Web应用安全威胁与防治——基于OWASP Top 10与ESAPI的目录

Posted 2023-04-06

参考技术A

第1篇 引子
故事一：家有一IT，如有一宝 2
故事二：微博上的蠕虫 3
故事三：明文密码 5
故事四：IT青年VS禅师 5
第2篇 基础篇
第1章 Web应用技术 8
1.1 HTTP简介 8
1.2 HTTPS简介 10
1.3 URI 11
1.3.1 URL 11
1.3.2 URI/URL/URN 12
1.3.3 URI比较 13
1.4 HTTP消息 13
1.4.1 HTTP方法14
1.4.2 HTTP状态码 19
1.5 HTTP Cookie20
1.5.1 HTTP Cookie的作用22
1.5.2 HTTP Cookie的缺点23
1.6 HTTP session23
1.7 HTTP的安全 24
第2章 OWASP 27
2.1 OWASP简介27
2.2 OWASP风险评估方法28
2.3 OWASP Top 10 34
2.4 ESAPI（Enterprise Security API） 35
第3篇 工具篇
第3章 Web服务器工具简介 38
3.1 Apache 38
3.2 其他Web服务器 39
第4章 Web浏览器以及调试工具 42
4.1 浏览器简介 42
4.1.1 基本功能 42
4.1.2 主流浏览器 43
4.1.3 浏览器内核 44
4.2 开发调试工具 45
第5章 渗透测试工具 47
5.1 Fiddler 47
5.1.1 工作原理 47
5.1.2 如何捕捉HTTPS会话 48
5.1.3 Fiddler功能介绍 49
5.1.4 Fiddler扩展功能 56
5.1.5 Fiddler第三方扩展功能 56
5.2 ZAP 58
5.2.1 断点调试 60
5.2.2 编码/解码 61
5.2.3 主动扫描 62
5.2.4 Spider63
5.2.5 暴力破解 64
5.2.6 端口扫描 65
5.2.7 Fuzzer66
5.2.8 API 66
5.3 WebScrab 67
5.3.1 HTTP代理67
5.3.2 Manual Request 69
5.3.3 Spider70
5.3.4 Session ID分析71
5.3.5 Bean Shell的支持 71
5.3.6 Web编码和解码 73
第6章 扫描工具简介 74
6.1 万能的扫描工具——WebInspect 74
6.1.1 引言 74
6.1.2 WebInspect特性 74
6.1.3 环境准备 74
6.1.4 HP WebInspect总览 76
6.1.5 Web网站测试 79
6.1.6 企业测试 86
6.1.7 生成报告 88
6.2 开源扫描工具——w3af 91
6.2.1 w3af概述 91
6.2.2 w3af环境配置 92
6.2.3 w3af使用示例 93
6.3 被动扫描的利器——Ratproxy 94
6.3.1 Ratproxy概述 94
6.3.2 Ratproxy环境配置 95
6.3.3 Ratproxy运行 96
第7章 漏洞学习网站 98
7.1 WebGoat 98
7.2 DVWA 99
7.3 其他的漏洞学习网站 99
第4篇 攻防篇
第8章 代码注入 102
8.1 注入的分类 104
8.1.1 OS命令注入 104
8.1.2 XPath注入109
8.1.3 LDAP注入114
8.1.4 SQL注入 118
8.1.5 JSON注入131
8.1.6 URL参数注入 133
8.2 OWASP ESAPI与注入问题的预防 135
8.2.1 命令注入的ESAPI预防 135
8.2.2 XPath注入的ESAPI预防 138
8.2.3 LDAP注入的ESAPI预防 138
8.2.4 SQL注入的ESAPI预防 141
8.2.5 其他注入的ESAPI预防 143
8.3 注入预防检查列表 143
8.4 小结 144
第9章 跨站脚本（XSS）146
9.1 XSS简介 146
9.2 XSS分类 146
9.2.1 反射式XSS 146
9.2.2 存储式XSS 148
9.2.3 基于DOM的XSS 149
9.2.4 XSS另一种分类法 151
9.3 XSS危害 154
9.4 XSS检测 156
9.4.1 手动检测 156
9.4.2 半自动检测 158
9.4.3 全自动检测 158
9.5 XSS的预防 159
9.5.1 一刀切 159
9.5.2 在服务器端预防 160
9.5.3 在客户端预防 168
9.5.4 富文本框的XSS预防措施 170
9.5.5 CSS 172
9.5.6 FreeMarker174
9.5.7 OWASP ESAPI与XSS的预防 177
9.6 XSS检查列表 183
9.7 小结 184
第10章 失效的身份认证和会话管理 185
10.1 身份认证和会话管理简介185
10.2 谁动了我的琴弦——会话劫持186
10.3 请君入瓮——会话固定 188
