认识达内从这里开始

随着互联网的不断发展，越来越多的用户信息被遗留在了互联网之中，这也加大了用户对网络安全问题的关注，今天我们就通过案例分析来了解一下，常见的网络安全攻击与防护方法分享。

一、XML外部实体(XXE)

当开发人员暴露一个对内部实现对象的引用时，例如，一个文件、目录或者数据库密匙，就会产生一个不安全的直接对象引用。在没有访问控制检测或其他保护时，攻击者会操控这些引用去访问未授权数据。许多较早的或配置错误的XML处理器评估了XML文件中的外部实体引用。攻击者可以利用外部实体窃取使用URI文件处理器的内部文件和共享文件、监听内部扫描端口、执行远程代码和实施拒绝服务攻击。

如何防止：

尽可能使用简单的数据格式(如：JSON)，避免对敏感数据进行序列化。

及时修复或更新应用程序或底层操作系统使用的所有XML处理器和库。同时，通过依赖项检测，将SOAP更新到1.2版本或更高版本。

在应用程序的所有XML解析器中禁用XML外部实体和DTD进程。

在服务器端实施积极的(“白名单”)输入验证、过滤和清理，以防止在XML文档、标题或节点中出现恶意数据。

验证XML或XSL文件上传功能是否使用XSD验证或其他类似验证方法来验证上传的XML文件。

尽管在许多集成环境中，手动代码审查是大型、复杂应用程序的佳选择，但是SAST工具可以检测源代码中的XXE漏洞。

二、失效的访问控制

未对通过身份验证的用户实施恰当的访问控制。攻击者可以利用这些缺陷访问未经授权的功能或数据，例如：访问其他用户的帐户、查看敏感文件、修改其他用户的数据、更改访问权限等。

如何防止：

除公有资源外，默认情况下拒绝访问。

使用一次性的访问控制机制，并在整个应用程序中不断重用它们，包括小化CORS使用。

建立访问控制模型以强制执行所有权记录，而不是接受用户创建、读取、更新或删除的任何记录。

域访问控制对每个应用程序都是的，但业务限制要求应由域模型强制执行。

禁用Web服务器目录列表，并确保文件元数据(如：git)不存在于Web的根目录中。

记录失败的访问控制，并在适当时向管理员告警(如：重复故障)。

对API和控制器的访问进行速率限制，以大限度地降低自动化攻击工具的危害。

当用户注销后，服务器上的JWT令牌应失效。

三、安全配置错误

安全配置错误是常见的安全问题，这通常是由于不安全的默认配置、不完整的临时配置、开源云存储、错误的HTTP标头配置以及包含敏感信息的详细错误信息所造成的。因此，我们不仅需要对所有的操作系统、框架、库和应用程序进行安全配置，而且必须及时修补和升级它们。

如何防止：

一个可以快速且易于部署在另一个锁定环境的可重复的加固过程。开发、质量保证和生产环境都应该进行相同配置，并且，在每个环境中使用不同的密码。这个过程应该是自动化的，以尽量减少安装一个新安全环境的耗费。

搭建小化平台，该平台不包含任何不必要的功能、组件、文档和示例。移除或不安装不适用的功能和框架。

检查和修复安全配置项来适应新的安全说明、更新和补丁，并将其作为更新管理过程的一部分。

一个能在组件和用户间提供有效的分离和安全性的分段应用程序架构，包括：分段、容器化和云安全组。

向客户端发送安全指令，如：安全标头。

在所有环境中能够进行正确安全配置和设置的自动化过程。

【免责声明】：本内容转载于网络，转载目的在于传递信息。文章内容为作者个人意见，本平台对文中陈述、观点保持中立，不对所包含内容的准确性、可靠性与完整性提供形式地保证。请读者仅作参考。更多内容请加danei0707学习了解。欢迎关注“达内在线”参与分销，赚更多好礼。