失效的身份认证和会话管理
OWASP TOP 10
OWASP TOP 10 20201）注入2）失效身份认证和会话管理3）敏感信息泄露4）XML外部实体注入攻击（XXE）5）访问控制中断6）安全性错误配置7）跨站脚本攻击（XSS）8）不安全的反序列化9）使用具有已知漏洞的组件10）日志记录和监控不足注入当攻击者将无效的数据发送给web应用程序来让其执行为设计的操作，就会发生代码注入问题。
此安全漏洞最常见的示例便是使用不受信任数据的SQL查询，代码注入漏洞的核心是缺乏对web应用程序使用的数据的验证和清理。
任何接收参数作为输入的内容都可能受到代码注入攻击。
危害：注入可以使数据丢失或者被破坏掉，并且缺乏可审计性或者拒绝服务。
注入漏洞有时甚至可导致完全接管主机。
防御方法：1）首选方法是使用安全的API接口，该API避免完全使用解释器，或者说提供参数化的接口或迁移为使用对象关系映射工具（ORM）。
注意：即使说你参数化了，但是如果PL/SQL或者T-SQL连接查询和数据，或者说使用EXCLUTE IMMEDIATE 或者exec()执行恶意数据，则存储过程仍然可以引入SQL注入。
2）使用肯定或“白名单”服务器端输入验证，由于许多应用程序都需要特殊字符，例如文本区域或者移动应用程序的API，因此这并不是一个完整的防御措施3）对于任何残留的动态查询，请使用该解释程序的特定转义语义来转义特殊字符，注意，表名（table），列名（column）等SQL结构无法转义，因此用户提供的结构名很危险，这是报表编写软件中的常见问题4）在查询中使用limit和其他SQL控件可防止SQL注入的情况下大量泄露记录总结：数据和web引用程序逻辑要分离实施限制，以在成功进行注入攻击的情况下限制数据公开失效的身份验证和会话管理身份验证漏洞可能让攻击者能尝试控制他们在系统中想要的任何账户，甚至更遭的是，获得对系统的完全控制，身份验证和会话管理失效通常是指在应用程序身份验证机制上发生的逻辑问题，例如恶意行为者脑力破解系统中的有效用户。
网络与信息安全管理员——网络安全管理员高级工参考题库2020版-考试100多选题1-100
二、多项选择题，【每题 1 分】（下列各题中，分别有两个或两个以上符合题意的正确答案，请按答题卡要求，用 2B铅笔填涂你选定的信息点。
本类题共100 题，每小题 1分，共100 分。
多选。
错选、不选均不得分。
）1.《网络安全法》规定 , 国家维护网络安全的主要任务是（）A.检测、防御、处置网络安全风险和威胁B.保护关键信息基础设施安全C.依法惩治网络违法犯罪活动D.维护网络空间安全和秩序【参考答案】：ABCD2.因网络安全事件，发生突发事件或者生产安全事故的，应当依照（）等有关法律、行政法规的规定处置。
A.《中华人民共和国网络安全法》B.《中华人民共和国突发事件应对法》C.《中华人民共和国安全生产法》D.《中华人民共和国应急法》【参考答案】：BC3.数字签名不能通过（）来实现的。
A.认证B.程序C.签字算法D.仲裁【参考答案】：ABD4.以下哪一项属于信息欺骗的范畴（）A.会话劫持B.IP 欺骗C.重放攻击D.社交工程【参考答案】：BCD5.强制访问控制用户与访问的信息的读写关系正确的是（）。
A.下读 : 用户级别大于文件级别的读操作B.上写 : 用户级别大于文件级别的写操作C.上读 : 用户级别低于文件级别的读操作D.下写 : 用户级别小于文件级别的写操作E.下写 : 用户级别等于文件级别的写操作【参考答案】：AC6.在设计密码的存储和传输安全策略时应考虑的原则包括（）。
A.禁止文明传输用户登录信息机身份凭证B.禁止在数据库或文件系统中明文存储用户密码C.必要时可以考虑 COOKIE中保存用户密码D.应采用单向散列值在数据库中存储用户密码，并使用强密码，在生产单向散列值过程中加入随机值【参考答案】：ABD7.下面说法正确的是（）A.EXCEL的行高是固定的B.EXCEL单元格的宽度是固定的，为 8 个字符宽C.EXCEL单元格的宽度是可变的，默认宽度为8 个字符宽D.EXCEL的行高和列宽是可变的【参考答案】：BD8.公司自主移动应用必须在公司范围内省级及以上集中部署，应采的移动架构与用公司统防护标准，落实“ （）”的要求，做到集中部署与集中防护。