10.4 我很含蓄——非直接会话攻击191
10.5 如何测试 199
10.5.1 会话固定测试 199
10.5.2 用Web Scrab分析会话ID 200
10.6 如何预防会话攻击 202
10.6.1 如何防治固定会话 202
10.6.2 保护你的会话令牌 204
10.7 身份验证 208
10.7.1 双因子认证流程图 209
10.7.2 双因子认证原理说明 210
10.7.3 隐藏在QR Code里的秘密 211
10.7.4 如何在服务器端实现双因子认证 212
10.7.5 我没有智能手机怎么办 216
10.8 身份认证设计的基本准则216
10.8.1 密码长度和复杂性策略 216
10.8.2 实现一个安全的密码恢复策略 217
10.8.3 重要的操作应通过HTTPS传输 217
10.8.4 认证错误信息以及账户锁定 219
10.9 检查列表 219
10.9.1 身份验证和密码管理检查列表 219
10.9.2 会话管理检查列表 220
10.10 小结 221
第11章 不安全的直接对象引用 222
11.1 坐一望二——直接对象引用 222
11.2 不安全直接对象引用的危害 224
11.3 其他可能的不安全直接对象引用 224
11.4 不安全直接对象引用的预防 225
11.5 如何使用OWASP ESAPI预防 227
11.6 直接对象引用检查列表 230
11.7 小结 230
第12章 跨站请求伪造（CSRF） 232
12.1 CSRF简介 232
12.2 谁动了我的奶酪232
12.3 跨站请求伪造的攻击原理233
12.4 剥茧抽丝见真相235
12.5 其他可能的攻击场景236
12.5.1 家用路由器被CSRF攻击 236
12.5.2 别以为用POST你就躲过了CSRF 238
12.5.3 写一个自己的CSRF Redirector 241
12.5.4 利用重定向欺骗老实人 243
12.6 跨站请求伪造的检测245
12.6.1 手工检测 245
12.6.2 半自动CSRFTester 246
12.7 跨站请求伪造的预防250
12.7.1 用户需要知道的一些小技巧 250
12.7.2 增加一些确认操作 250
12.7.3 重新认证 250
12.7.4 加入验证码（CAPTCHA） 250
12.7.5 ESAPI解决CSRF 250
12.7.6 CSRFGuard 256
12.8 CSRF检查列表 260
12.9 小结 261
第13章 安全配置错误 262
13.1 不能说的秘密——Google hacking 262
13.2 Tomcat那些事 264
13.3 安全配置错误的检测与预防 264
13.3.1 系统配置 264
13.3.2 Web应用服务器的配置 268
13.3.3 数据库 282
13.3.4 日志配置 284
13.3.5 协议 285
13.3.6 开发相关的安全配置 291
13.3.7 编译器的安全配置 302
13.4 安全配置检查列表 305
13.5 小结 307
第14章 不安全的加密存储 308
14.1 关于加密 310
14.1.1 加密算法简介 310
14.1.2 加密算法作用 312
14.1.3 加密分类 313
14.2 加密数据分类 314
14.3 加密数据保护 315
14.3.1 密码的存储与保护 315
14.3.2 重要信息的保护 323
14.3.3 密钥的管理 336
14.3.4 数据的完整性 339
14.3.5 云系统存储安全 342
14.3.6 数据保护的常犯错误 343
14.4 如何检测加密存储数据的安全性 344
14.4.1 审查加密内容 344
14.4.2 已知答案测试（Known Answer Test）344
14.4.3 自发明加密算法的检测 345
14.4.4 AES加密算法的测试 345
14.4.5 代码审查 346
14.5 如何预防不安全的加密存储的数据347
14.6 OWASP ESAPI与加密存储 348
14.6.1 OWASP ESAPI与随机数 353
14.6.2 OWASP ESAPI 与FIPS 140-2 354
14.7 加密存储检查列表 355
14.8 小结 355
第15章 没有限制的URL访问357
15.1 掩耳盗铃——隐藏（Disable）页面按钮357
15.2 权限认证模型 358
15.2.1 自主型访问控制 360
15.2.2 强制型访问控制 360
15.2.3 基于角色的访问控制 361
15.3 绕过认证 363
15.3.1 网络嗅探 364
15.3.2 默认或者可猜测用户账号 364
15.3.3 直接访问内部URL364
15.3.4 修改参数绕过认证 365
15.3.5 可预测的SessionID365
15.3.6 注入问题 365
15.3.7 CSRF 365
15.3.8 绕过认证小结 366
15.4 绕过授权验证 367
