WebSecurity-CheatSheet

返回目录

Web 安全实践清单

OWASP 2017

websecurity

校验过滤

数值处理:

  • 不正确的数组索引验证/CWE 129: 直接使用外部输入或计算值作为数组索引;编码错误导致的数组索引差一;外部输入作为循环阈值,导致越界访问。

  • 数值类型间的不正确转换/CWE 681: 大类型数向小类型数转换时发生截断;小类型有符号数跨级别转化为大类型无符号数时,中间发生的隐式转换导致数值错误;不同类型参与表达式发生隐式转换,导致计算结果非预期;有符号类型和无符号类型相互转换发生符号错误,参与表达式计算结果非预期。

  • 整数溢出或回绕/CWE 190: 数值变量加减乘运算溢出;数值变量自加、自减运算溢出;指针变量偏移运算溢出。

  • 缓冲区大小计算不正确/CWE 131: 申请内存的大小比实际使用的内存小;申请内存大小的计算表达式计算值比实际使用的内存小。

SQL 注入

  • 执行外部拼接的 SQL 语句。

  • 执行外部传入的整条 SQL 语句。

  • 在配置文件中的 SQL 语句没有使用预编译方式占位符。

  • 校验函数有缺陷或者占位符使用错误。

XSS

  • 通过 HTTP 请求对输入参数注入脚本,利用 HTML 协议多样性,使用不同编码方式构造复杂的脚本,绕过防火墙、参数校验,在页面展现、执行输入数据。

  • 对数据来源于数据库、文件系统等不可信数据源,直接在页面展现、执行输入数据。

  • 富文本控件中内容校验可能被绕开,导致恶意脚本执行。

命令注入

  • 应用主动调用系统命令或者 Shell 脚本完成特定功能时导致的命令注入。

  • 通过语言解释器(OGNL)或者 eval 函数注入代码,调用对应语言的系统调用函数调用系统命令。

  • 通过 SQL 注入调用数据库的系统存储过程,如 xp_cmdshell 等完成命令调用。

CSRF

CSRF (Cross Site Request Forgery,跨站点请求伪造)是一种常见的网络攻击方式,也是在公网提供 HTTP 接口绕不开的一个坎,需要前后端一起配合才能做好 CSRF 防护。

假设有一个银行站点,提供一个 HTTP 接口允许当前登录的用户将其账户中的钱转移到另外一个账户中。该 HTTP 接口定义为:

POST /transfer HTTP/1.1
Host: bank.example.com
Cookie: JSESSIONID=randomid; Domain=bank.example.com; Secure; HttpOnly
Content-Type: application/x-www-form-urlencoded

amount=100.00&routingNumber=1234&account=9876 我们登录该银行网站以后,访问另外一个恶意网站页面,该页面包含如下代码片段:

<form action="https://bank.example.com/transfer" method="post">
<input type="hidden" name="amount" value="100.00" />
<input type="hidden" name="routingNumber" value="evilsRoutingNumber" />
<input type="hidden" name="account" value="evilsAccountNumber" />
<input type="submit" value="Win Money!" />
</form>

如果我们点击上述表单中的提交按钮后,不知不觉中,我们账户中的钱会被转走。这就是一个简单的 CSRF 攻击。CSRF 漏洞攻击的过程中,用户可能没有任何感知,因为可以使用 Javascript 自动完成。CSRF 的攻击请求可以和真实的请求一模一样,服务端无法识别请求的“合法性”。因为请求的所有参数都是已知的,容易被伪造。

为了防范 CSRF 攻击,我们需要保证请求中包含某个信息,该信息是伪造的请求无法提供的,服务端可以判断请求的合法性。可能的防范手段包括:

  • 验证码:要求用户的人工干预,安全有效,但是用户体验很差。

  • HTTP Referer:只信赖可信的 Referer 源。但是,服务端并非总能收到 Referer。例如 1)https 跳转 http 时浏览器可能不发送 Referer;2)某些客户端允许用户自定义 Referer 头域等。

  • CSRF Token:针对 CSRF 问题,目前通行的做法客户端请求中携带一个 Token,服务端收到请求后校验请求中 Token 的合法性。需要注意的是,该 Token 随机生成、不可预测,且被客户端和服务端所共享。Token 一般由服务端生成后保存,客户端可以以某种安全的方式获取到 Token。

客户端向服务端发送请求时携带 CSRF Token 的方式有两种:

  • HTTP 请求头:默认的请求头名称为 X-CSRF-TOKEN,也可以自定义后做配置生效

POST /csrf-required-path HTTP/1.1
Host: www.example.com
Cookie: xxxx
X-XSRF-TOKEN: 8fba1604-8c0d-4619-973c-ac1a79b90298
  • HTTP 请求参数:默认的参数名为_csrf,也可自定义后做配置生效

POST /csrf-required-path HTTP/1.1
Host: www.example.com
Cookie: xxxx
param1=value1&_csrf=8fba1604-8c0d-4619-973c-ac1a79b90298

Todos