Web应用渗透技术
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
19
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用攻击典型案例
Web渗透测试工具简介
20
Web渗透测试工具简介
OWAS BWA(Broken Web Application)靶机 Metasploit项目由著名的黑客HD Moore于2003年开始开发， 最早作为一个渗透攻击代码的继承软件包而发布。现在的 Metasploit框架中集成了数千个针对主流操作系统平台上， 不同网络服务与应用软件安全漏洞的渗透攻击模块，可以 由用户在渗透攻击场合中根据漏洞扫描结果进行选择，并 且能够自由装配该平台上适用的具有指定功能的攻击载荷， 对目标系统实施远程攻击并获取系统的访问控制权。 Backtrack和Kali Linux： BackTrack 是一个基于 Ubuntu GNU/Linux的发行版本，主要用做数字取证和入侵 测试。BackTrack 给用户集成了大量功能强大但简单易用 的安全工具软件。Kali Linux 1.0于2013年3月发布，是 Backtrack的下一代版本。
11
OWASP Top Ten
④ 会话认证管理缺陷（Broken Authentication and Session Management, BASM）:首次传送Cookie后，便不对 Cookie中的内容进行检查，攻击者便可修改Cookie中的 重要信息，用来提升权限，或是冒用他人账号获取私密 资料。
Web应用渗透测试技术
主讲人：刘 璟
Outline
Web应用渗透技术基础
Web应用漏洞扫描探测
Web应用程序渗透测试
总结
2
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用Hale Waihona Puke Baidu击典型案例
渗透测试工具简介
3
什么是渗透测试
A penetration test (pentest) is a method of evaluating computer and network security by simulating an attack on a computer system or network from external and internal threats*.
⑤ 安全误配臵（Security Misconfiguration）：存在于Web 应用的各层次，譬如Web平台、Web服务器、应用服务 器、程序代码等。 ⑥ 不安全的密码存储（Insecure Cryptographic Storage）
⑦ 不安全的对象参考（Insecure Direct Object References）： 利用Web系统本身的文档读取功能，任意存取系统文档 或资料。
10
OWASP Top Ten
① SQL注入攻击（SQL Injection, SQLi）：指发生在Web 应用对后台数据库查询语句处理存在的安全漏洞。简单 地说，就是在输入字符串中嵌入SQL指令，在设计程序 中忽略了对特殊字符串的检查，嵌入的指令便会被误认 为正常的SQL指令。
② 跨站脚本（Cross-Site Scripting, XSS）：恶意使用者将 程序代码（恶意脚本）注入到网页上，其他使用者在浏 览网页时就会受到不同程度的影响。 ③ 跨站伪造请求（Cross-Site Request Forgery, CSRF）: 属 于XSS的衍生。攻击者利用XSS的注入方式注入一段脚本， 当受害者点击浏览器运行该脚本时，脚本伪造受害者发 送了一个合法请求。
⑤ Anonymous组织和LulzSec组织在此次攻击中使用了SQL 注入、本地文件包含漏洞利用，以及利用僵尸网络发动 DDoS攻击。 ⑥ 原因可能是由于PSN所用的RedHat系统中的Apache服务 器没有及时升级安全补丁，是黑客成功入侵到内网。另 外用户口令以明文或简单的Hash存储。
18
13
OWASP Top Ten
例如： http://www.example.com/application?filedownload=../../../../../etc/pas swd%00
⑧ 限制URL访问失败（Failure to Restrict URL Access）:例 如内部员工使用的未公开URL泄露。
21
Outline
Web应用渗透技术基础
Web应用漏洞扫描探测
Web应用程序渗透测试
总结
22
Web应用漏洞扫描探测
OpenVAS（Open Vulnerability Assessment System）： a open-source framework of several services and tools offering a vulnerability scanning and vulnerability management solution. 简介对滇西开发网web server的扫描结果 W3af：an open-source web application security scanner. The project provides a vulnerability scanner and exploitation tool for Web applications. 简介对滇西开发网web server的扫描结果
CSDN数据泄露门