15.4.1 水平越权 368
15.4.2 垂直越权 369
15.5 文件上传与下载373
15.5.1 文件上传 373
15.5.2 文件下载和路径遍历 377
15.6 静态资源 382
15.7 后台组件之间的认证383
15.8 SSO 385
15.9 OWASP ESAPI与授权 386
15.9.1 AccessController的实现387
15.9.2 一个AccessController的代码示例390
15.9.3 我们还需要做些什么 391
15.10 访问控制检查列表 393
15.11 小结 393
第16章 传输层保护不足 395
16.1 卧底的故事——对称加密和非对称加密395
16.2 明文传输问题 396
16.3 有什么危害398
16.3.1 会话劫持 398
16.3.2 中间人攻击 399
16.4 预防措施 399
16.4.1 密钥交换算法 400
16.4.2 对称加密和非对称加密结合 401
16.4.3 SSL/TLS 406
16.5 检查列表 423
16.6 小结 423
第17章 未验证的重定向和转发 425
17.1 三角借贷的故事——转发和重定向425
17.1.1 URL转发425
17.1.2 URL重定向 426
17.1.3 转发与重定向的区别 429
17.1.4 URL 重定向的实现方式 430
17.2 危害 438
17.3 如何检测 439
17.4 如何预防 440
17.4.1 OWASP ESAPI与预防 441
17.5 重定向和转发检查列表 443
17.6 小结 443
第5篇 安全设计、编码十大原则
第18章 安全设计十大原则 448
设计原则1——简单易懂 448
设计原则2——最小特权 448
设计原则3——故障安全化450
设计原则4——保护最薄弱环节451
设计原则5——提供深度防御 452
设计原则6——分隔 453
设计原则7——总体调节 454
设计原则8——默认不信任454
设计原则9——保护隐私 455
设计原则10——公开设计，不要假设隐藏秘密就是安全 455
第19章 安全编码十大原则 457
编码原则1——保持简单 457
编码原则2——验证输入 458
编码原则3——注意编译器告警459
编码原则4——框架和设计要符合安全策略 459
编码原则5——默认拒绝 460
编码原则6——坚持最小权限原则 462
编码原则7——净化发送到其他系统的数据 463
编码原则8——深度预防 464
编码原则9——使用有效的质量保证技术464
编码原则10——采用一个安全编码规范 465
媒体评论
这是一本带点酷酷的工程师范儿和人文气质的“硬货”。作为一名资深IT文艺老人，特别喜欢这种带着思想气息却又有着丰富案例娓娓道来的实用信息安全书，过去却往往只在国外作者中读到。正如书中开头的引子说的那样：“家有IT，如有一宝。”那么在Web安全日益火爆的今天，你会不会在读完这本书后的未来也成为传说中让我们顶礼膜拜的大牛呢^-^
——IDF威慑防御实验室益云（公益互联网）社会创新中心联合创始人万涛@黑客老鹰
伴随互联网的高速发展，基于B/S架构的业务系统对安全要求越来越高，安全从业人员面临空前的压力。如何让安全从业人员快速掌握Web应用安全？本书以诙谐、幽默的语言，精彩、丰富的实例，帮助安全从业人员从端到端理解Web应用安全。不失为近几年Web应用安全书籍的上佳之作。
——OWASP中国区主席SecZone高级安全顾问 RIP
很乐意看到有人将自身的资深安全积累和OWASP的最佳实践出版成书，内容严谨细致却不乏生动。这本信息安全领域的实用手册将成为银基安全致力于互联网安全的参考指导书目之一，我们广泛的电信、银行、保险、证券和政府部门等客户都会从中受益。
——上海银基信息安全技术有限公司首席技术官胡绍勇（Kurau）
随着安全访问控制策略ACL的普及应用，互联网企业目前面临的安全风险面主要集中在Web服务层。其中Web应用系统在架构设计、开发编码过程中是安全漏洞和风险引入的主要阶段，而普遍地我们的架构、开发、测试岗位在安全技能与意识上恰恰是相对比较欠缺的。本书详细介绍了Web安全基础知识、测试平台与方法，常见漏洞形式与原理，并结合OWASP最佳实践经验给出预防建议、设计和编码原则等。书中举例生动形象，图文代码并茂，步骤归纳清晰。特别推荐给广大Web开发、测试、安全岗位的朋友们。
—— 中国金山软件集团信息安全负责人程冲
在网络攻击愈加复杂，手段日益翻新的今天，Web攻击依然是大多数攻击者首选的入侵手段。反思CSDN泄密及新浪微博蠕虫事件，Web应用的安全突显其重要性。OWASP作为全球领先的Web应用安全研究团队，透过本书将Web应用安全的威胁、防御以及相关的工具进行了详细的探讨和研究。详尽的操作步骤说明是本书的亮点之一，这些详实且图文并茂的内容为逐步深入学习Web应用安全提供了很好的帮助。我衷心希望这本书能够成为信息安全专业的在校生以及应用安全相关从业人员的学习指导书。
-- 上海交通大学信息安全工程学院施勇(CISSP CISA)

