常见安全漏洞修复方法

序号uGF拜客生活常识网

漏洞类别
(一级)uGF拜客生活常识网

漏洞类别
(二级)uGF拜客生活常识网

安全设计&开发uGF拜客生活常识网

uGF拜客生活常识网

1uGF拜客生活常识网

SQL注入uGF拜客生活常识网

SQL注入uGF拜客生活常识网

漏洞简介:
本质：构造畸形的输入，从而改变原查询语句的语义
原因：系统后台对用户输入的参数未进行任何处理，直接代入SQL语句
漏洞危害：
数据库信息泄露、添加系统账号、读写文件获取Webshell等
防御策略:
1 权限最小原则
使用最小权限原则，避免root等高级账号在Web应用中的直接使用；
所用账号不应分配建立、删除数据库/表的权限(create table/drop table)，以及操作本地文件的权限；
2 严格过滤用户输入
严格审查包含select、union、delete、drop等SQL关键字的内容；
严格审查包含二进制数据、转义序列和注释字符的输入内容；
使用Web语言、数据库厂商提供的“安全函数”处理用户输入；
校验用户输入内容的大小和数据类型,强制执行适当的限制与转换；
3 使用预编译语句
Web应用程序使用预编译语句，绑定变量，是防范SQL注入的最佳方式uGF拜客生活常识网

uGF拜客生活常识网

2uGF拜客生活常识网

XSS漏洞uGF拜客生活常识网

XSS漏洞uGF拜客生活常识网

漏洞简介:
代码注入的一种。攻击者通过“HTML注入”的形式篡改了网页内容、插入了恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。
漏洞危害:
窃取Cookie、XSS蠕虫、DDoS（JavaScript脚本能执行的功能都涵盖）
防御策略:
1 Coookie设置Httponly属性:避免XSS窃取用户Cookie。（浏览器会禁止页面的JavaScript代码读取带有HttpOnly属性的Cookie）
2 输入检查: 检查用户输入的数据是否包含一些特殊字符，如: <、 >、"、'等。可首先在客户端用JavaScript进行检查，但在服务器端必须再次检查一次，因为客户端的检查很容易绕过。其中，客户端检查可阻挡部分误操作的正常用户，节省服务器资源、避免安全产品误报。
3 输出检查:在输出数据之前，需对字符串进行编码处理。注意: 不同的输出位置应采用不同的编码方式:
(1) 输出到HTML普通标签、HTML普通属性中: 需要进行HTML实体编码,如: 使用 ESAPI 的 ESAPI.encoder().encodeForHTMLAttribute() 方法进行转码
& –> &
< –> <
> –> >
” –> "
' –> '
其中，普通标签指除script外的标签，普通属性指除href、src、style、action、on事件之外的属性
(2) 输出到中script标签、on事件属性中: 需要进行JavaScript编码, 如: 使用 ESAPI 的 ESAPI.encoder().encodeForJavaScript() 方法进行转码
(3) 输出到CSS(css文件、style标签、style属性)中: 需要进行CSS编码, 如: 使用 ESAPI 的 ESAPI.encoder().encodeForCSS() 方法进行转码
(4) 输出到URL(href属性)中: 需要进行URL编码，如:使用 ESAPI 的 ESAPI.encoder().encodeForURL() 方法进行转码uGF拜客生活常识网

uGF拜客生活常识网

3uGF拜客生活常识网

文件上传漏洞uGF拜客生活常识网

文件上传漏洞uGF拜客生活常识网

漏洞简介:
文件上传漏洞是指由于系统未对上传的文件进行严格的验证和过滤，导致用户可以越过其本身权限向服务器上传可执行的脚本文件,如:PHP、JSP、ASP等,并通过此脚本在服务端执行命令的一种攻击。
利用条件:
1、上传的文件能躲避服务端安全检查: 文件压缩、防火墙、安全狗等
2、攻击者能够访问到上传的文件路径: 文件路径 + 文件名
3、上传的文件能够被服务器解释执行: 脚本类型需要正确,文件夹所在路径被Web容器覆盖
漏洞场景:
1、前端文件上传限制被绕过
2、服务器配置不当直接上传
3、文件解析漏洞导致文件执行
4、服务端过滤不严或被绕过
5、文件路径截断上传
6、第三方应用漏洞导致文件上传，如:FCKEditor上传漏洞
7、开发框架漏洞导致文件上传,如: Struts2
防御策略:
1、上传目录设置为不可执行:Web容器不解析上传目录中的文件,即使攻击者成功上传Webshell,
服务器也不会执行脚本
2、在服务端严格判断文件类型: 以白名单形式进行"文件扩展名检查 + 文件头检查"
3、随机生成文件名和文件路径
4、单独设置文件服务器的域名uGF拜客生活常识网