种类型的文件。那么在把返回结果展示给用户之前先验证返回的信息是否符合标准。

　　4、验证请求的文件格式

　　5、禁止跳转

　　6、限制请求的端口为http常用的端口，比如 80、443、8080、8000等

　　7、统一错误信息，避免用户可以根据错误信息来判断远端服务器的端口状态。

6.任意命令/代码执行

　　漏洞描述

　　命令或代码执行漏洞是指代码未对用户可控参数做过滤，导致直接带入执行命令和代码，通过漏洞执行恶意构造的语句，执行任意命令或代码。攻击者可在服务器上执行任意命令，读写文件操作等，危害巨大。

　　修复建议

　　1、严格过滤用户输入的数据，禁止执行非预期系统命令。

　　2、减少或不使用代码或命令执行函数

　　3、客户端提交的变量在放入函数前进行检测

　　4、减少或不使用危险函数

7.任意文件上传

　　漏洞描述

　　文件上传漏洞通常由于代码中对文件上传功能所上传的文件过滤不严或web服务器相关解析漏洞未修复而造成的，如果文件上传功能代码没有严格限制和验证用户上传的文件后缀、类型等，攻击者可通过文件上传点上传任意文件，包括网站后门文件（webshell）控制整个网站。

　　修复建议

　　1、对上传文件类型进行验证，除在前端验证外在后端依然要做验证，后端可以进行扩展名检测，重命名文件，MIME类型检测以及限制上传文件的大小等限制来防御，或是将上传的文件其他文件存储服务器中。

　　2、严格限制和校验上传的文件，禁止上传恶意代码的文件。同时限制相关上传文件目录的执行权限，防止木马执行。

　　3、对上传文件格式进行严格校验，防止上传恶意脚本文件；

　　4、严格限制上传的文件路径。

　　5、文件扩展名服务端白名单校验。

　　6、文件内容服务端校验。

　　7、上传文件重命名。

　　8、隐藏上传文件路径。

8.目录穿越/目录遍历

　　漏洞描述

　　文件下载或获取文件显示内容页面由于未对传入的文件名进行过滤，利用路径回溯符../跳出程序本身的限制目录，来下载或显示任意文件。

　　修复建议

　　对传入的文件名参数进行过滤，并且判断是否是允许获取的文件类型，过滤回溯符../。

9.文件包含

　　漏洞描述

　　本地文件包含是指程序在处理包含文件的时候没有严格控制。利用这个漏洞，攻击者可以先把上传的文件、网站日志文件等作为代码执行或直接显示出来，或者包含远程服务器上的恶意文件，进而获取到服务器权限。

　　修复建议

　　1、严格检查变量是否已经初始化。

　　2、对所有输入提交可能包含的文件地址，包括服务器本地文件及远程文件，进行严格的检查，参数中不允许出现./和../等目录跳转符。

　　3、严格检查文件包含函数中的参数是否外界可控。

10.弱口令

　　漏洞描述

　　由于网站用户帐号存在弱口令，导致攻击者通过弱口令可轻松登录到网站中，从而进行下一步的攻击，如上传webshell，获取敏感数据。

　　另外攻击者利用弱口令登录网站管理后台，可执行任意管理员的操作。

　　修复建议

　　1、强制用户首次登录时修改默认口令，或是使用用户自定义初始密码的策略；

　　2、完善密码策略，信息安全最佳实践的密码策略为8位（包括）以上字符，包含数字、大小写字母、特殊字符中的至少3种。

　　3、增加人机验证机制，限制ip访问次数。

11.暴力破解

　　漏洞描述

　　由于没有对登录页面进行相关的人机验证机制，如无验证码、有验证码但可重复利用以及无登录错误次数限制等，导致攻击者可通过暴力破解获取用户登录账号和密码。

　　修复建议

　　1、如果用户登录次数超过设置的阈值，则锁定帐号(有恶意登录锁定帐号的风险)

　　2、如果某个 IP登录次数超过设置的阈值，则锁定IP

　　3、增加人机验证机制

　　4、验证码必须在服务器端进行校验，客户端的一切校验都是不安全的。

12.越权访问

　　漏洞描述

　　由于没有对用户访问角色的权限进行严格的检查及限制，导致当前账号可对其他账号进行相关操作，如查看、修改等。对低权限对高权限账户的操作为纵向越权，相同权限账户之间的操作成为横向越权也称水平越权。