OWASP Top 10 2022介绍

OWASP Top 10 2022 介绍

• 1.失效的访问控制
• 2.加密机制失效
• 3.注入
• 4.不安全的设计
• 5.安全配置错误
• 6.易受攻击和过时的组件
• 7.识别和认证失败
• 8.软件和数据完整性故障
• 9.安全日志记录和监控失败
• 10.服务器端请求伪造（SSRF）

每年 OWASP（开放 Web 应用程序安全项目）都会发布十大安全漏洞。它代表了对 Web 应用程序最关键的安全风险的广泛共识。

1.失效的访问控制

访问控制实施策略以防止用户超出其指定权限范围进行操作。由于访问漏洞，未经身份验证或不受欢迎的用户可能会访问机密数据和进程以及用户权限设置。 元数据操作，包括篡改或重放 JSON Web 令牌 (JWT) 访问控制令牌，或修改 cookie 或隐藏字段以提高权限或利用 JWT 失效，都是访问控制漏洞的一个示例。第二个例子是违反默认拒绝原则。必须仅向特定角色、能力或用户授予访问权限，但每个人都可以访问。此类错误可能使攻击者可以轻松访问他们想要的一切。 但是，可以通过应用安全编码方法并采取预防措施（例如禁用管理员帐户和限制以及安装多因素身份验证）来避免访问安全机制不足以及身份或密码管理问题。

其他预防技术包括：

• 仅强制执行一次访问控制机制，并在应用程序期间重复使用它们，以减少跨域资源共享 (CORS)。
• 领域模型应该施加不同的应用程序业务限制约束。
• 限制对应用程序编程接口 (API) 和控制器的访问，以减轻自动攻击工具的影响。
• 在访问控制中记录故障并根据需要向管理员发出警报。
• 模型访问控制必须强制执行记录所有权，而不是授予用户创建、查看、修改或删除任何信息的权限。