WEB常见网络安全漏洞讲解
可以插入SQL语句并执行
TOP-1 注入
漏洞案例
应用程序在下面存在漏洞的 SQL语句的构造中使用不可信数据： String query = " SELECT * FROM accounts WHERE custID='" + request.getParameter("id") +"'";
TOP-1 注入 防范
1 参数校验：
传递的参数做校验，如果不合法，直接拒绝请求。 1.1 如果是数字类型，判断是否为数字，如果不是，直接拒绝请求 1.2 如果有格式的类型（比如 日期，email，电话，身份证号码等等），判断是非符合格式，如果不符合格式，拒绝请求。 1.3 如果是字符串类型，没有特殊的格式，需要对字符串长度做校验，如果长度大于数据库该字段的定义长度，直接拒绝请求。
3数据库权限做限制
3.1 不能对业务账号开 select information_schema 权限。因为一旦某个漏洞被成功注入，information_schema库暴露所有库， 所有表，字段的定义。给sql注入者提供了便利，，， 注入者不需要猜测表结构，就能轻松获取所有表的定义，进而轻松获取所有 表的数据
攻击者在浏览器中将“ id ”参数的值修改成 10000’ or ’1’=’1。 如： /app/accountView?id= 10000’ or ’1’=’1 这样查询语句的意义就变成了从 accounts表中返回所有的记录。
SELECT * FROM accounts WHERE custID‘= 1000‘0 ;
注册渗透测试工程师认证 CISP-PTE培训课件全套
目录
应用安全现状分析 基础术语 渗透测试定义 渗透测试过程环节 OWASP TOP 10
应用安全现状分析
应用安全现状分析
Web已经在企业信息化、电子商务、电子政务中等得到广泛的应用，Web 的迅速发展同时，也带来了众多的安全威胁。
网络攻击重心已转向应用层， Web已成为黑客首选攻击目标， 针对Web的 攻击和破坏不断增长，据高盛统计数据表明，75%的攻击是针对Web应用的。
主流的攻击手段
主流攻击手段：基于应用层
弱口令攻 击
配置缺陷
应用漏洞
SQL注入 /XSS/CS RF/等等
主流的攻击手段
Ddos攻 击
远程溢出 攻击
主流攻的击手段：基于网络层和主机层
ARP欺骗 攻击
木马及蠕 虫病毒
渗透测试定义
渗透测试的分类
什么是渗透测试？
渗透测试的分类
• 渗透测试的三大类：
然而，对于Web应用安全是领域，很多企业还没有充分的认识、没有做好 准备；许多开发人员也没有相应的经验，这给了黑客可乘之机。
CNCERT数据统计
CNCERT数据统计
CNCERT数据统计
应用安全现状分析
12月21日:CSDN 640W用户帐户，密码，邮箱遭到黑客泄露 12月22日:中国各大知名网站全面沦陷....涉及范围甚广,泄露信息涉及用户相关业务甚多.... 一场席卷全中国的密码安全问题爆发了.... 12月23日:经过确认 CSDN 、多玩 泄露 梦幻西游帐户通过木马泄露 人人网部分泄露 12月23日:网友爆料 天涯沦陷...7K7K包中包含天涯帐户密码!!!互联网安全何在??? 12月24日:178沦陷 UUU9沦陷 事态蔓延...(已通知厂商.) 12月24日 15:30:天涯全面沦陷 泄露多达900W帐户信息... 12月24日 17:00:网易土木在线月 息全部泄露...(已通知厂商.) 12月25日:被黑客两次拖库..(已通知厂商.) 12月25日:网络流传腾讯数据库泄露!!! 12月25日:事态升级天涯疑泄露4000W用户资料 12月25日:178第二次被拖库泄露文用户数据,约13W数据(已通知厂商,厂商已做修复中.) 12月25日 23:32:知名婚恋网站5261302条帐户信息证实...(已通知厂商,厂商已做技术屏蔽.)
