网站绕过漏洞如何修复与检测
本月带给大家的是网站绕过认证漏洞。为了更好地确保业务管理系统的安全防护,基本上每一系统软件都是会存有各式各样的认证功能。普遍的几类认证功能就包含账户密码认证、验证码短信认证、JavaScript数据信息内容认证及服务器端数据信息内容认证这些,但写代码的技术员在涉及到认证方法时很有可能存有缺点造成被绕过,因此小结了下列几类绕过认证的姿态和大伙儿一块探讨探讨。
pc客户端检验绕过
pc客户端检验是普遍的一类检验方法,也就是说在pc客户端检验客户的输入,将检验效果作为基本参数发送至服务器端,或运用web前端语言限定客户的非法输入和应用。应对该类的检验方法能够根据变更web前端语言或是在传输数据中对基本参数完成篡改来绕过认证。
举例说明:
a).某系统软件需要选购才可以视频观看,不一样的课程内容以id地址去划分。
b).发觉是不是付钱只靠web前端原生js调节,变更courseID就能够看见不一样的课程内容,recordURL就是说视频在线观看的超链接,不需要登录就可以播放。
c).依据在线电影中的videoCode,可得到视频在线观看详细地址:
得到url为视频在线观看详细地址。
d).根据代码,可将网站视频在线观看下来。
pc客户端认证个人信息泄露
程序员在写认证程序代码时会很有可能会将认证信息内容立即泄漏到pc客户端,攻击者就能够根据深入分析服务器端的返回数据信息立即得到核心的认证信息内容进而进行认证。
举例说明:
某完全免费wifi接入时须要应用发送至手机的密码完成认证,爬取发送登录密码的数据文件时,发现登录密码返回pc客户端,造成各大网站账户能够登陆连接网络。
pc客户端流程调节绕过
程序员在写认证程序代码时会很有可能会认证效果返回到pc客户端,由pc客户端依据服务器端提供的认证效果完成下一阶段应用,攻击者能够根据篡改认证效果或立即实行下一阶段应用完成绕过。
举例说明:
a).某系统软件密码重置需要3个流程,第一步要输入图形验证码。
b).随后需要根据验证码短信认证真实身份。
d).可顺利更改密码登录密码。
应用目标篡改绕过
假如某应用选用了连续性真实身份检验措施或真实身份检验流程与操作流程分开,能够尝试在身份认证流程中更换真实身份检验目标或应用目标完成绕过认证。
举例说明:
a).变更某系统软件的绑定手机号。b).挑选完全免费接到电话验证码变更。c).将变更的手机号改成自个的手机号。d).根据变更的手机号接到的检验码变更手机号。e).发觉能够顺利变更成全新的手机号。基本参数篡改,程序员在写认证程序代码时会很有可能会对验证码短信字段名完成准确性检验,但当验证码短信字段名不会有或者是为空时就立即根据检验。如果您的网站也存在逻辑漏洞,不知该如何进行检测以及修复,可以找专业的网站安全公司来进行处理,国内SINE安全,绿盟,鹰盾安全,深信服,启明星辰都是比较不错的。
相关建站知识
- 08-20帝国CMS模板中灵动标签调用当天日期的标题文字显示红色
- 03-02帝国CMS 上传附件保持原文件名
- 09-22帝国cms网站栏目ID从0开始设置方法和SQL代码是什么?
- 03-05帝国CMS二次开发判断会员是否登陆教程
- 05-14帝国cms在当前栏目页下面调用相关栏目别名的栏目
- 08-30帝国CMS灵动标签调用某个时间段的信息的代码写法!
- 09-21帝国cms二次开发如何调用会员名及投稿数量排名
- 07-12帝国CMS二次开发多值字段PHP调用教程
- 06-04帝国cms模板前台禁止页面内容被复制和禁止右键的具体代码是什么
- 08-02帝国CMS7.5设置搜索伪静态教程和规则是什么?
- 11-25帝国CMS怎么自定义后台登录文件
- 02-08帝国CMS模板判断当前页面是否为首页、列表页和内容页的方法
- 03-17帝国CMS后台恢复数据库出错的问题
- 11-01帝国cms读取远程页面 (readhttp) 和 引用文件标签 (includefile)
- 07-24帝国CMS教程图集字段的大图,小图,说明的调用
- 10-24帝国CMS用PHP获取任意栏目ID
- 12-28帝国CMS模板中电影模型内容页调用播放器类型
- 01-05帝国cms商城订单号调用方法
- 05-09帝国CMS列表页模板list.var中调用栏目名称非栏目别名的代码
- 08-09帝国cms二次开发搜索页支持php和动态标签代码