---

2.加密机制失效

这里的重点在于经常暴露敏感数据的密码错误或缺少密码错误。以下是敏感信息泄露的典型例子

• 会话令牌
• 登录 ID 和密码
• 网上交易
• 个人信息（交换服务网络或SSN、健康记录等）

例如，应用程序可以使用自动数据库加密来安全地加密信用卡数据。不幸的是，当访问此信息时，它会立即未加密，从而导致 SQL 注入错误以明文形式提取信用卡信息，入侵者可能会利用这些信息。可以使用以下预防技术来避免这些故障：

• 您应该使用具有延迟因子的稳健、加盐和自适应哈希算法来存储密码，例如 scrypt、Argon2、PBKDF2 或 bcrypt
• 传输敏感数据时应避免使用文件传输协议 (FTP)和简单邮件传输协议 (SMTP)等旧协议
• 建议实施经过身份验证的加密，而不是仅仅使用加密
• 必须生成加密随机密钥并将其存储为字节数组。如果使用密码，则必须使用基于密码的密钥创建算法将其更改为类似于密钥的东西

---

3.注入

注入（或SQL 注入）是针对网站的数据库攻击，该网站使用结构化查询语言 (SQL) 来获取信息或执行通常需要经过身份验证的用户帐户的活动。程序很难从自己的代码中解释这些代码，从而允许攻击者进行注入攻击以访问受保护区域和伪装成受信任用户的敏感数据。注入包括SQL注入、命令注入、CRLF注入、LDAP注入等。

一些预防技术包括：

• 一个更可取的替代方案是使用完全避开解释器、提供参数化 API 或易位到对象关系映射 (ORM) 工具的 API。
• 建议使用积极的服务器端验证输入。许多应用程序，包括用于移动应用程序的文本字段和 API，都需要特殊字符。
• 在查询中使用 LIMIT 和其他 SQL 约束是避免 SQL 注入情况下大量数据暴露的好方法。

---

4.不安全的设计

这是 2021 年的一个全新类别，专注于设计和架构缺陷，需要更多地使用威胁建模、设计安全建议和参考架构。不安全的设计是一个广泛的类别，包含各种问题，例如“缺失或不充分的控制设计”。这并不意味着不安全的设计是所有其他十大风险类别的根源。

不安全的设计与不安全的实现不同。即使设计是安全的，实施缺陷也可能导致漏洞。另一方面，有缺陷的设计不能通过完美的实现来弥补，因为不存在必要的安全保护措施来防御特定的威胁。

可以通过采用以下预防技术来避免这些威胁：

• 在 AppSec 专家的协助下设置和使用安全的开发生命周期，以评估和构建安全和隐私保护措施。
• 建议对关键验证、访问控制、应用程序逻辑和基本流程进行威胁建模。
• 在用户故事中包含安全术语和控制。
• 所有层级的租户隔离设计也被视为一种实用的预防方法。

---

5.安全配置错误

一般的安全设置问题，就像配置错误的访问控制一样，通过为攻击者提供对关键数据和站点区域的快速和轻松的访问而造成重大危险。

常见解决方案：

• 系统化的强化过程允许快速轻松地部署安全环境。开发、质量控制和操作环境的配置应该是相似的，具有不同的用户权限。
• 它非常适合自动化流程以建立新的安全环境，以节省必要的时间和精力。应删除或不安装未使用的功能和框架。没有不必要的功能、组件、文档或演示的主要平台会降低配置漏洞的可能性。

---

6.易受攻击和过时的组件

大多数在线应用程序都是在第三方框架的帮助下创建的。未知的应用程序代码可能会导致不良结果和不良情况，例如违反口音控制、SQL 注入等。

如果程序不安全、不受支持或过时，则可能存在与漏洞相关的危害。该软件包包括应用程序/Web 服务器、操作系统、应用程序、数据库管理系统 (DBMS)、API、其他元素、库和运行时环境。

自动化方法可帮助攻击者找到配置不当或未打补丁的机器。例如，Shodan IoT 搜索引擎可以帮助用户发现易受 Heartbleed 威胁的设备，该威胁已于 2014 年 4 月修复。某些预防技术包括：

• 最好通过安全渠道从官方来源购买组件。
• 留意那些不起作用或不为旧版本提供安全更新的模块和元素。如果无法进行修补，请考虑开发虚拟补丁来观察、识别或防范观察到的漏洞。
• 删除任何过多的要求、功能、元素、文件夹或文档。

