OWASP 10要素增强Web应用程序安全

OWASP 10要素增强Web应用程序安全随着Web应用程序的增多，随之而来的就是这些Web应用程序所带来的安全漏洞。

不遵从规范化的编码指导，会使企业、员工以及企业的客户面对严重的安全风险，遭到各种恶意攻击。

我们将向大家介绍Open Web Application Security Project (开放式Web应用程序安全项目，OWASP) 10要素，以及OWASP建议大家在软件开发生命周期中应该嵌入的标准化方法。

商业风险现在的企业都在向客户提供通过浏览器访问企业信息的功能，同时集成Web服务的应用程序也越来越多，这些都导致企业所面临的风险不断增加。

这并不代表开发人员没有认真的对待程序开发工作，只是当Web应用程序的数量越来越多，其潜在的隐患也会越来越频繁的暴露在互联网下。

根据OWASP的观点：“当企业发布了一个Web应用程序，它们就是在邀请全球的网民向其发送HTTP请求。

而攻击内容也可以随着这些正常的HTTP请求穿过防火墙，过滤系统，系统平台上的安全措施以及网络中的入侵检测系统，而不被企业所发现。

这意味着企业的Web应用程序代码本身就是企业安全围墙的一部分。

随着企业所采用的Web应用程序数量和复杂度的增加，企业的安全围墙将更多的暴露在网络中。

”目前，企业所开发的很多新应用程序都是Web应用程序。

另外，Web服务也越来越频繁的被用来集成Web应用程序或与Web应用程序进行交互。

所带来的问题就是，Web应用程序和服务的增长已经超越了程序开发人员所接受的安全培训以及安全意识的范围。

随着存在安全隐患的Web应用程序数量的增长，OWASP也总结出了Web应用程序的十大脆弱点。

在这个10要素列表中，不但包括了Web应用程序的脆弱性介绍，还包括了OWASP的建议内容，帮助程序开发人员和企业尽量避免这些脆弱点给企业系统带来的风险。

OWASP 10要素中还包括了一个指南，帮助企业决定该如何向客户提供信息。

比如联邦贸易委员会（FTC）就在2003年1月的商业案例文档中将这个列表作为了信息安全的参考内容。

同年，FTC还将OWASP 10要素列表作为指控Guess公司没有尽力做好客户的信息安全保护工作的参考资料。

10要素列表以下列表来自OWASP 10要素项目: (OWASP, 2006):（1）Unvalidated Input非法输入--在数据被输入程序前忽略对数据合法性的检验，是一个常见的编程漏洞。

随着我们对Web应用程序脆弱性的调查，非法输入的问题已经成为了大多数Web应用程序安全漏洞的一个主要特点。

（2）Broken Access Control 失效的访问控制--大部分企业都非常关注对已经建立的连接进行控制，但是，允许一个特定的字符串输入可以让攻击行为绕过企业的控制。

（3）Broken Authentication and Session Management失效的账户和线程管理--良好的访问控制并不代表万事大吉了。

企业还应该保护用户的密码，会话令牌，账户列表以及其它任何可以给攻击者提供有利信息帮助他们攻击企业网络的内容。

（4）Cross Site Scripting (XSS) Flaws 跨站点脚本攻击--XSS是一种常见的攻击。

当攻击脚本被嵌入企业的Web页面或其它可以访问的Web资源中，当没有保护能力的台式机访问这个页面或资源时，脚本就会被启动。

这种问题可以影响成百上千的员工以及企业客户的终端电脑。

（5）Buffer Overflows缓存溢出--缓存溢出问题一般出现在较早的编程语言如C语言编写的程序中。

这种编程错误其实也是由于没有很好的确定输入内容在内存中的位置所草成的。

在本文的后续部分中，我们会讲到，通过一些高级的编程环境，如Java以及.Net，可以很好的控制此类问题。

（6）Injection Flaws 注入式攻击--如果没有成功的阻止带有语法含义的输入内容，有可能导致对数据库信息的非法访问。

比如在Web表单中输入的内容，应该保持简单，并且不应该还有可被执行的代码内容。

（7）Improper Error Handling 异常错误处理--当错误发生时，向用户提交错误提示是很正常的事情，但是如果提交的错误提示中包含了太多的内容，就有可能会被攻击者分析出网络环境的结构或配置。

（8）Insecure Storage 不安全的存储--对于Web应用程序来说，妥善的保存密码，用户名，以及其它与身份验证有关的信息是非常重要的工作。

对这些信息进行加密是非常有效的方式，但是一些企业会采用那些未经实践验证的加密解决方案，其中就可能存在漏洞。

（9）Application Denial of Service 程序拒绝服务--与拒绝服务攻击(DoS)类似，应用程序的DoS攻击利用大量非法用户抢占应用程序资源，导致合法用户无法使用该Web应用程序。

（10）Insecure Configuration Management不安全的配置管理--有效的配置管理过程可以为Web应用程序和企业的网络架构提供良好的保护。

