网站安全之逻辑漏洞检测 附漏洞修复方案

在网站安全的日常安全检测当中,我们SINE安全公司发现网站的逻辑漏洞占比也是很高的,前段时间某酒店网站被爆出存在高危的逻辑漏洞,该漏洞导致酒店的几亿客户的信息遭泄露,包括手机号,姓名,地址都被泄露,后续带来的损失很大,最近几年用户信息泄露的事件时有发生,给很多企业,酒店都上了一堂生动的安全课。关于网站逻辑漏洞的总结,今天跟大家详细讲解一下。

网站逻辑漏洞

用户的隐私信息属于数据的保护的最高级别,也是最重要的一部分数据,在逻辑漏洞当中属于敏感信息泄露,有些敏感信息还包括了系统的重要信息,比如服务器的版本linux或者windows的版本,以及网站使用的版本,比如php版本,mysql版本,系统开发的版本,像dedecms,ECShop版本等等的信息都属于敏感信息的一部分。这些数据如果被泄露出去,那么入侵者就会尝试多个方法对系统进行攻击,获取到的敏感信息越多,系统受攻击的程度越大。有一些网站的敏感信息包括客户的注册资料,手机号,身份证号码及扫描件,名字,年月日。这些用户的资料如果被泄漏直接受危害的就是客户本身,比如这次酒店客户资料泄漏事件的发生,带来的危害太大了。

那么逻辑漏洞的产生导致敏感信息泄漏主要的过程是什么呢?首先通过用户资料敏感信息的传输过程,传输到网站系统里去并展示,网站的前端以及APP客户端的代码注释,再经由错误代码的安全测试,都会导致敏感信息的泄漏。

用户资料敏感信息是整个系统当中最重要的一部分,打比方,客户要注册一个网站,首先会填写注册资料到网站里去,再点击提交,再客户提交到服务器端的时候,如果网站没有加密或者使用SSL证书加密,都会被攻击者截取获取到客户注册资料内容,导致用户敏感信息泄漏。

举一个简单例子就是某个网站在修改当前用户密码的过程当中,我们SINE安全公司对其进行测试发现post数据里的内容竟然都是明文保存的密码,导致可以被攻击者获取到,进而盗取用户账号密码。

一些敏感信息的显示过程也会泄漏信息,很多网站的开发过程中没有对用户的账号密码这些信息进行加密导致用户登录页面可以看到明文的代码。登录系统查看源代码就可以看到密码。这样也就等于告诉了攻击者,攻击者直接登录了网站的后台。如下图:

网站前端、APP客户端代码的注释导致的泄漏,我们举个简单的例子,某客户的网站后台管理用户登录的页面,我们安全检测发现注释代码里竟然写了网站的管理员账号密码,虽然是注释过的代码,但是仔细一看还是会发现问题。

网站逻辑漏洞修复方案

越来越多的用户敏感信息泄漏事情的发生让我对于用户的数据安全担忧,不得不保护好网站的安全以及用户的敏感数据。关于逻辑漏洞的修复方案,首先从代码进行安全检测,存储用户密码的地方进行严格的过滤,再一个就是敏感的信息在传输过程,以及显示到网站里的时候都要进行加密,MD5加密,数据SSL加密传输,重要的数据尽可能的使用POST的提交方式进行,用户密码要使用加强的加密方式MD5+特殊编码的方式进行加密,对于网站的一些报错页面也要禁止掉回显,网站逻辑漏洞修复,需要很多专业的知识,也不仅仅是知识,还需要大量的经验积累,所以从做网站到维护网站,维护服务器,尽可能找专业的网站安全公司来解决问题,国内也就Sinesafe和绿盟、启明星辰等安全公司比较专业.

希望以上对逻辑漏洞的介绍,以及逻辑漏洞的修复方案能帮到正在需要的你,安全你我他,有多分享,就有多安全。

原文地址:https://www.cnblogs.com/wangzhananquan/p/10120473.html

时间: 2024-10-13 09:25:46

网站安全之逻辑漏洞检测 附漏洞修复方案的相关文章

网站安全之逻辑漏洞检测 附网站漏洞修复方案

在网站安全的日常安全检测当中,我们SINE安全公司发现网站的逻辑漏洞占比也是很高的,前段时间某酒店网站被爆出存在高危的逻辑漏洞,该漏洞导致酒店的几亿客户的信息遭泄露,包括手机号,姓名,地址都被泄露,后续带来的损失很大,最近几年用户信息泄露的事件时有发生,给很多企业,酒店都上了一堂生动的安全课.关于网站逻辑漏洞的总结,今天跟大家详细讲解一下.网站逻辑漏洞 用户的隐私信息属于数据的保护的最高级别,也是最重要的一部分数据,在逻辑漏洞当中属于敏感信息泄露,有些敏感信息还包括了系统的重要信息,比如服务器的

Bash漏洞批量检测工具与修复方案

<img src="http://image.3001.net/images/20140928/14118931103311.jpg!small" title="shellshock-bug-bash-bashbug-938x535.jpg"/></strong></span>&a