---

7.识别和认证失败

现在包含与识别问题相关的 CWE。当攻击者获取用户信息、密码恢复、ID 会话和其他登录凭据时，就会产生安全问题。顾名思义，身份和身份验证失败包括黑客利用此类漏洞利用身份验证不足。

如果应用程序允许自动攻击，例如凭证填充（当攻击者可以访问真实用户和密码列表）或预定义的、较弱的和常见的密码（例如“Password1”或“admin/admin”），这些可能是身份验证缺陷的迹象

为避免此类缺陷，必须考虑以下预防措施：

• 必须在可行的情况下使用多因素身份验证，以避免自动凭证填充、暴力攻击和被盗凭证的重复使用。
• 通过对照包含 10,000 个最差密码的数据库检查新密码或修改密码，可以提高密码安全性。
• 对每个结果使用相同的消息有助于防止对密码恢复、注册和 API 路径的帐户枚举攻击。
• 不要安装任何默认凭据，尤其是对于管理用户。

---

8.软件和数据完整性故障

随着越来越多的敏感信息存储在数据库中，容易受到安全漏洞的影响，数据完整性问题对于软件来说变得至关重要。

这是一个新类别，它侧重于假设软件更新、重要数据和 CI/CD 程序的完整性，而无需对其进行验证。一个例子是当应用程序使用来自内容交付网络 (CDN) 或未经授权的来源的扩展、模块或存储库时。未受保护的持续集成/持续交付 ( CI/CD ) 流程可能会增加恶意代码、系统受损或未经授权访问的风险。

预防技术包括：

• 人们可能会使用诸如数字签名之类的措施来确认数据或软件来自预期的来源而没有任何篡改。
• 软件供应链的安全工具，如 OWASP CycloneDX 或 OWASP Dependency-Check，可用于保证组件不包含设计缺陷。
• 有必要确保 CI/CD 工作流具有所需的分段、访问控制和参数化，以在整个设置和部署操作过程中保护代码完整性。
• 未经签名或未加密的编译数据不应发送给不受信任的客户端，除非已进行完整性测试或数字签名以识别数据更改或重复。

---

9.安全日志记录和监控失败

在存在可疑行为和事件的情况下缺乏跟踪可能会扩大不受监控的时间间隔，从而使安全漏洞被忽视的时间比使用更好的日志记录的时间更长。此 OWASP Top 10 2021 部分旨在帮助识别、升级和解决最近的违规行为。如果没有记录和监控，就不可能检测到安全漏洞。

• 确认所有身份验证、访问安全系统和服务器端数据验证问题都记录有足够的用户信息，以检测可疑或欺诈帐户，并存储足够长的时间以进行延迟的全面调查。
• 确保以日志管理系统可使用的格式创建日志。
• 创建或应用用于事件恢复和响应工作的策略，例如 NIST 800-61r2 或更高版本。
• 确保对日志数据进行适当编码，以避免对监控系统的入侵或网络威胁。

---

10.服务器端请求伪造（SSRF）

该类别的结果显示了高于平均水平的测试覆盖率、合理的低发生率以及高于平均水平的影响和利用评级。SSRF 是在服务器端查询未验证用户提供的 URL 的情况下开发的。这允许攻击者诱使应用程序将伪造请求传输到不希望的位置，即使该位置受到虚拟专用网络 (VPN)、防火墙或网络访问控制列表 (ACL) 的保护。

随着新的在线应用程序为最终用户提供方便的功能，获取 URL 已成为一种典型情况。因此，SSRF 患病率正在增加。此外，由于云服务和设计复杂性，SSRF 的强度正在增加。考虑到这一点，可以通过采用以下预防技术来避免此类攻击：

• 为了限制 SSRF 的影响，应该将远程资源访问功能分离到不同的网络中。
• 安装“默认拒绝”防火墙设置或网络访问控制规则，以阻止除必需的内部流量外的所有 Web 流量。
• 在 (TOCTOU) 情况下，为了防止 DNS 重新映射和“检查时间、使用时间”等攻击，最好注意 URL 的准确性。