　　修复建议

　　1、对用户访问角色的权限进行严格的检查及限制。

　　2、在一些操作时可以使用session对用户的身份进行判断和控制

13.未授权访问

　　漏洞描述

　　由于没有对网站敏感页面进行登录状态、访问权限的检查，导致攻击者可未授权访问，获取敏感信息及进行未授权操作。

　　修复建议

　　1、页面进行严格的访问权限的控制以及对访问角色进行权限检查。

　　2、可以使用session对用户的身份进行判断和控制。

14.列目录

　　漏洞描述

　　由于web服务器配置不当，开启了目录浏览，攻击者可获得服务器上的文件目录结构，获取敏感文件。

　　修复建议

　　1、通过修改配置文件，禁止中间件（如IIS、apache、tomcat）的文件目录索引功能

　　2、设置目录访问权限

15.php反序列化

漏洞描述

　　php反序列化漏洞也叫PHP对象注入，形成原因为程序未对用户输入的序列化字符串进行检测，导致攻击者可以控制反序列化过程，从而导致代码执行、文件操作、执行数据库操作等不可控后果。这一类攻击在java、python等面向对象语言中均存在。

可参考：https://www.freebuf.com/articles/web/167721.html

　　修复建议

　　1、对传入的对象进行严格的过滤检查

　　2、在反序列化过程执行的文件读写、命令或代码执行函数中是否有用户可控的参数。

16.http slow拒绝服务攻击

　　漏洞描述

　　按照设计，HTTP协议要求服务器在处理之前完全接收请求。 如果HTTP请求没有完成，或者传输速率非常低，服务器会保持其资源忙于等待其余数据。如果服务器保持太多的资源请求和处理，这将造成一个拒绝服务。严重者一台主机即可让web运行缓慢甚至是崩溃。

　　修复建议

　　对于 Apache 可以做以下优化（其他服务器原理相同）：

　　1、设置合适的 timeout 时间（Apache 已默认启用了 reqtimeout 模块），规定了 Header 发送的时间以及频率和 Body 发送的时间以及频率

　　2、增大 MaxClients(MaxRequestWorkers)：增加最大的连接数。根据官方文档，两个参数是一回事，版本不同，MaxRequestWorkers was called MaxClients before version 2.3.13.Theold name is still supported.

　　3、默认安装的 Apache 存在 Slow Attack 的威胁，原因就是虽然设置的 timeoute，但是最大连接数不够，如果攻击的请求频率足够大，仍然会占满Apache的所有连接

17.CRLF注入

　　漏洞描述

　　CRLF 是“回车 +换行”（ ）的简称。在 HTTP 协议中，HTTPHeader 与 HTTP Body 是用两个 CRLF 符号进行分隔的，浏览器根据这两个 CRLF 符号来获取 HTTP 内容并显示。因此，一旦攻击者能够控制 HTTP 消息头中的字符，注入一些恶意的换行，就能注入一些会话 Cookie 或者 HTML 代码。

　　修复建议

　　1、过滤 、 及其各种编码的换行符，避免输入的数据污染到其他 HTTP 消息头。

18.LDAP注入

　　漏洞描述

　　由于Web 应用程序没有对用户发送的数据进行适当过滤和检查，攻击者可修改LDAP 语句的结构，并且以数据库服务器、Web 服务器等的权限执行任意命令，许可权可能会允许查询、修改或除去 LDAP 树状构造内任何数据。

　　修复建议

　　对用户的输入内容进行严格的过滤。

19.URL 跳转

　　漏洞描述

　　有的Web 应用程序中使用URL参数中的地址作为跳转链接的功能 ，攻击者可实施钓鱼、恶意网站跳转等攻击。

　　修复建议

　　1、在进行页面跳转前校验传入的URL是否为可信域名。

　　2、白名单规定跳转链接

20.明文传输

　　漏洞描述

　　用户登录过程中使用明文传输用户登录信息，若用户遭受中间人攻击时，攻击者可直接获取该用户登录账户，从而进行进一步渗透。

　　修复建议

　　1、用户登录信息使用加密传输，如密码在传输前使用安全的算法加密后传输，可采用的算法包括：不可逆hash算法加盐（4位及以上随机数，由服务器端产生）；安全对称加密算法，如AES(128、192、256位)，且必须保证客户端密钥安全，不可被破解或读出；非对称加密算法，如RSA(不低于1024位)、SM2等。