2011年年底，国内各大网站爆出“口令泄露门”。最先公 布的是著名技术网站CSDN 600万账户和口令泄露事件， 网站由于存在SQL注入漏洞被攻击者利用并下载用户数据 库。 网站对用户的口令竟然是明文存储，由于用户习惯使用同 一用户名和口令注册各种网站，导致用户口令一旦泄露， 所有账户被“一网打尽”。 此后不久，多玩网、世纪佳缘、人人等网站相机爆发类似 “拖库”事件，后来直接导致京东、当当等电商发生了 “撞库”事件，攻击者利用先前网站泄露的数据编写程序 进行大量匹配，查找有余额的账户进行消费，直接导致当 当网迅速关闭买礼品卡充值账户功能。
17
SONY黑客攻击案
④ LulzSec组织不但宣称对某些攻击负责，而且公布了攻击 过程、数据库信息甚至网站源码。声称利用SQL注入攻 击获得了sonypicture.com、sonybmg.nl和sonybmg.be的数 据库信息。含100万索尼美国、荷兰和比利时客户个人信 息，包括明文存储的密码、电子邮件、家庭地址等。
23
Outline
Web应用渗透技术基础
Web应用漏洞扫描探测
Web应用程序渗透测试
总结
24
Web应用程序渗透测试
4
什么是渗透测试
Penetration tests are valuable for several reasons*:
① Identifying higher-risk vulnerabilities that result from a combination of lower-risk vulnerabilities exploited in a particular sequence ② Identifying vulnerabilities that may be difficult or impossible to detect with automated network or application vulnerability scanning software ③ Assessing the magnitude of potential business and operational impacts of successful attacks ④ Testing the ability of network defenders to successfully detect and respond to the attacks
14
OWASP Top 10 2013
A1 Injection A2 Broken Authentication and Session Management A3 Cross-Site Scripting (XSS) A4 Insecure Direct Object References
12
补充知识：cookie
HTTP协议是无状态的。网站为了辨别用户身份而储 存在用户本地终端（Client Side）上的数据（通常经 过简单加密）。 应用范围：保存购物信息、登录凭据等。
Cookie总是保存在客户端中，按在客户端中的存储位 臵，可分为内存Cookie和硬盘Cookie。
5
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用攻击典型案例
渗透测试工具简介
6
典型的网络组织方式
Web is everywhere. 一个组织或公司提供对外的门 户网站
Web 服务器 Mail 服务器 FTP 服务器
DMZ 网段
⑨ 缺乏传输层保护（Insufficient Transport Layer Protection）：没有对传输层使用SSL/TLS等保护机制。 过期或不正确的证书；后台数据库通信业存在类似问题。 ⑩ 未验证的重定向（Unvalidated Redirects and Forwards）：攻击者一般会通过未验证重定向页面诱使 受害者点击，从而获取密码或其他敏感数据。
15
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用攻击典型案例
渗透测试工具简介
16
SONY黑客攻击案
① 2011年4月17-4月19日，sony旗下著名游戏机PS3网络 （Playstation Network，PSN）遭到攻击。7千万PSN和 Qriocity音乐服务的用户个人信息被盗走。 ② 消息发布后，SONY在线娱乐系统的服务器也被攻击。 2460万用户信息，包括12700张非美国本土信用卡号、到 账日期、支付记录。 ③ 此次对PSN网络机器相关服务的攻击泄露了从过1亿用户 数据，一千多万张信用卡信息，迫使索尼关闭PSN等网 络，聘请了数家计算机安全公司调查攻击，重建安全系 统，进行游戏用户赔偿等，造成损失达到几亿美圆，更 不必说股价下跌、信用丧失等隐性损失。
因特网
个人工作站 外部网段 内部网段 防火墙
NT 服务器
7
Web应用程序体系结构
8
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用攻击典型案例
渗透测试工具简介
9
OWASP Web漏洞TOP 10
The Open Web Application Security Project (OWASP) is a worldwide not-for-profit charitable organization focused on improving the security of software. OWASP Top Ten: The goal of the Top 10 project is to raise awareness about application security by identifying some of the most critical risks facing organizations.
