Web安全漏洞如何修復(fù)？

guyan0319 2022-06-28 15:17 回答0 收藏1

收藏問題

8條回答

JohnLui

回答于2022-06-28 15:17

作為信息安全領(lǐng)域的從業(yè)人員很高興回答你的問題。關(guān)于Web安全如何修復(fù)我認(rèn)為漏洞修復(fù)分四步發(fā)現(xiàn)漏洞、確定漏洞的危害、確定有那些修復(fù)方案及成本、綜合比較選擇修復(fù)方案進(jìn)行修復(fù)。

發(fā)現(xiàn)漏洞

在進(jìn)行漏洞修復(fù)之前肯定要確定漏洞是什么？(如注入、XEE、跨站、信息泄露、反序列化等OWASP top10常見漏洞或支付、驗(yàn)證碼、密碼修改等邏輯漏洞)?？梢酝ㄟ^專業(yè)的漏洞掃描工具或者專業(yè)的安全服務(wù)團(tuán)隊(duì)發(fā)現(xiàn)漏洞，不同類型的漏洞修復(fù)方案不同。如注入、XEE、跨站、反序列化可以通過對輸入進(jìn)行控制也可以通過IPS/IDS，邏輯漏洞則要對邏輯進(jìn)行重新設(shè)計(jì)。

確定的漏洞的危害

同樣的漏洞對于不同的情況造成的危害也不一樣，例如同樣是sql注入漏洞，一些公司數(shù)據(jù)庫中存放的是極為重要的敏感數(shù)據(jù)（如身份證、手機(jī)號、賬號、密碼等），另外一些公司可能只是存放一些無關(guān)緊要的數(shù)據(jù)（如一些新聞消息），那么可以根據(jù)實(shí)際情況選擇是否修復(fù)。

確定有那些修復(fù)方案及成本

確定是什么漏洞之后那么就能找到相應(yīng)的修復(fù)方案，如下舉例說明幾種漏洞的修復(fù)方案：

sql注入修復(fù)方案：

1.使用正則表達(dá)式過濾傳入的參數(shù).

2.預(yù)編譯：執(zhí)行階段只是把輸入串作為數(shù)據(jù)處理,而不再對sql語句進(jìn)行解析,準(zhǔn)備,因此也就避免了sql注入問題.

3.權(quán)限控制：在創(chuàng)建一個SQL數(shù)據(jù)庫的用戶帳戶時，要遵循最低權(quán)限法則。

4.IDS/IPS：從網(wǎng)絡(luò)層來進(jìn)行過濾請求，來緩解風(fēng)險呢

支付邏輯漏洞修復(fù)方案：

多重校驗(yàn)如下圖：

確定自己Web中漏洞有幾種修復(fù)方案，每種修復(fù)方案的成本及影響。

確定修復(fù)方案

根據(jù)修復(fù)漏洞所需要的成本，不修復(fù)漏洞帶來的損失、對公司的業(yè)務(wù)影響、對公司的聲譽(yù)影響（如果修復(fù)成本100萬，損失10萬完全沒有必要修復(fù)），選擇相應(yīng)的修復(fù)方案或者緩解措施。如重要信息未加密漏洞，如果立即修復(fù)對業(yè)務(wù)影響比較大（如代碼需要更改加入加密算法、數(shù)據(jù)庫結(jié)構(gòu)要重新設(shè)計(jì)、可能第三方對接業(yè)務(wù)代碼也需要更改），可以使用HTTPS協(xié)議及其他緩解措施來增加攻擊的難度，后續(xù)慢慢更改。總之要根據(jù)自身的實(shí)際情況進(jìn)行調(diào)整。

評論0 贊同0

加載中...

hightopo

回答于2022-06-28 15:17

web安全漏洞有很多種，不知你指的是哪一種？

常見的web安全漏洞有：

1、跨站腳本攻擊（XSS）

修復(fù)方式：cookie值設(shè)置HttpOnly，輸入檢查和輸出檢查特殊字符。

2、跨站點(diǎn)請求偽造（CSRF）

修復(fù)方式：請求時附帶驗(yàn)證信息，如驗(yàn)證碼或token。

3、點(diǎn)擊劫持

修復(fù)方式：HTTP 響應(yīng)頭X-FRAME-OPTIONS。

4、SQL注入

修復(fù)方式：將數(shù)據(jù)與代碼分離，在"拼湊"發(fā)生的地方安全檢查。

5、DDOS攻擊

修復(fù)方式：限制請求頻率、User-Agent、驗(yàn)證碼。

評論0 贊同0

加載中...

hiyayiji

回答于2022-06-28 15:17

你先得掃描你的網(wǎng)站有什么漏洞，找到漏洞才能修補(bǔ)！

mutillidae工具是一個免費(fèi)，開源的Web應(yīng)用程序，提供專門被允許的安全測試和入侵的Web應(yīng)用程序。它是由Adrian “Irongeek” Crenshaw和Jeremy “webpwnized” Druin.開發(fā)的一款自由和開放源碼的Web應(yīng)用程序。其中包含了豐富的滲透測試項(xiàng)目，如SQL注入、跨站腳本、clickjacking、本地文件包含、遠(yuǎn)程代碼執(zhí)行等.

評論0 贊同0

加載中...

Tony

回答于2022-06-28 15:17

SQL注入
在服務(wù)器端要對所有的輸入數(shù)據(jù)驗(yàn)證有效性。
在處理輸入之前，驗(yàn)證所有客戶端提供的數(shù)據(jù)，包括所有的參數(shù)、URL和HTTP頭的內(nèi)容。
驗(yàn)證輸入數(shù)據(jù)的類型、長度和合法的取值范圍。
使用白名單驗(yàn)證允許的輸入字符而不是黑名單。
在危險字符輸入后進(jìn)行轉(zhuǎn)義或編碼。
明確所有輸入正確的字符集。
不使用動態(tài)拼接的SQL語句，如果使用對特殊字符進(jìn)行轉(zhuǎn)義。
設(shè)置最小權(quán)限運(yùn)行程序
DS命令注入不僅要在客戶端過濾，也要在服務(wù)器端過濾。要用最小權(quán)限去運(yùn)行程序，不要給予程序多余的權(quán)限，最好只允許在特定的路徑下運(yùn)行，可以通過使用明確運(yùn)行命令。在程序執(zhí)行出錯時，不要顯示與內(nèi)部實(shí)現(xiàn)相關(guān)的細(xì)節(jié)。如果只允許運(yùn)行有限的命令、使用白名單方式過濾。對于需要運(yùn)行命令的請求，盡可能減小需要從外部輸入的數(shù)據(jù)。比如：傳參數(shù)的地方不要傳命令行。有下載文件，給文件分配一個ID號來訪問文件，拒絕文件名訪問。如果需要用文件名，嚴(yán)格檢測文件的合法性?？梢詠鞺就業(yè)咨詢呦。

評論0 贊同0