找回密码
 骑士注册

QQ登录

微博登录

搜索
❏ 站外平台:

Linux中国开源社区 观点 查看内容

应用安全工作的那些事儿

| 2013-07-23 13:42   评论: 1    

先声明一下个人观点:

1. 应用安全工作决不可能都是由应用安全工作者完成的,不是全员参与的应用安全工作决不可能做出安全性很好的产品

2. 公司期望所有与应用安全有关的工作均有应用安全工作者来完成,那一定是战略上的轻视、战术上的错误,最终必将以重大安全事故的出现而结束这场战争

3. 企业应用安全工作者理应是:安全风险的识别者、解决方案策划者与设计者及企业工程师安全意识的培训者,必需得到最高层的直接重视方可得以很好的实施。安全的具体实施理应由普通的工程师完成,规范化渗透测试工作理应由普通的测试工程师来完成。导弹是高科技产品,它的零部件依然是普通的工人来完成的,不要认为应用安全很高深,普通工程师做不了,那是应用安全实现“工艺设计”人员的工作没做好!

 

【故事一】

XSS的困惑

在公司的早期,当我演示XSS的问题给我们的开发者与测试人员的时候(e.g. http://www.testfire.net/search.aspx?txtSearch=%3Cscript%3Ealert%281%29%3C%2Fscript%3E),他们最最困惑的一个问题是:

谁没事把自己的页面注入一串javascript的然后在自己的浏览器当中执行?这是漏洞吗? 

这个问题看起来似乎很傻,其实不然,这里蕴涵着一个非常重要的问题:谁是攻击者、谁是受害者以及谁是责任者的问题,你想过这些问题吗?若想让你的公司的员工明白XSS问题的严重性必需让他们从根本上理解问题,方可以得以从心底里接受。于是我就做了一个虚拟的场景:

假如我是黑客,我发现某公司网站上可以注入JS脚本,于是我就巧妙的构造攻击URL,通过社会工程学的方式诱使对方点击我的URL,当对方处于登录状态时,我可以获取对方的会话信息、本地cookie信息等等,我可以做的事你可以想象了…,在这里我是攻击者,我们的产品用户是受害者,我们公司是责任者,你说我们要不要处理这个问题? 

 

【故事二】

关于CSRF的那些事

先问问读者:CSRF是漏洞吗?

在我要求开发人员解决CSRF(CSRF概念可查询CSRF)问题的时候,我曾经被一个资深开发人员问的目瞪口呆,开发人员的问题是:

一个需要做身份验证的URL,我们在实现的时候已经做了严格的身份验证,现在你的要求等于是让我我们再做一次身份验证,这不是折腾吗?换句话问用户访问了一个只有登录成功才可以访问的URL,当用户登录后可以正常访问,为什么你还说它需要做身份验证? 

开发人员的问题是有效的,且我认为是有价值的,如果你不能给开发人员解决这个问题,他们是不能从心底里形成类似问题的防御意识,相反他们会形成一种内心的抵抗,最终的效果将是可想而知的。于是我又做了一个场景的虚拟:

假如我是黑客,你是用户,我是黑客,当然我同时也是一个用户,没有迹象表明我是一个黑客,对于别的用户来说,我就是一个普通的用户而已。OK,你登录了我们的产品,我也登录了我们的产品,现在我找到了changePasswd.do的API,我发现它并没有做CSRF防范,但是这个URL是做了严格的身份认证检查的,现在我用changePasswd.do?newPWD=XXXX来构造一个URL,发给你,为了有隐秘性,我可以使用短链接的方式发给你,你一眼也看不出来它里面包含了什么,当你点击之后,它会怎么样? 开发说:可以正常运行! 我问:为什么不需要登录、为什么没要求身份验证? 开发说:我已经登录了!我说:这就是CSRF了,你觉得它严重吗?

此例子当中攻击者是我,受害者是那个开发人员,责任者依然是我们产品—服务的提供者。

 

【故事三】

身份认证与授权难解之惑

我们要求开发描述清楚你写的URL或者API的身份认证的要求,比如:myInfo.do,

开发人员:只有登录的用户才可以访问myInfo.do,否则会转到登录页面要求用户登录。
我说:这样写是不对的,你这样写表明只要登录的用户都可以访问myInfo.do了. 
开发人员:没错啊,登录的用户就可以访问myInfo.do,这有什么问题? 
我说:如果我登录了,但是我访问的是你的myInfo.do会怎么样? 
开发人员:(…沉思了一会…),这种情况是可能存在的,但是这是比较偏的情况 
我说:我们做安全需要考虑的就是可能存在的安全风险,正确的描述访问是:只有登录的用户才可以访问他自己的myInfo.do!读者可能会问:咬文嚼字吗? 我想说的是:这样的咬文嚼字必需有,否则后果很严重。

 

via http://www.freebuf.com/news/others/10992.html 

收藏


最新评论

我也要发表评论

微博评论 2013-07-23 18:43 回复
鼓励多发类似微博。

来自 应用安全 的新浪微博
返回顶部

分享到微信

打开微信,点击顶部的“╋”,
使用“扫一扫”将网页分享至微信。