网络与信息安全管理员——网络安全管理员高级工参考题库2020版-考试100多选题1-100
二、多项选择题，【每题1分】（下列各题中，分别有两个或两个以上符合题意的正确答案，请按答题卡要求，用2B铅笔填涂你选定的信息点。
本类题共100题，每小题1分，共100分。
多选。
错选、不选均不得分。
）1.《网络安全法》规定,国家维护网络安全的主要任务是（）A.检测、防御、处置网络安全风险和威胁B.保护关键信息基础设施安全C.依法惩治网络违法犯罪活动D.维护网络空间安全和秩序【参考答案】：ABCD2.因网络安全事件，发生突发事件或者生产安全事故的，应当依照（）等有关法律、行政法规的规定处置。
A.《中华人民共和国网络安全法》B.《中华人民共和国突发事件应对法》C.《中华人民共和国安全生产法》D.《中华人民共和国应急法》【参考答案】：BC3.数字签名不能通过（）来实现的。
A.认证B.程序C.签字算法D.仲裁【参考答案】：ABD4.以下哪一项属于信息欺骗的范畴（）A.会话劫持B.IP欺骗C.重放攻击D.社交工程【参考答案】：BCD5.强制访问控制用户与访问的信息的读写关系正确的是（）。
A.下读:用户级别大于文件级别的读操作B.上写:用户级别大于文件级别的写操作C.上读:用户级别低于文件级别的读操作D.下写:用户级别小于文件级别的写操作E.下写:用户级别等于文件级别的写操作【参考答案】：AC6.在设计密码的存储和传输安全策略时应考虑的原则包括（）。
A.禁止文明传输用户登录信息机身份凭证B.禁止在数据库或文件系统中明文存储用户密码C.必要时可以考虑COOKIE中保存用户密码D.应采用单向散列值在数据库中存储用户密码，并使用强密码，在生产单向散列值过程中加入随机值【参考答案】：ABD7.下面说法正确的是（）A.EXCEL的行高是固定的B.EXCEL单元格的宽度是固定的，为8个字符宽C.EXCEL单元格的宽度是可变的，默认宽度为8个字符宽D.EXCEL的行高和列宽是可变的【参考答案】：BD8.公司自主移动应用必须在公司范围内省级及以上集中部署，应采用公司统一的移动架构与防护标准，落实“（）”的要求，做到集中部署与集中防护。
应用软件安全问题
代码评审是最有效的检测应用程序的注入风险的办法之一，紧随其后的是对所有参数、字段、头、cookie、 JSON和XML数据输入的彻底的DAST扫描。
组织可以将SAST和DAST工具添加到CI/CD过程中，以便于在生产部署之前对现有或新检查的代码进行注入 问题的预警。
在最近几年，这是最常见的、最具影响力的 攻击。这个领域最常见的漏洞是不对敏感信 息进行加密。在数据加密过程中，常见的问 题是不安全的密钥生成和管理以及使用弱加 密算法、弱协议和弱密码。特别是使用弱的 哈希算法来保护密码。在服务器端，检测传 输过程中的数据弱点很容易，但检测存储数 据的弱点却非常困难。
安全弱点
普遍性：常见 可检测性：较容易
注入漏洞十分普遍，尤其是在遗留代码 中。注入漏洞通常能在SQL、LDAP、XPath 或是NoSQL查询语句、OS命令、XML解析 器、SMTP包头、表达式语句及ORM查询语 句中找到。注入漏洞很容易通过代码审查发 现。扫描器和模糊测试工具可以帮助攻击者 找到这些漏洞。
安全弱点
普遍性：较常见 可检测性：较容易
大多数身份和访问管理系统的设计和实现， 普遍存在身份认证失效问题。会话管理是身 份验证和访问控制的基础，并且存在于所有 有状态应用程序中。攻击者可以使用指南手 册来检测失效的身份验证，但通常会关注密 码转储、字典攻击，或者在类似于钓鱼或社 会工程攻击之后，发现失效的身份认证。
攻击案例场景
场景#1：应用程序在下面存在脆弱性的SQL语句的构造中使用不可信数据： String query = "SELECT * FROM accounts WHEREcustID='" + request.getParameter("id") + "'“;
OWASP Top 10 2013中文版
鸣谢
感谢Aspect Security自2003年OWASP Top 10项目成立以 来，对该项目的创始、领导及更新，同时我们也感谢主 要作者：Jeff Williams和Dave Wichers。
