許多客戶在網(wǎng)站，以及APP上線的同時(shí)，都會(huì)提前的對(duì)網(wǎng)站進(jìn)行全面的滲透測(cè)試以及安全檢測(cè)，提前檢測(cè)出存在的網(wǎng)站漏洞，以免后期網(wǎng)站發(fā)展過(guò)程中出現(xiàn)重大的經(jīng)濟(jì)損失，前段時(shí)間有客戶找到我們SINE安全公司做滲透測(cè)試服務(wù)，在此我們將把對(duì)客戶的整個(gè)滲透測(cè)試過(guò)程以及安全測(cè)試，發(fā)現(xiàn)的漏洞都記錄下來(lái)，分享給大家，也希望大家更深的去了解滲透測(cè)試。

在對(duì)客戶的網(wǎng)站進(jìn)行服務(wù)的同時(shí)，我們首先要了解分析數(shù)據(jù)包以及網(wǎng)站的各項(xiàng)功能，有助于我們?cè)跐B透測(cè)試中發(fā)現(xiàn)漏洞，修復(fù)漏洞，綜合客戶網(wǎng)站的架構(gòu)，規(guī)模，以及數(shù)據(jù)庫(kù)類型，使用的服務(wù)器系統(tǒng)，是windows還是linux，前期都要收集信息，做到知彼知己百戰(zhàn)不殆。只有真正的了解了網(wǎng)站，才能一層一層的找出漏洞所在。網(wǎng)站使用的是php語(yǔ)言開發(fā)，采用是mysql數(shù)據(jù)庫(kù)，客戶服務(wù)器用的是linux centos系統(tǒng)，用phpstudy一鍵環(huán)境搭建，PHP的版本是5.5，mysql數(shù)據(jù)庫(kù)版本是5.6.客戶網(wǎng)站是一個(gè)平臺(tái)，采用會(huì)員登錄，功能基本都是一些交互性的，會(huì)員資料修改，銀行卡添加，充值與提現(xiàn)，在線反饋等等。

下面開始我們的整個(gè)滲透測(cè)試過(guò)程，首先客戶授權(quán)我們進(jìn)行網(wǎng)站安全測(cè)試，我們才能放開手的去干，首先檢測(cè)的是網(wǎng)站是否存在SQL注入漏洞，我們SINE安全在檢測(cè)網(wǎng)站是否有sql注入的時(shí)候都會(huì)配合查看mysql數(shù)據(jù)庫(kù)的日志來(lái)查詢我們提交的SQL語(yǔ)句是否成功的執(zhí)行，那么很多人會(huì)問(wèn)該如何開啟數(shù)據(jù)庫(kù)的日志，如何查看呢？首先連接linux服務(wù)器的SSH端口，利用root的賬號(hào)密碼進(jìn)服務(wù)器，打開mysql的配置文件mysqld.cnf編輯general_log_file=（log日志的地址），general_log=1，在服務(wù)器里輸入tail -f （log地址），來(lái)查看實(shí)時(shí)的數(shù)據(jù)庫(kù)語(yǔ)句執(zhí)行日志。當(dāng)我們SINE安全技術(shù)在測(cè)試SQL注入漏洞的時(shí)候，就會(huì)實(shí)時(shí)的看到是否有惡意的SQL語(yǔ)句執(zhí)行成功，如果有那么數(shù)據(jù)庫(kù)日志就會(huì)出現(xiàn)錯(cuò)誤提示，在滲透測(cè)試中是很方便的，也更利于查找漏洞。

這里不詳細(xì)的分析代碼了，我們?cè)跍y(cè)試中發(fā)現(xiàn)平臺(tái)的后臺(tái)管理頁(yè)面存在SQL注入漏洞，當(dāng)管理員登錄后臺(tái)的時(shí)候我們看到guanlilogin.php里POST到guanlicheck.php來(lái)對(duì)管理員的賬號(hào)密碼進(jìn)行驗(yàn)證，在驗(yàn)證的過(guò)程中g(shù)uanlicheck.php并沒(méi)有對(duì)傳入過(guò)來(lái)的參數(shù)進(jìn)行安全效驗(yàn)，導(dǎo)致SQL注入漏洞的產(chǎn)生，具體代碼如下