CMS网站漏洞检测对获取管理员密码漏洞如何修复

PbootCMS是网站常用的一款CMS系统,是由国内著名程序开发商翔云科技研发的一套网站CMS系统,免费开源,扩展性较高,使用的企业很多但是避免不了网站存在漏洞,SINE安全对其代码进行安全审计的同时发现该pbootcms 存在严重的漏洞,包含SQL注入获取管理员密码漏洞,以及远程代码注入执行漏洞.该pbootcms系统采用的是PHP语言开发,数据库是MYSQL,并支持pgsql数据库大并发处理,系统默认支持的服务器环境,PHP5.3版本以上,以及mysql版本5.6,apache,nginx,

纯干货:微软漏洞中国第一人黄正——如何用正确姿势挖掘浏览器漏洞(附完整 PPT)

导语:黄正,百度安全实验室 X-Team 掌门人.他在这里分享了诸多漏洞挖掘的干货,目标成为大神黑客的你不能错过. 浏览器就像一扇窗,通过这扇窗,黑客可以攻入电脑的心脏. 就像情场高手,通过眼睛,融化一个人的心灵. 黄正,百度安全实验室 X-Team 掌门人.2016年,这个信仰"技术可以改变世界"的低调黑客大牛以一己之力挖掘无数浏览器漏洞,创下了排名微软 MSRC 2016 年度黑客贡献榜中国区第一(世界第八)的壮举. 从一个安全开发工程师华丽转身,成为安全研究员,黄正最终站在了中国

随缘php企业网站管理系统V2.0 shownews.php注入漏洞

程序名称:随缘网络php企业网站管理系统2.0免费版 以下为系统的功能简介: 1.采用div+css布局经测试兼容IE及firefox主流浏览器,其他浏览器暂未测试. 2.产品新闻三级无限分类. 3.后台可设置诸如管理员帐号密码,网站标题,网站底部版权等信息. 4.后台采用最新版xhEditor编辑器,xhEditor是一个基于jQuery开发的跨平台开源迷你XHTML编辑器组件. 5.后台图片栏目可以对相关的幻灯,友情链接,logo,banner等进行修改设置. 5.后台可批量删除产品新闻.

阿里云提出的漏洞(Phpcms V9某处逻辑问题导致getshell漏洞解决方法)的问题

最近从阿里云云盾检测流出来的,相比使用阿里云服务器的朋友已经收到漏洞提醒:Phpcms V9某处逻辑问题导致getshell漏洞解决方法,这个漏洞怎么办呢?CMSYOU在这里找到针对性解决办法分享给大家. 漏洞详情: 漏洞名称:phpcms某处逻辑问题导致getshell 补丁编号:7843523 补丁文件:/phpcms/libs/classes/attachment.class.php 补丁来源:云盾自研 更新时间:2016-09-20 13:03:10 漏洞描述:phpcms的/phpcm

小米范工具系列之八:小米范越权漏洞检测工具

小米范越权漏洞检测工具主要是检测网站越权漏洞的工具. 原理: 此工具内置了三个浏览器,三个浏览器完全独立,目前采用的是chrome内核,我们可以为三个浏览器使用不同的用户登录目标网站,或者 为三个浏览器设置不同的cookie,然后让他们同时去访问同一个url或者发送同样的请求,观察三个浏览器的页面变化,加入这个url或这个请求 只有管理员才能访问,那么三个浏览器所登录的用户如果没有管理员权限却访问正常则可能存在越权漏洞.界面如下: 目前操作模式主要有两种: 一.2.3号浏览器与1号浏览器同步.

[漏洞检测]Proxpy Web Scan设计与实现(未完待续)

Proxpy Web Scan设计与实现 1.简介:          Proxpy Web Scan是基于开源的python漏洞扫描框架wapiti改造的web漏洞扫描器,其主要解决以下几个问题而生: (1).当前互联网业务处于快速发展阶段,由于小版本更新迭代快,很难做到发布前必定经过安全测试.此外,安全小组面临安全人员不足和人工安全测试重复性工作过高的问题, (2).当前业界的漏洞扫描器更多的是基于简单的爬虫加扫描引擎的模式,可定制化幅度小,易用性和可扩展性都不是太好,如果要嵌入到发布流程则

移动App开发工具和移动应用漏洞检测工具

移动应用开发工具和移动应用漏洞检测工具,另外,HTML5提供了很多易于移动web开发的特性.例如,所有的网站都是开发放式的,不需要授权:开发者所创造的利润全部归自己所有.无疑,HTML5正在升温,它所体现出来的优势也在不断增加. 移动应用开发工具和移动应用漏洞检测工具,最新版本的HTML5,可以存储数据,也就是说,数据不再需要与设备绑定.HTML5给人们所带来的好处远不止这些.当然,也可能会有些小问题,比如:连接问题.有时速度会很慢,这也许和开发技术有关.虽然存在不足,但是HTML5的优势是不可