我们也要感谢以下组织贡献了它们的漏洞数据用于支 持该项目2013版的更新： • • • • • • • Aspect Security—Statistics HP—来自Fortify和WebInspect的Statistics Minded Security—Statistics Softtek—Statistics Trustware, SpiderLabs—Statistics Veracode—Statistics WhiteHat Security Inc.—Statistics
另外，我们还要感谢为Top 10前版本做出共享的人员。 如果没有他们的贡献，Top 10不可能成为现在这样。我们 还要感谢为Top 10本版本做出显著内容贡献和花时间审阅 的专家们： • Adam Baso （Wikimedia Foundation） • Mike Boberski （Booz Allen Hamilton） • Torsten Gigler • Neil Smithline — MorphoTrust USA提供了Top 10的 Wiki版，并提供了宝贵反馈意见 最后，我们感谢所有的翻译人员将Top 10翻译成不同 的语言，帮助让OWASP Top 10对全世界的人们都可以更 容易获得。 OWASP TOP 10 中文项目组组长：王颉 Rip 参与人：John，陈亮、顾庆林、胡晓斌、李建蒙、王 文君、王阳，杨天识、张在峰，曾张帆（排名不分先后， 姓氏拼音排名）
OWASP Top 10 – 2013 （新版）
会话管理的安全要求
会话管理的安全要求在现代计算机系统中，会话管理是保证信息安全的重要方面。
正确的会话管理能够有效地防止攻击者通过会话相关的漏洞来获取敏感信息或者冒充合法用户。
因此，在设计和开发系统时，需要遵循一些安全要求来确保会话管理的安全性。
以下是会话管理的安全要求：1. 随机化会话标识符会话标识符是用来识别合法用户会话的唯一标识符。
攻击者如果能够猜测出一个合法的会话标识符，就可以利用它来冒充合法用户，并且可能会获取敏感信息。
为了防止这种攻击，系统应该使用随机的会话标识符，确保在同一时间内不会有两个相同的会话标识符被创建。
2. 限制会话过期时间会话过期时间指的是一个会话在用户没有操作时自动失效的时间。
设置合理的过期时间可以防止攻击者通过长时间的会话维持来取得用户合法的访问权限。
因此，系统设计中应该设置合理的会话过期时间，并在用户在一段时间内没有任何操作时自动销毁会话。
3. 控制会话访问范围会话访问范围是指哪些用户有权访问一个会话。
如果多个用户可以访问同一个会话，攻击者可以利用这一点来获取其他用户的信息。
为此，系统应该控制会话的访问范围，保证只有合法用户可以访问会话，并且用户在访问会话时需要进行身份验证。
4. 安全传输凭证信息会话凭证是用来证明用户身份的信息，在传输过程中，如果不加密或者加密方式不恰当，攻击者可能会从网络中窃取用户凭证信息。
因此，系统应该使用安全的传输方式，如HTTPS或者SSL/TLS等，保证在网络传输过程中凭证信息的安全性。
5. 防止会话固定攻击会话固定攻击是一种恶意攻击，攻击者能够通过劫持一个会话来获取用户的敏感信息。
因此，系统设计应该避免会话固定攻击，并在必要时采用额外的安全措施来防止此类攻击的发生。
6. 防止跨站点请求伪造攻击跨站点请求伪造攻击（CSRF）是一种攻击方式，攻击者会冒充合法用户向系统发送伪造的请求，导致系统执行攻击者所期望的操作。
对于会话管理模块，应该采用额外的防护措施来防止CSRF攻击的发生，并确保系统只能执行合法用户所发出的请求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Page
4
失效的身份和会话管理
用户身份认证和会话管理是一个应用程序中最关键的过程，有缺 陷的设计会严重破坏这个过程。在开发Web应用程序时，开发人员往 往只关注Web应用程序所需的功能。由于这个原因，开发人员通常会 建立自定义的认证和会话管理方案。但要正确实现这些方案却很难， 结果这些自定义的方案往往在如下方面存在漏洞：退出、密码管理、 超时、记住我、秘密问题、帐户更新等等。因为每一个实现都不同， 要找出这些漏洞有时会很困难。 一些存在此漏洞的例子： 1、用户更改密码之前不验证用户，而是依靠会话的IP地址； 2、没有会话超时限制；
