电脑吧 网络安全 常见web漏洞有哪几种?

常见web漏洞有哪几种?

互联网时代,很多业务都依赖于互联网,基于web环境的互联网应用越来越广泛,但是web安全问题也越来越突出。目前比较常见的web漏洞有注入漏洞,跨站脚本(XSS)漏洞,文件上传漏洞,文件包含漏洞和命令执行的漏洞等等。黑客利用这些漏洞想要获得web服务器的控制权限,达到窃取数据信息,威胁目标资产或正常功能的使用等目的,这对于web业务的影响无疑巨大的。下面介绍一下五种常见的web漏洞。

web漏洞有哪些?

一、注入漏洞

由于其普遍性和严重性,注入漏洞在WebTOP10漏洞中始终排在第一位。常见的注入漏洞包括SQL、LDAP、OS命令、ORM和OGNL。用户可以通过任何输入点输入构建的恶意代码。如果应用程序没有严格过滤用户的输入,一旦输入的恶意代码作为命令或查询的一部分被发送到解析器,就可能导致注入漏洞。以SQL注入为例,是因为攻击者通过浏览器或其他客户端向网站参数中插入恶意SQL语句,而网站应用程序直接将恶意SQL语句带入数据库并执行而不进行过滤,最终导致通过数据库获取敏感信息或其他恶意操作。

二、跨站脚本(XSS)漏洞

XSS漏洞的全称是跨站点脚本漏洞。为了不与级联样式表(CSS)的缩写混淆,跨站点脚本漏洞缩写为XSS。XSS漏洞是网络应用程序中常见的安全漏洞,它允许用户将恶意代码植入网页。当其他用户访问此页面时,植入的恶意脚本将在其他用户的客户端执行。XSS泄漏的危害很多,客户端用户的信息可以通过XSS漏洞获取,比如用户登录的Cookie信息;信息可以通过XSS蜗牛传播:木马可以植入客户端;您可以结合其他漏洞攻击服务器,并在服务器中植入特洛伊木马。具有上传功能的应用程序存在文件上传漏洞。如果应用程序在用户上传的文件中没有控制或缺陷,攻击者可以利用应用程序上传功能中的缺陷将木马、病毒等有害文件上传到服务器,然后控制服务器。实战中最常见的就是XSS跨站攻击,如果想要对网站进行漏洞检测的话还得靠人工去审计和渗透测试,建议向网站安全公司寻求安全服务,国内做的比较好的如SINESAFE,鹰盾安全,绿盟,启明星辰等等。

三、文件上传漏洞

造成文件上传漏洞的主要原因是应用程序中有上传功能,但上传的文件没有通过严格的合法性检查或者检查功能有缺陷,导致木马文件上传到服务器。文件上传漏洞危害极大,因为恶意代码可以直接上传到服务器,可能造成服务器网页修改、网站暂停、服务器远程控制、后门安装等严重后果。文件上传的漏洞主要是通过前端JS旁路、文件名旁路和Content-Type旁路上传恶意代码。

四、文件包含漏洞

文件包含函数中包含的文件参数没有过滤或严格定义,参数可以由用户控制,可能包含意外文件。如果文件中存在恶意代码,无论文件是什么后缀类型,文件中的恶意代码都会被解析执行,导致文件包含漏洞。文件中包含的漏洞可能会造成网页修改、网站暂停、服务器远程控制、后门安装等危害。

五、命令执行的漏洞

应用程序的某些函数需要调用可以执行系统命令的函数。如果这些功能或者功能的参数可以被用户控制,那么恶意的命令就有可能通过命令连接器拼接成正常的功能,从而可以随意执行系统命令。这就是命令执行漏洞,这是高风险漏洞之一。

本文来自网络,不代表电脑吧立场,转载请注明出处。

作者: yitu2008

上一篇
下一篇

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注

关注微信
微信扫一扫关注我们

微信扫一扫关注我们

返回顶部