2015-09-01 分類: 網(wǎng)站建設(shè)
XSS跨站以及CSRF攻擊,在目前的滲透測試,以及網(wǎng)站漏洞檢測中 ,經(jīng)常的被爆出有高危漏洞,我們在對客戶網(wǎng)站進(jìn)行滲透測試時,也常有的發(fā)現(xiàn)客戶網(wǎng)站以及APP存在以上的漏洞,其實(shí)CSRF以及XSS跨站很容易被發(fā)現(xiàn)以及利用,在收集客戶網(wǎng)站域名,以及其他信息的時候,大體的注意一些請求操作,前端輸入,get,post請求中,可否插入csrf代碼,以及XSS代碼。
通常我們在滲透測試客戶網(wǎng)站是否存在csrf漏洞,首先采用點(diǎn)擊的形式去測試漏洞,在一個網(wǎng)站功能上利用點(diǎn)擊的方式繞過安全效驗(yàn)與攔截,從技術(shù)層面上來講,點(diǎn)擊的請求操作來自于信任的網(wǎng)站,是不會對csrf的攻擊進(jìn)行攔截的,也就會導(dǎo)致CSRF攻擊。再一個檢測漏洞的方式更改請求方式,比如之前網(wǎng)站使用的都是get提交方式去請求網(wǎng)站的后端,我們可以偽造參數(shù),抓包修改post提交方式發(fā)送過去,就可以繞過網(wǎng)站之前的安全防護(hù),直接執(zhí)行CSRF惡意代碼,漏洞產(chǎn)生的原因就是,網(wǎng)站開發(fā)者只針對了GET請求方式進(jìn)行安全攔截,并沒有對post的方式進(jìn)行攔截,導(dǎo)致漏洞的發(fā)生。有些客戶網(wǎng)站使用了token來防止XSS跨站的攻擊,在設(shè)計(jì)token的時候沒有考慮到空值是否可以繞過的問題,導(dǎo)致可以token為空,就可以直接將惡意代碼傳入到后端中去。還有的網(wǎng)站APP沒有token的所屬賬戶進(jìn)行效驗(yàn),導(dǎo)致可以利用其它賬戶的token進(jìn)行CSRF代碼攻擊。
那如何防止XSS csrf攻擊? 如何修復(fù)該網(wǎng)站漏洞
根據(jù)我們十多年來總結(jié)下來的經(jīng)驗(yàn),針對XSS,csrf漏洞修復(fù)方案是:對所有的GET請求,以及POST請求里,過濾非法字符的輸入。'分號過濾 --過濾 %20特殊字符過濾,單引號過濾,%百分號,<>,and過濾,tab鍵值等的的安全過濾。使用token對csrf的請求進(jìn)行安全效驗(yàn)與攔截,對token的控制進(jìn)行邏輯功能判斷,如果發(fā)現(xiàn)token值為空,直接返回404錯誤,或者攔截該值為空的請求,還有要對token的所屬賬戶進(jìn)行效驗(yàn),判斷該token是否為當(dāng)前賬戶的,如果不是就攔截掉該請求,或者返回錯誤頁面。
使用session與token的雙層安全效驗(yàn),如果seeion與token值不對等,與你的加密算法不一致,就將該請求過濾攔截掉,如果兩個的值與加密算出來的值相等,就是合法的請求,但是加密算法一定要隱藏掉,寫入到后端,不要被逆向破解掉。對referer字段進(jìn)行安全效驗(yàn),檢查URL是否是白名單里的,對于referer為空直接攔截掉該請求,URL的白名單要含有WWW,拒絕二級域名的請求。以上就是關(guān)于滲透測試中發(fā)現(xiàn)的xss csrf漏洞修復(fù)方案,如果您對網(wǎng)站代碼不是太懂的話,不知道該如何修復(fù)漏洞,可以找專業(yè)的網(wǎng)站安全公司來處理解決。針對漏洞的修復(fù)就到這里了,安全提示:網(wǎng)站,APP在上線的同時,一定要對網(wǎng)站進(jìn)行滲透測試服務(wù),檢測網(wǎng)站存在的漏洞,以及安全隱患,防止后期網(wǎng)站運(yùn)行中出現(xiàn)一些沒有必要的損失。
分享題目:網(wǎng)站漏洞檢測 CSRF代碼攻擊與加固方案
標(biāo)題鏈接:http://m.newbst.com/news/36665.html
成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián),為您提供微信公眾號、網(wǎng)站內(nèi)鏈、電子商務(wù)、品牌網(wǎng)站設(shè)計(jì)、虛擬主機(jī)、營銷型網(wǎng)站建設(shè)
聲明:本網(wǎng)站發(fā)布的內(nèi)容(圖片、視頻和文字)以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主,如果涉及侵權(quán)請盡快告知,我們將會在第一時間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場,如需處理請聯(lián)系客服。電話:028-86922220;郵箱:631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載,或轉(zhuǎn)載時需注明來源: 創(chuàng)新互聯(lián)
猜你還喜歡下面的內(nèi)容