安全研究

Web漏洞含義解釋


跨站(zhàn)攻擊

漏洞描述

跨站(zhàn)腳本攻擊(Cross-site scripting,通常簡稱爲XSS)發生在客戶端,可被用(yòng)于進行竊取隐私、釣魚欺騙、偷取密碼、傳播惡意代碼等攻擊行爲。 惡意的攻擊者将對(duì)客戶端有危害的代碼放(fàng)到(dào)服務器上(shàng)作(zuò)爲一個網頁内容, 使得其他(tā)網站(zhàn)用(yòng)戶在觀看(kàn)此網頁時(shí),這(zhè)些(xiē)代碼注入到(dào)了(le)用(yòng)戶的浏覽器中執行,使用(yòng)戶受到(dào)攻擊。一般而言,利用(yòng)跨站(zhàn)腳本攻擊,攻擊者可竊會(huì)話(huà)COOKIE從(cóng)而竊取網站(zhàn)用(yòng)戶的隐私,包括密碼。

XSS攻擊使用(yòng)到(dào)的技術主要爲HTML和(hé)Javascript,也(yě)包括VBScript和(hé)ActionScript等。XSS攻擊對(duì)WEB服務器雖無直接危害,但(dàn)是它借助網站(zhàn)進行傳播,使網站(zhàn)的使用(yòng)用(yòng)戶受到(dào)攻擊,導緻網站(zhàn)用(yòng)戶帳号被竊取,從(cóng)而對(duì)網站(zhàn)也(yě)産生了(le)較嚴重的危害。

漏洞危害

1) 釣魚欺騙:最典型的就是利用(yòng)目标網站(zhàn)的反射型跨站(zhàn)腳本漏洞将目标網站(zhàn)重定向到(dào)釣魚網站(zhàn),或者注入釣魚JavaScript以監控目标網站(zhàn)的表單輸入,甚至發起基于DHTML更高(gāo)級的釣魚攻擊方式。

2) 網站(zhàn)挂馬:跨站(zhàn)時(shí)利用(yòng)IFrame嵌入隐藏的惡意網站(zhàn)或者将被攻擊者定向到(dào)惡意網站(zhàn)上(shàng),或者彈出惡意網站(zhàn)窗口等方式都可以進行挂馬攻擊。

3) 身份盜用(yòng):Cookie是用(yòng)戶對(duì)于特定網站(zhàn)的身份驗證标志,XSS可以盜取到(dào)用(yòng)戶的Cookie,從(cóng)而利用(yòng)該Cookie盜取用(yòng)戶對(duì)該網站(zhàn)的操作(zuò)權限。如果一個網站(zhàn)管理(lǐ)員用(yòng)戶Cookie被竊取,将會(huì)對(duì)網站(zhàn)引發巨大(dà)的危害。

4) 盜取網站(zhàn)用(yòng)戶信息:當能(néng)夠竊取到(dào)用(yòng)戶Cookie從(cóng)而獲取到(dào)用(yòng)戶身份使,攻擊者可以獲取到(dào)用(yòng)戶對(duì)網站(zhàn)的操作(zuò)權限,從(cóng)而查看(kàn)用(yòng)戶隐私信息。

5) 垃圾信息發送:比如在SNS社區(qū)中,利用(yòng)XSS漏洞借用(yòng)被攻擊者的身份發送大(dà)量的垃圾信息給特定的目标群。

6) 劫持用(yòng)戶Web行爲:一些(xiē)高(gāo)級的XSS攻擊甚至可以劫持用(yòng)戶的Web行爲,監視(shì)用(yòng)戶的浏覽曆史,發送與接收的數據等等。