代碼里的getenv參數(shù)是獲取前端用戶的https頭信息，通過(guò)數(shù)據(jù)比對(duì)，如果頭信息大那么久返回0值然后再將IP賦值進(jìn)去，通俗來(lái)講就是沒(méi)有任何的安全效驗(yàn)與攔截，直接將變量的IP帶入到mysql據(jù)庫(kù)。所以造成了SQL注入漏洞的產(chǎn)生。那么滲透測(cè)試中發(fā)現(xiàn)SQL注入漏洞就是高危漏洞，帶來(lái)的危害較大，可以篡改數(shù)據(jù)，修改數(shù)據(jù)庫(kù)，可以將管理員的密碼重置，或者是獲取所有的用戶賬號(hào)密碼等信息。發(fā)生用戶信息泄露，利用數(shù)據(jù)庫(kù)的權(quán)限修改管理員密碼登錄后臺(tái)進(jìn)行下一步的提權(quán)操作，上傳webshell，控制網(wǎng)站代碼。

接下來(lái)還得檢測(cè)網(wǎng)站的各項(xiàng)功能以及APP功能是否存在邏輯漏洞，越權(quán)漏洞，水平垂直等等，我們SINE安全技術(shù)詳細(xì)的對(duì)每一個(gè)功能都測(cè)試很多遍，一次，兩次，多次的反復(fù)進(jìn)行，在用戶重置密碼功能這里發(fā)現(xiàn)有漏洞，正常功能代碼設(shè)計(jì)是這樣的流程，首先會(huì)判斷用戶的賬號(hào)是否存在，以及下一步用戶的手機(jī)號(hào)碼是否與數(shù)據(jù)庫(kù)里的手機(jī)號(hào)一致，這里簡(jiǎn)單的做了一下安全效驗(yàn)，但是在獲取手機(jī)號(hào)驗(yàn)證碼的時(shí)候并沒(méi)有做安全效驗(yàn)，導(dǎo)致可以修改post數(shù)據(jù)包，將手機(jī)號(hào)碼修改為任意手機(jī)號(hào)來(lái)獲取驗(yàn)證碼，利用驗(yàn)證碼來(lái)修改重置密碼。

如何修復(fù)滲透測(cè)試中的SQL注入漏洞呢？

在對(duì)前端輸入過(guò)來(lái)的值進(jìn)行安全判斷，確認(rèn)變量值是否存在，如果存在將不會(huì)覆蓋，杜絕變量覆蓋導(dǎo)致?lián)饺霅阂鈽?gòu)造的sql注入語(yǔ)句代碼在GET請(qǐng)求，以及POST請(qǐng)求里，過(guò)濾非法字符的輸入。 '分號(hào)過(guò)濾 --過(guò)濾 %20特殊字符過(guò)濾，單引號(hào)過(guò)濾，%百分號(hào)， and過(guò)濾，tab鍵值等的的安全過(guò)濾。如果對(duì)代碼不是太懂的話，也可以找專業(yè)網(wǎng)站安全公司來(lái)處理，國(guó)內(nèi)SINESAFE,啟明星辰，綠盟都是比較專業(yè)的。邏輯漏洞的修復(fù)辦法，對(duì)密碼找回功能頁(yè)面進(jìn)行安全效驗(yàn)，檢查所屬賬號(hào)的身份是否是當(dāng)前的手機(jī)號(hào)，如果不是不能發(fā)送驗(yàn)證碼，其實(shí)就是代碼功能的邏輯設(shè)計(jì)出了問(wèn)題，邏輯理順清楚了，就很容易的修復(fù)漏洞，也希望我們SINE安全分享的這次滲透測(cè)試過(guò)程能讓更多的人了解滲透測(cè)試，安全防患于未然。

網(wǎng)頁(yè)名稱：APP中滲透測(cè)試安全檢測(cè)方案詳情
路徑分享：http://jinyejixie.com/news/47174.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供外貿(mào)建站、網(wǎng)頁(yè)設(shè)計(jì)公司、網(wǎng)站建設(shè)、品牌網(wǎng)站制作、網(wǎng)站營(yíng)銷、商城網(wǎng)站

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)