A5 Security Misconfiguration
A6 Sensitive Data Exposure A7 Missing Function Level Access Control A8 Cross-Site Request Forgery (CSRF) A9 Using Components with Known Vulnerabilities A10 Unvalidated Redirects and Forwards
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用攻击典型案例
Web渗透测试工具简介
20
Web渗透测试工具简介
OWAS BWA(Broken Web Application)靶机 Metasploit项目由著名的黑客HD Moore于2003年开始开发， 最早作为一个渗透攻击代码的继承软件包而发布。现在的 Metasploit框架中集成了数千个针对主流操作系统平台上， 不同网络服务与应用软件安全漏洞的渗透攻击模块，可以 由用户在渗透攻击场合中根据漏洞扫描结果进行选择，并 且能够自由装配该平台上适用的具有指定功能的攻击载荷， 对目标系统实施远程攻击并获取系统的访问控制权。 Backtrack和Kali Linux： BackTrack 是一个基于 Ubuntu GNU/Linux的发行版本，主要用做数字取证和入侵 测试。BackTrack 给用户集成了大量功能强大但简单易用 的安全工具软件。Kali Linux 1.0于2013年3月发布，是 Backtrack的下一代版本。
11
OWASP Top Ten
④ 会话认证管理缺陷（Broken Authentication and Session Management, BASM）:首次传送Cookie后，便不对 Cookie中的内容进行检查，攻击者便可修改Cookie中的 重要信息，用来提升权限，或是冒用他人账号获取私密 资料。
Web应用渗透测试技术
主讲人：刘 璟
Outline
Web应用渗透技术基础
Web应用漏洞扫描探测
Web应用程序渗透测试
总结
2
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用Hale Waihona Puke Baidu击典型案例
渗透测试工具简介
3
什么是渗透测试
A penetration test (pentest) is a method of evaluating computer and network security by simulating an attack on a computer system or network from external and internal threats*.
⑤ 安全误配臵（Security Misconfiguration）：存在于Web 应用的各层次，譬如Web平台、Web服务器、应用服务 器、程序代码等。 ⑥ 不安全的密码存储（Insecure Cryptographic Storage）
⑦ 不安全的对象参考（Insecure Direct Object References）： 利用Web系统本身的文档读取功能，任意存取系统文档 或资料。
10
OWASP Top Ten
① SQL注入攻击（SQL Injection, SQLi）：指发生在Web 应用对后台数据库查询语句处理存在的安全漏洞。简单 地说，就是在输入字符串中嵌入SQL指令，在设计程序 中忽略了对特殊字符串的检查，嵌入的指令便会被误认 为正常的SQL指令。
② 跨站脚本（Cross-Site Scripting, XSS）：恶意使用者将 程序代码（恶意脚本）注入到网页上，其他使用者在浏 览网页时就会受到不同程度的影响。 ③ 跨站伪造请求（Cross-Site Request Forgery, CSRF）: 属 于XSS的衍生。攻击者利用XSS的注入方式注入一段脚本， 当受害者点击浏览器运行该脚本时，脚本伪造受害者发 送了一个合法请求。
⑤ Anonymous组织和LulzSec组织在此次攻击中使用了SQL 注入、本地文件包含漏洞利用，以及利用僵尸网络发动 DDoS攻击。 ⑥ 原因可能是由于PSN所用的RedHat系统中的Apache服务 器没有及时升级安全补丁，是黑客成功入侵到内网。另 外用户口令以明文或简单的Hash存储。
18
13
OWASP Top Ten
例如： http://www.example.com/application?filedownload=../../../../../etc/pas swd%00
⑧ 限制URL访问失败（Failure to Restrict URL Access）:例 如内部员工使用的未公开URL泄露。
21
Outline
Web应用渗透技术基础
Web应用漏洞扫描探测
Web应用程序渗透测试
总结
22
Web应用漏洞扫描探测
OpenVAS（Open Vulnerability Assessment System）： a open-source framework of several services and tools offering a vulnerability scanning and vulnerability management solution. 简介对滇西开发网web server的扫描结果 W3af：an open-source web application security scanner. The project provides a vulnerability scanner and exploitation tool for Web applications. 简介对滇西开发网web server的扫描结果
CSDN数据泄露门