针对以上列表，我有两点要说明一下。

首先，这个列表并不能涵盖企业的Web应用程序中的全部脆弱点，它只是OWASP的成员组织最常遇到的问题，因此也是你应该着重检查的内容。

第二，这个列表并没有先后顺序。

它只是根据每个OWASP成员根据自己企业的Web应用程序环境的脆弱性所排列的。

OWASP一直在更新它的10大脆弱性排名。

先前已有发表有关2004年OWASP十大排名的文章，这里笔者想深入探究这些OWASP相信会给网络应用环境带来最高风险的10大脆弱性。

在该系列的第1部分中，我给出了2004年的OWASP 10大脆弱性列表。

那篇文章不久，我收到了一封来自Andrew van der Stock，OWASP的执行理事的电子邮件。

信中他叫我关注即将修订的新列表。

OWASP计划在三月份发布2007年10大脆弱性清单。

因此，现在我也要修订一下我的这个系列，把2007年的脆弱性包括进来。

2007年OWASP的10大排名：2004和2007年的名单有些类似，见表A。

其中，未经验证的输入（Unvalidated input）、缓存溢出（buffer overflows）、不安全的配置管理（insecure configuration management），以及拒绝服务（denial of service）被去除了。

另一方面，损坏的验证和会话管理（broken authentication and session management）被一分为二，作为两项列入。

列表中包含的新脆弱性有（根据RC1）：A3.不安全的远程文件包含（Insecure Remote File Include）：对远程文件包含易感的代码允许攻击者包含进入恶意的代码和数据，最后导致破坏性攻击，比如，服务器被完全攻陷。

∙ A5.跨站请求伪造（Cross Site Request Forgery ，CSRF）：跨站请求伪造攻击会强制一个已登录受害者的浏览器向易受攻击的网络应用程序发送预验证（pre-authenticated ）的请求，然后受害者的浏览器开始执行恶意行为，为攻击者谋利。

∙ A9.不安全的通信( Insecure Communications)：敏感信息总需要保护，可应用程序却常常在给网路交通加密时失败。

2007年的脆弱性选取来自对MITRE 2006年脆弱性趋势进行的10大应用程序安全问题的筛选。

关于2007年OWASP 10大排名，MITRE的数据如图A所示。

图A MITRE脆弱性趋势图表之外其中未经验证的输入被去除了，一开始让人感到有点惊讶。

而且，对2004和2007年的脆弱性列表进行进行一番表面审查，也能发现这个脆弱性是很多其他弱点的共同根由。

然而，这种忽落可能并非那么非常重大，因为在2007年的列表中，许多脆弱性都把合法输入验证作为一项重要的漏洞防御措施。

溢出脆弱性（即，缓存溢出、整数溢出[integer overflow]，及格式串问题[format string issue]）也被忽略了，因为这些问题多出自低级别的开发语言，如C或者C++。

现在最常见的网络开发环境对这类问题不是那么敏感。

图B显示的是各流行的开发环境中溢出脆弱性发生的可能性比较。

图B 溢出脆弱性发生可能性 (来自 OWASP 缓存溢出, 2006) 通过该表可以看出，很显然今天最常使用的开发语言和网络应用程序开发环境（例如，Java、.NET、Perl）都是安全的。

但这不等于说，例如使用.NET技术就能让你完全免疫。

编程语言或者开发环境自身内部的错误可能也会引入些许溢出问题。

另一个企业开发应用程序时常犯的错误是，一方面依赖于开发环境（比如.NET）的安全性，一方面又调用用不安全的低级别语言（如c和c++）写成的外部工具和应用程序。

用不安全语言写的工具和应用程序数目越是巨大，如果把它们整合进入网络应用程序，那么风险也会越大。

尽管拒绝服务（DoS）攻击漏洞现在仍是问题，在MITRE的等级排名上却比较靠后，在这里不能上榜。

但这不应该解释为我们可以不把DoS当回事了。

最后，不安全的配置管理同样也没能进入2007年排名。

这是唯一一项我相信应该保留的脆弱性。

对于确保网络应用程序可靠，维持一个安全、稳定的程序运行环境非常重要。

除了应用程序在其上运行的服务器外，其他下层架构提供的支持服务包括：∙数据存储（Data storage）∙目录服务（Directory services）∙邮件（Mail）∙消息（Messaging）一个有效的配置管理程序是保护信息资产的关键元素。

对网络的攻击都是机会主义的。

换言之，盗密者总是在找容易的目标，攻陷这样的目标所需工作量最低。

基础架构的配置可能不必是网络应用程序的实际组件，但是，它必须提供一个强健的环境，让基于网络的服务得以进行。

结语在接下来的文章中，我将探讨2007年的OWASP 10大排名。

我们要看这些脆弱性排名靠前的原因，及如何防御潜在的漏洞利用。

根据RC1，防御好10大脆弱性可以构建安全基础，降低下列问题的发生可能性：∙钓鱼攻击（Phishing attack），它能够利用上述所有10个脆弱性，尤其是XSS、低强度或者不存在的鉴别（authentication）或者授权检查（authorization check）。

∙隐私侵犯（Privacy violation），这由不充分的合法性检查、不完善的商业规则、和不够强的授权检查造成。

∙身份盗窃（Identity theft），这由弱或者没有加密控制、远程文件包含，及鉴别、商业规则和授权检查的问题造成。

跨站点脚本是Web程序很常见的漏洞，不论是个人用户还是商业用户，都会由于这种漏洞而遭受攻击。