　　2、使用https来保证传输的安全。

21.网页木马

　　漏洞描述

　　经渗透测试发现目标站点存在webshell，攻击者可直接爆破口令使用木马，非常低成本的进行恶意操作。

　　修复建议

　　1、确认并删除木马文件，并进行本地文件漏洞扫描排查是否还存在有其他木马。

　　2、发现并及时修复已存在的漏洞。

　　3、通过查看日志、服务器杀毒等安全排查，确保服务器未被留下后门

22.备份文件泄露

　　漏洞描述

　　网站备份文件或、敏感信息文件存放在某个网站目录下，攻击者可通过文件扫描等方法发现并下载该备份文件，导致网站敏感信息泄露。

　　修复建议

　　1、不在网站目录下存放网站备份文件或敏感信息的文件。

　　2、如需存放该类文件，请将文件名命名为难以猜解的无规则字符串。

23.敏感信息泄露

　　漏洞描述

　　在页面中或者返回的响应包中泄露了敏感信息，通过这些信息，给攻击者渗透提供了非常多的有用信息。

　　修复建议

　　1、如果是探针或测试页面等无用的程序建议删除，或者修改成难以猜解的名字。

　　2、不影响业务或功能的情况下删除或禁止访问泄露敏感信息页面。

　　3、在服务器端对相关敏感信息进行模糊化处理。

　　4、对服务器端返回的数据进行严格的检查，满足查询数据与页面显示数据一致。

24.短信/邮件轰炸

　　漏洞描述

　　由于没有对短信或者邮件发送次数进行限制，导致可无限次发送短信或邮件给用户，从而造成短信轰炸，进而可能被大量用户投诉，从而影响公司声誉。

　　修复建议

　　在服务器限制发送短信或邮件的频率，如同一账号1分钟只能发送1次短信或邮件，一天只能发送3次。

25.phpinfo信息泄漏

　　漏洞描述

　　Web站点的某些测试页面可能会使用到PHP的phpinfo()函数，会输出服务器的关键信息，造成服务器信息泄露，为攻击提供有利的信息。

　　修复建议

　　1、删除phpinfo 函数。

　　2、若文件无用可直接删除。 

26.IIS短文件名泄露漏洞

　　漏洞描述

　　Internet Information Services（IIS，互联网信息服务）是由微软公司提供的基于运行Microsoft Windows的互联网基本服务。 Microsoft IIS在实现上存在文件枚举漏洞，攻击者可利用此漏洞枚举网络服务器根目录中的文件。危害：攻击者可以利用“~”字符猜解或遍历服务器中的文件名，或对IIS服务器中的.Net Framework进行拒绝服务攻击。

　　攻击者可通过该漏洞尝试获取网站服务器文件的文件名，达到获取更多信息来入侵服务器的目的。

　　修复建议

　　修改Windows配置，关闭短文件名功能。

　　1.关闭NTFS 8.3文件格式的支持。该功能默认是开启的，对于大多数用户来说无需开启。

　　2.如果是虚拟主机空间用户,可采用以下修复方案：

　　1）修改注册列表HKLMSYSTEMCurrentControlSetControlFileSystemNtfsDisable8dot3NameCreation的值为1(此修改只能禁止NTFS8.3格式文件名创建,已经存在的文件的短文件名无法移除)。

　　2）如果你的web环境不需要asp.net的支持你可以进入Internet 信息服务(IIS)管理器 --- Web 服务扩展 - ASP.NET 选择禁止此功能。

　　3）升级net framework 至4.0以上版本。

　　3.将web文件夹的内容拷贝到另一个位置，比如D:www到D:www.back，然后删除原文件夹D:www，再重命名D:www.back到D:www。如果不重新复制，已经存在的短文件名则是不会消失的。

27.应用程序错误信息泄露

　　漏洞描述

　　攻击者可通过特殊的攻击向量，使web服务器出现500、403等相关错误，导致信息泄漏如绝对路径、webserver版本、源代码、sql语句等敏感信息，恶意攻击者很有可能利用这些信息实施进一步的攻击。

　　修复建议

　　1、自定义错误页面或使用统一的错误页面提示。

28.Apache Tomcat默认文件

　　漏洞描述

　　Apache Tomcat默认样例文件没有删除或限制访问，可能存在cookie、session伪造，进行后台登录操作

　　修复建议

　　1、删除样例文件

　　2、限制文件访问权限

29.Crossdomain.xml 配置不当

　　漏洞描述

　　网站根目录下的 crossdomain.xml 文件指明了远程Flash 是否可以加载当前网站的资源（图片、网页内容、Flash等）。如果配置不当，可能导致遭受跨站请求伪造（CSRF）攻击。

　　修复建议

　　对于不需要从外部加载资源的网站，在 crossdomain.xml 文件中更改allow-access-from的domain属性为域名白名单。

30.目标服务器启用了不安全 HTTP 方法

　　漏洞描述

　　目标服务器启用了不安全的传输方法，如PUT、TRACE、DELETE、MOVE等，这些方法表示可能在服务器上使用了 WebDAV，由于dav方法允许客户端操纵服务器上的文件，如上传、修改、删除相关文件等危险操作，如果没有合理配置dav，有可能允许未授权的用户对其进行利用，修改服务器上的文件。