2011年年底，国内各大网站爆出“口令泄露门”。最先公 布的是著名技术网站CSDN 600万账户和口令泄露事件， 网站由于存在SQL注入漏洞被攻击者利用并下载用户数据 库。 网站对用户的口令竟然是明文存储，由于用户习惯使用同 一用户名和口令注册各种网站，导致用户口令一旦泄露， 所有账户被“一网打尽”。 此后不久，多玩网、世纪佳缘、人人等网站相机爆发类似 “拖库”事件，后来直接导致京东、当当等电商发生了 “撞库”事件，攻击者利用先前网站泄露的数据编写程序 进行大量匹配，查找有余额的账户进行消费，直接导致当 当网迅速关闭买礼品卡充值账户功能。
17
SONY黑客攻击案
④ LulzSec组织不但宣称对某些攻击负责，而且公布了攻击 过程、数据库信息甚至网站源码。声称利用SQL注入攻 击获得了sonypicture.com、sonybmg.nl和sonybmg.be的数 据库信息。含100万索尼美国、荷兰和比利时客户个人信 息，包括明文存储的密码、电子邮件、家庭地址等。
23
Outline
Web应用渗透技术基础
Web应用漏洞扫描探测
Web应用程序渗透测试
总结
24
Web应用程序渗透测试
4
什么是渗透测试
Penetration tests are valuable for several reasons*:
① Identifying higher-risk vulnerabilities that result from a combination of lower-risk vulnerabilities exploited in a particular sequence ② Identifying vulnerabilities that may be difficult or impossible to detect with automated network or application vulnerability scanning software ③ Assessing the magnitude of potential business and operational impacts of successful attacks ④ Testing the ability of network defenders to successfully detect and respond to the attacks
14
OWASP Top 10 2013
A1 Injection A2 Broken Authentication and Session Management A3 Cross-Site Scripting (XSS) A4 Insecure Direct Object References
12
补充知识：cookie
HTTP协议是无状态的。网站为了辨别用户身份而储 存在用户本地终端（Client Side）上的数据（通常经 过简单加密）。 应用范围：保存购物信息、登录凭据等。
Cookie总是保存在客户端中，按在客户端中的存储位 臵，可分为内存Cookie和硬盘Cookie。
5
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用攻击典型案例
渗透测试工具简介
6
典型的网络组织方式
Web is everywhere. 一个组织或公司提供对外的门 户网站
Web 服务器 Mail 服务器 FTP 服务器
DMZ 网段
⑨ 缺乏传输层保护（Insufficient Transport Layer Protection）：没有对传输层使用SSL/TLS等保护机制。 过期或不正确的证书；后台数据库通信业存在类似问题。 ⑩ 未验证的重定向（Unvalidated Redirects and Forwards）：攻击者一般会通过未验证重定向页面诱使 受害者点击，从而获取密码或其他敏感数据。
15
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用攻击典型案例
渗透测试工具简介
16
SONY黑客攻击案
① 2011年4月17-4月19日，sony旗下著名游戏机PS3网络 （Playstation Network，PSN）遭到攻击。7千万PSN和 Qriocity音乐服务的用户个人信息被盗走。 ② 消息发布后，SONY在线娱乐系统的服务器也被攻击。 2460万用户信息，包括12700张非美国本土信用卡号、到 账日期、支付记录。 ③ 此次对PSN网络机器相关服务的攻击泄露了从过1亿用户 数据，一千多万张信用卡信息，迫使索尼关闭PSN等网 络，聘请了数家计算机安全公司调查攻击，重建安全系 统，进行游戏用户赔偿等，造成损失达到几亿美圆，更 不必说股价下跌、信用丧失等隐性损失。
因特网
个人工作站 外部网段 内部网段 防火墙
NT 服务器
7
Web应用程序体系结构
8
Web应用渗透技术基础
什么是渗透测试
Web应用渗透测试
OWASP Web漏洞TOP 10
近期Web应用攻击典型案例
渗透测试工具简介
9
OWASP Web漏洞TOP 10
The Open Web Application Security Project (OWASP) is a worldwide not-for-profit charitable organization focused on improving the security of software. OWASP Top Ten: The goal of the Top 10 project is to raise awareness about application security by identifying some of the most critical risks facing organizations.
A5 Security Misconfiguration
A6 Sensitive Data Exposure A7 Missing Function Level Access Control A8 Cross-Site Request Forgery (CSRF) A9 Using Components with Known Vulnerabilities A10 Unvalidated Redirects and Forwards