7) XSS蠕蟲:XSS 蠕蟲可以用(yòng)來(lái)打廣告、刷流量、挂馬、惡作(zuò)劇(jù)、破壞網上(shàng)數據、實施DDoS攻擊等。


CRLF攻擊

漏洞描述

HTTP響應拆分漏洞,也(yě)叫CRLF注入攻擊。CR、LF分别對(duì)應回車、換行字符。

HTTP頭由很(hěn)多被CRLF組合分離的行構成,每行的結構都是“鍵:值”。

如果用(yòng)戶輸入的值部分注入了(le)CRLF字符,它有可能(néng)改變的HTTP報(bào)頭結構。

漏洞危害

攻擊者可能(néng)注入自(zì)定義HTTP頭。例如,攻擊者可以注入會(huì)話(huà)cookie或HTML代碼。這(zhè)可能(néng)會(huì)進行類似的XSS(跨站(zhàn)點腳本)或會(huì)話(huà)固定漏洞。


SQL注入攻擊

漏洞描述

SQL注入攻擊(SQL Injection),簡稱注入攻擊、SQL注入,被廣泛用(yòng)于非法獲取網站(zhàn)控制權,是發生在應用(yòng)程序的數據庫層上(shàng)的安全漏洞。 在設計(jì)不良的程序當中,忽略了(le)對(duì)輸入字符串中夾帶的SQL指令的檢查,那麽這(zhè)些(xiē)夾帶進去的指令就會(huì)被數據庫誤認爲是正常的SQL指令而運行, 從(cóng)而使數據庫受到(dào)攻擊,可能(néng)導緻數據被竊取、更改、删除,以及進一步導緻網站(zhàn)被嵌入惡意代碼、被植入後門(mén)程序等危害。

漏洞危害

1) 機密數據被竊取

2) 核心業務數據被篡改

3) 網頁被篡改

4) 數據庫所在服務器被攻擊變爲傀儡主機,甚至企業網被入侵。


寫入webshell攻擊

漏洞描述

寫入webshell攻擊,是指WAF檢測到(dào)攻擊者正在往用(yòng)戶網站(zhàn)寫入網頁木(mù)馬,企圖控制服務器。

漏洞危害

攻擊者可以在用(yòng)戶網站(zhàn)上(shàng)寫入一個web木(mù)馬後門(mén),用(yòng)于操作(zuò)用(yòng)戶網站(zhàn)上(shàng)的文(wén)件,執行命令等等。


本地文(wén)件包含

漏洞描述

本地文(wén)件包含是指程序代碼在處理(lǐ)包含文(wén)件的時(shí)候沒有嚴格控制。

利用(yòng)這(zhè)個漏洞,攻擊者可以先把上(shàng)傳的靜态文(wén)件,或網站(zhàn)日志文(wén)件作(zuò)爲代碼執行,進而獲取到(dào)服務器權限,造成網站(zhàn)被惡意删除,用(yòng)戶和(hé)交易數據被篡改等一系列惡性後果。

漏洞危害

攻擊着可以利用(yòng)該漏洞,在服務器上(shàng)執行命令。


遠程文(wén)件包含

漏洞描述

遠程文(wén)件包含是指程序代碼在處理(lǐ)包含文(wén)件的時(shí)候沒有嚴格控制。導緻用(yòng)戶可以構造參數包含遠程代碼在服務器上(shàng)執行,進而獲取到(dào)服務器權限,造成網站(zhàn)被惡意删除,用(yòng)戶和(hé)交易數據被篡改等一系列惡性後果。

漏洞危害

攻擊着可以利用(yòng)該漏洞,在服務器上(shàng)執行命令。


遠程代碼執行

漏洞描述

代碼注入是指由于服務端代碼漏洞導緻惡意用(yòng)戶輸入在服務端被執行的一種高(gāo)危安全漏洞。

漏洞危害

利用(yòng)該漏洞,可以在服務器上(shàng)執行攻擊者拼裝的代碼。


FastCGI攻擊

漏洞描述

Nginx中存在一個較爲嚴重的安全問題,FastCGI模塊默認情況下(xià)可能(néng)導緻服務器錯誤的将任何類型的文(wén)件以PHP的方式進行解析。

漏洞危害

這(zhè)将導緻嚴重的安全問題,使得惡意的攻擊者可能(néng)攻陷支持php的Nginx服務器。

Copyright © 2019 All Rights Reserved Designed
杭州卓測網絡科技有限公司