　　修复建议

　　1、关闭不安全的传输方法，只开启POST、GET方法。

　　2、如果服务器不使用 WebDAV 可直接禁用，或为允许webdav的目录配置严格的访问权限，如认证方法，认证需要的用户名，密码。

31.weblogic SSRF服务器请求伪造

　　漏洞描述

　　目标存在weblogic SSRF服务器请求伪造漏洞。WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。SSRF(Server-Side Request Forgery:服务器端请求伪造) 是一种由攻击者构造形成由服务端发起请求的一个安全漏洞。一般情况下，SSRF攻击的目标是从外网无法访问的内部系统。（正是因为它是由服务端发起的，所以它能够请求到与它相连而与外网隔离的内部系统）。Weblogic中间件默认带有“UDDI 目录浏览器”且为未授权访问，通过该应用，可进行无回显的SSRF请求。攻击者可利用该漏洞对企业内网进行大规模扫描，了解内网结构，并可能结合内网漏洞直接获取服务器权限。

　　修复建议

　　1、若不影响业务则可删除uddiexplorer文件夹

　　2、限制uddiexplorer应用只能内网访问

32.Apache Struts2 远程代码执行漏洞（S2-019）

　　漏洞描述

　　Apache Struts2的“Dynamic MethodInvocation”机制是默认开启的，仅提醒用户如果可能的情况下关闭此机制，如果未关闭此机制将导致远程代码执行漏洞，远程攻击者可利用此漏洞在受影响应用上下文中执行任意代码。

　　修复建议

　　1、目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载。

　　2、或者手工设置struts.xml文件<constantname="struts.enable.DynamicMethodInvocation"value="false"/>

33.Apache Struts2 远程代码执行漏洞（S2-037）

　　漏洞描述

　　Apache Struts2在使用REST插件时，攻击者可以绕过动态方法执行的限制，调用恶意表达式执行远程代码。

　　修复建议

　　建议用户到官方获取最新补丁或者最新版本程序。

34.Apache Struts2 DevMode 远程代码执行漏洞

　　漏洞描述

　　为了便于开发人员调试程序，Struts2提供了一个devMode模式，可以方便查看程序错误以及日志等信息。当Struts2中的devMode模式设置为true时，存在严重远程代码执行漏洞。如果WebService 启动权限为最高权限时，可远程执行任意命令，包括关机、建立新用户、以及删除服务器上所有文件等等。

　　修复建议

　　建议用户到官方获取最新补丁或者最新版本程序。

　　或者将struts.properties中的devMode设置为false，或是在struts.xml中添加如下代码： <constant name="struts.devMode"value="false"/>。

35.Apache Struts2 远程代码执行漏洞（S2-045）

　　漏洞描述

　　Apache Struts2的Jakarta Multipartparser插件存在远程代码执行漏洞，漏洞编号为CVE-2017-5638。攻击者可以在使用该插件上传文件时，修改HTTP请求头中的Content-Type值来触发该漏洞，导致远程执行代码。

　　修复建议

　　检测方式查看web目录下/WEB-INF/lib/目录下的struts-core.x.x.jar ，如果这个版本在Struts2.3.5 到 Struts2.3.31 以及 Struts2.5 到 Struts2.5.10之间则存在漏洞。

　　1、建议用户到官方获取最新补丁或者最新版本程序。

　　2、更新至Strusts2.3.32或者Strusts2.5.10.1，或使用第三方的防护设备进行防护。

　　3、临时解决方案：删除commons-fileupload-x.x.x.jar文件（会造成上传功能不可用）。

　　4、修改WEB-INF/classes目录下的配置

　　在WEB-INF/classes目录下的struts.xml中的struts 标签下添加

　　<constantname=”struts.custom.i18n.resources”value=”global”/>；

　　在WEB-INF/classes/目录下添加global.properties，文件内容如下:

　　struts.messages.upload.error.InvalidContentTypeException=1

36.Apache Struts2 远程代码执行漏洞（S2-033）

　　漏洞描述

　　Apache Struts2在开启动态方法调用（DynamicMethod Invocation）的情况下，攻击者使用REST插件调用恶意表达式可以远程执行代码。

　　修复建议

　　1、用户到官方获取最新补丁或者最新版本程序。

　　2、或者在允许的情况下禁用动态方法调用（Dynamic Method Invocation），修改Struts2的配置文件struts.xml，将struts.enable.DynamicMethodInvocation设置为“false”。