网站安全之逻辑漏洞检测 附漏洞修复方案

Posted 2021-01-27 wangzhananquan

在网站安全的日常安全检测当中，我们SINE安全公司发现网站的逻辑漏洞占比也是很高的，前段时间某酒店网站被爆出存在高危的逻辑漏洞，该漏洞导致酒店的几亿客户的信息遭泄露，包括手机号，姓名，地址都被泄露，后续带来的损失很大，最近几年用户信息泄露的事件时有发生，给很多企业，酒店都上了一堂生动的安全课。关于网站逻辑漏洞的总结，今天跟大家详细讲解一下。

网站逻辑漏洞

用户的隐私信息属于数据的保护的最高级别，也是最重要的一部分数据，在逻辑漏洞当中属于敏感信息泄露，有些敏感信息还包括了系统的重要信息，比如服务器的版本linux或者windows的版本，以及网站使用的版本，比如php版本，mysql版本，系统开发的版本，像dedecms,ECShop版本等等的信息都属于敏感信息的一部分。这些数据如果被泄露出去，那么入侵者就会尝试多个方法对系统进行攻击，获取到的敏感信息越多，系统受攻击的程度越大。有一些网站的敏感信息包括客户的注册资料，手机号，身份证号码及扫描件，名字，年月日。这些用户的资料如果被泄漏直接受危害的就是客户本身，比如这次酒店客户资料泄漏事件的发生，带来的危害太大了。

那么逻辑漏洞的产生导致敏感信息泄漏主要的过程是什么呢？首先通过用户资料敏感信息的传输过程，传输到网站系统里去并展示，网站的前端以及APP客户端的代码注释，再经由错误代码的安全测试，都会导致敏感信息的泄漏。

用户资料敏感信息是整个系统当中最重要的一部分，打比方，客户要注册一个网站，首先会填写注册资料到网站里去，再点击提交，再客户提交到服务器端的时候，如果网站没有加密或者使用SSL证书加密，都会被攻击者截取获取到客户注册资料内容，导致用户敏感信息泄漏。

举一个简单例子就是某个网站在修改当前用户密码的过程当中，我们SINE安全公司对其进行测试发现post数据里的内容竟然都是明文保存的密码，导致可以被攻击者获取到，进而盗取用户账号密码。

 

一些敏感信息的显示过程也会泄漏信息，很多网站的开发过程中没有对用户的账号密码这些信息进行加密导致用户登录页面可以看到明文的代码。登录系统查看源代码就可以看到密码。这样也就等于告诉了攻击者，攻击者直接登录了网站的后台。如下图：

网站前端、APP客户端代码的注释导致的泄漏，我们举个简单的例子，某客户的网站后台管理用户登录的页面，我们安全检测发现注释代码里竟然写了网站的管理员账号密码，虽然是注释过的代码，但是仔细一看还是会发现问题。

网站逻辑漏洞修复方案

越来越多的用户敏感信息泄漏事情的发生让我对于用户的数据安全担忧，不得不保护好网站的安全以及用户的敏感数据。关于逻辑漏洞的修复方案，首先从代码进行安全检测，存储用户密码的地方进行严格的过滤，再一个就是敏感的信息在传输过程，以及显示到网站里的时候都要进行加密，MD5加密，数据SSL加密传输，重要的数据尽可能的使用POST的提交方式进行，用户密码要使用加强的加密方式MD5+特殊编码的方式进行加密，对于网站的一些报错页面也要禁止掉回显，网站逻辑漏洞修复，需要很多专业的知识，也不仅仅是知识，还需要大量的经验积累，所以从做网站到维护网站，维护服务器，尽可能找专业的网站安全公司来解决问题，国内也就Sinesafe和绿盟、启明星辰等安全公司比较专业.

希望以上对逻辑漏洞的介绍，以及逻辑漏洞的修复方案能帮到正在需要的你，安全你我他，有多分享，就有多安全。