Page
6
如何验证程序是否存在失效的认证和会话管理
最需要要保护的数据是认证凭证(credentials) 和会话ID。 1.当存储认证凭证时，是否总是使用hashing或加密保护吗? 2. 认证凭证是否可猜测，或者能够通过薄弱的的帐户管理功能 （例如账户创建、密码修改、密码恢复, 弱会话ID）重写？ 3.会话ID是否暴露在URL里(例如, URL重写) 4.会话ID是否容易受到会话固定(session fixation) 的攻击? 5.会话ID会超时吗? 用户能退出吗? 6.成功注册后,会话ID会轮转吗? 7. 密码、会话ID和其他认证凭据是否只通过TLS连接传输？
在进一步解释这种危险的漏洞之前，让我们了解一下身份认证和 会话管理的基本知识。 身份认证，最常见的是登录功能，往往是提交用户名和密码，在 安全性要求更高的情况下，有防止密码暴力破解的验证码，基于客户 端的证书，物理口令卡等等。 会话管理，HTTP本身是无状态的，利用会话管理机制来实现连 接识别。身份认证的结果往往是获得一个令牌，通常放在cookie中， 之后对用户身份的识别根据这个授权的令牌进行识别，而不需要每次 都要登陆。
Page
7
如何防范
1、区分公共区域和受限区域 站点的公共区域允许任何用户进行匿名访问。受限区域只能接受特定用 户的访问，而且用户必须通过站点的身份验证。考虑一个典型的零售网站。 您可以匿名浏览产品分类。当您向购物车中添加物品时，应用程序将使用会 话标识符验证您的身份。最后，当您下订单时，即可执行安全的交易。这需 要您进行登录，以便通过 SSL 验证交易。 将站点分割为公共访问区域和受限访问区域，可以在该站点的不同区域使用 不同的身份验证和授权规则，从而限制对 SSL 的使用。使用 SSL 会导致性 能下降，为了避免不必要的系统开销，在设计站点时，应该在要求验证访问 的区域限制使用 SSL。
3、用户忘记密码后，密码找回功能太过简单。
Page
5
例1：应用程序超时设臵不当。用户使用公共计算机访问网站。离开时，该用 户没有点击退出，而是直接关闭浏览器。攻击者在一个小时后能使用相同浏 览器通过身份认证。 例2：机票预订应用程序支持URL重写，把会话ID放在URL 里：;jsessionid=2P0OC2JDPXM0OQSNDLPSKHCJUN2JV?dest=Hawai i 该网站一个经过认证的用户希望让他朋友知道这个机票打折信息。他将上面 链接通过邮件发给他朋友们，并不知道自己已经泄漏了自己的会话ID。当他 的朋友们使用上面的链接时，他们将会使用他的会话和信用卡。
Page
9
ห้องสมุดไป่ตู้
谢谢观赏
2、支持密码有效期 密码不应固定不变，而应作为常规密码维护的一部分，通过设臵 密码有效期对密码进行更改。在应用程序设计阶段，应该考虑提供这 种类型的功能。
Page
8
3、能够禁用帐户 如果在系统受到威胁时使凭证失效或禁用帐户，则可以避免遭受进一步的 攻击。 4、要求使用强密码 不要使攻击者能轻松破解密码。有很多可用的密码编制指南，但通常的做 法是要求输入至少 8 位字符，其中要包含大写字母、小写字母、数字和特殊 字符。无论是使用平台实施密码验证还是开发自己的验证策略，此步骤在对 付粗暴攻击时都是必需的。在粗暴攻击中，攻击者试图通过系统的试错法来 破解密码。使用常规表达式协助强密码验证。 5、不要在网络上以纯文本形式发送密码 以纯文本形式在网络上发送的密码容易被窃听。为了解决这一问题，应确 保通信通道的安全，例如，使用 SSL 对数据流加密。 还有对身份验证 cookie 的内容进行加密等。
失效的身份认证和会话管理
目录
身份认证和会话管理
失效的身份认证和会话管理
如何检验漏洞
如何防范漏洞
Page
2
前言
失效的身份认证和会话管理，根据最新的OWASP TOP 10显示它 位列10大Web漏洞中的第二位。这意味着它是一个高度危险的漏洞存 在于互联网上的多数网站的应用程序中。
Page
3
身份认证和会话管理