什么是安全配置错误？| Secure Code Warrior

“安全配置错误”是一个涵盖范围较广的术语，指由于应用程序的配置设置（而非代码缺陷）而引入的常见漏洞。最常见的错误通常是一些简单的疏忽，但对于部署了此类配置的应用的组织而言，却可能导致严重的后果。

一些最常见的安全配置错误包括：在将应用部署到生产环境前未禁用调试进程、未让应用程序自动更新至最新补丁、忘记禁用默认功能，以及其他许多看似微小却可能在未来引发大麻烦的问题。

应对安全配置错误漏洞的最佳方法，是在应用部署到生产环境之前，就将其从网络中彻底消除。

在本期节目中，我们将学习：

• 黑客如何发现并利用常见的安全配置错误
• 为什么安全配置错误如此危险
• 可用于发现和修复安全配置错误的策略与技术。

攻击者如何利用常见的安全配置错误？

安全配置错误种类繁多。黑客社区对其中最常见的错误了如指掌，在寻找漏洞时，这些错误几乎总是首选目标。一些最常见的配置错误包括但不限于：

• 未禁用使用众所周知密码的默认账户。
• 在生产环境中开启了调试功能，导致向用户泄露堆栈跟踪或其他错误信息。
• 启用了不必要的或默认的功能，例如多余的端口、服务、页面、账户或权限。
• 未使用安全标头，或为标头设置了不安全的数值。

有些配置错误众所周知且极易利用。例如，如果启用了默认密码，攻击者只需输入该密码和默认用户名，即可获得系统的最高访问权限。

其他配置错误则需要更多操作，例如在应用部署后仍开启调试功能的情况。在这种情况下，攻击者会尝试触发错误并记录返回的信息。掌握这些数据后，他们便能发起极具针对性的攻击，从而可能泄露有关系统的信息或他们试图窃取的数据的位置。

为什么安全配置错误如此危险？

根据被利用的具体安全配置错误，其造成的损害可能从信息泄露到整个应用程序或服务器被攻陷不等。任何安全配置错误都会在防御体系中留下漏洞，供技术高超的攻击者利用。对于某些漏洞（如启用了默认密码），即使是经验不足的黑客也能轻易利用。毕竟，查阅默认密码并输入它们并不需要什么天才头脑！

消除安全配置错误带来的威胁

避免安全配置错误的最有效方法，是为组织内所有部署的应用和程序定义安全设置。这应包括禁用不必要的端口、移除应用未使用的默认程序和功能，以及禁用或更改所有默认用户和密码。此外，还应检查并处理常见的配置错误，例如在软件进入生产环境前，务必禁用调试模式。

一旦定义了这些设置，就应建立一套流程，让所有应用在部署前都必须经过审核。理想情况下，应指派专人负责此流程，赋予其足够的权限来执行规定，并要求其对因疏忽而导致的安全配置错误承担责任。

关于安全配置错误的更多信息

如需进一步阅读，您可以查看 OWASP 列出的最常见安全配置错误。您还可以通过免费演示来测试您新学到的防御知识，Secure Code Warrior 平台致力于将网络安全团队培养成顶尖的网络战士。要了解更多关于击败此类漏洞及其他各类威胁的信息，请访问Secure Code Warrior 博客。

准备好立即阻止安全配置错误了吗？前往我们的平台挑战自我[立即开始]