安全代码见解

阅读本博客系列的人可能会注意到远程文件包含漏洞与前面讨论的本地文件包含和路径遍历漏洞之间有很多相似之处。它们的根本原因是相似的，推荐的修复方法也是如此。

在许多方面，远程文件包含漏洞比本地文件漏洞危险得多，也更容易被利用。因此，应尽快找到并予以补救。或者更好的是，Web 应用程序的设计应该从一开始就防止其发生。

在本集中，我们将学习：

• 黑客如何利用远程文件包含漏洞
• 为什么允许远程包含文件很危险
• 可以解决此问题的技术。

攻击者如何利用远程文件包含？

远程文件包含漏洞利用了大多数编程框架中存在的 “动态文件包含” 命令或机制。该功能旨在允许开发人员使用位于辅助服务器上的文件在应用程序服务器上执行活动。显然，如果落入坏人之手，这可能会很危险。

攻击者如何利用这种能力，是找到任何允许不受控制的用户输入的网站或应用程序，这些输入可能来自诸如HTTP标头或交互式表单中的输入区域之类的东西。他们以此为起点来生成文件包含命令。

例如，如果网站使用 GET 函数加载页面，例如 page = request.getParameter（“page'）；包含页面；则攻击者可以使用页面命令发送查询，但使用他们控制的网站网址和要执行的文件的文件路径。然后，查询被传递到服务器，并在主机上执行远程文件。允许该活动，因为它现在是可信应用程序的一部分。

为什么远程文件包含漏洞很危险？

远程文件包含所构成的危险程度非常高。与本地文件包含漏洞不同，在本地文件包含漏洞中，攻击者运行的文件必须存在于主机上，也可以由攻击者通过反复试验发现，远程文件包含没有类似的限制。显然，攻击者知道他们想要利用的文件的位置，因为它们可能存在于自己的计算机或他们控制的站点上。这些文件也可以由他们手动选择，在漏洞利用之前不需要存在于目标计算机上。该文件甚至可能包含专门为攻击远程主机而编写的脚本。

简而言之，一旦攻击者能够发现并利用远程文件包含漏洞，就没有什么可以阻止他们完全控制应用程序甚至整个站点。当然，存储在那里的任何数据都无法免受他们的入侵。

移除远程文件包含漏洞

切勿允许用户输入直接传递给文件包含命令以供执行。取而代之的是，使用命令的间接参考映射，只从那里执行命令。间接参考地图将不受信任的用户输入映射到服务器上的一组硬编码的可信值。一定要将用户可以输入数据的所有区域列入白名单，不要忘记在该列表中包含 HTTP 标头、表单参数甚至 cookie。这样做将关闭想要创建文件包含命令的攻击者可以使用的任何窗口。

作为奖励，对用户生成的内容进行适当的清理和验证以及使用参考地图来执行命令不仅可以消除远程文件包含漏洞，还可以消除许多其他漏洞，包括该错误的危险表兄弟，本地文件包含和路径遍历漏洞。

有关远程文件包含的更多信息

要进一步阅读，你可以看看 OWASP 参考指南 用于远程文件包含漏洞。你还可以使用以下方法来测试你新获得的防御知识 免费演示 Secure Code Warrior 平台，该平台培训网络安全团队成为终极网络战士。要了解有关克服此漏洞以及其他恶棍威胁的更多信息，请访问 安全代码勇士博客。

绝大多数计算机系统使用轻量级目录访问协议 (LDAP)。它用于维护任何互联网协议 (IP) 网络上的分布式目录信息服务。因此，基本上，它可以作为跟踪用户的一种方式。

应用程序通常将 LDAP 用作身份验证源，以查看用户是否有权执行各种操作，尤其是与他们在组织中定义的角色相关的权限。例如，只有会计人员才能使用公司会计软件。应用程序通常会被编程为检查 LDAP 表，以确保用户在其既定权限范围内行事。

当恶意用户可以操纵 LDAP 查询时，可能会出现问题。这样做可能会诱使接收服务器执行通常不允许的无效查询，甚至向没有密码的无效或低安全性用户授予高级或管理员访问权限。

LDAP 注入可能很棘手，但在本集中，我们将学习：

• 它们是如何工作的
• 为什么它们如此危险
• 如何设置防御措施来阻止他们。

攻击者如何使用 LDAP 注入？

基于 LDAP 的攻击多年来一直很受欢迎的原因之一是，几乎每个计算机系统都使用它。LDAP 是开源的，运行良好，因此没有创造出太多替代方案。

LDAP 的核心是跟踪基于 IP 的计算机系统或网络中的有效用户的数据库。它可以允许用户共享有关系统、网络、服务器、应用程序甚至同一网络上的其他用户的信息。

信息由 LDAP 存储在相当于数据库行或记录的形式中，该行或记录称为唯一判别名，通常缩写为 DN。每个 DN 都是独一无二的。举个例子，对于在大公司芝加哥会计办公室工作的用户来说，DN 可能是这样的。

cn=James Smith，OU=公司账户，DC=芝加哥，do=Parkview

为确保每个 DN 都是唯一的，可以向记录中添加各种代码，例如 “+”、“/”、“=” 等。还可以在记录之前或之后插入空格，以确保即使有两位詹姆斯·史密斯在芝加哥园景办公室的公司账户部门工作，他们每个人都有单独的 DN。

应用程序通常使用 LDAP 来允许用户发送有关特定 DN 的查询，例如，当试图在薪资部门找到正确的联系人来谈论支票上的错误时。当搜索查询中未验证用户提供的参数时，可能会发生 LDAP 注入。在这种情况下，黑客可以操纵良性搜索来绕过身份验证机制或执行其他任意查询。这可能会欺骗服务器显示不应允许的结果，例如用户密码，甚至导致应用程序在有或没有有效密码的情况下授予对网络中高度安全区域的访问权限。

为什么 LDAP 注入如此危险？

LDAP 注入的最大危险可能是该协议在全球大多数 IP 计算机网络中的扩散。对于想要窃取信息或提升其网络权限的黑客来说，它是一个简单的垫脚石。任何训练有素的黑客都无法检查是否可以注入 LDAP，因此安全团队必须确保这些漏洞始终处于关闭状态。

具体而言，许多应用程序经过编程，可以帮助有效用户找到有关组织内用户和群组的有限信息，或DN中包含的任何其他信息。例如，应用程序可能允许某人使用 LDAP 搜索在芝加哥工作的公司会计师的联系信息，这将返回上面示例中的朋友 James Smith。视权限而定，这可能是 LDAP 查询的完全有效用法。

当恶意用户可以添加未经过滤的查询参数，改变搜索的性质并诱使服务器提供通常不应该提供的信息时，危险就来了。例如，通过添加 user=* 字符串，攻击者可以获得有关整个组织中每个用户的信息，这可能永远不应该被允许。

对于使用 LDAP 进行身份验证的应用程序，问题可能更严重。例如，攻击者可以使用 LDAP 查询末尾的 (&) 字符串来欺骗服务器认为该论点是正确的。如果应用程序使用 LDAP 来验证密码，则通过 LDAP 注入强制使用 True 参数可能会允许未经授权的用户以管理员身份登录网络，即使没有密码。

在您的网络中将 LDAP 注入设置为 LDAP 注入

防止 LDAP 注入的最佳方法之一是实现诸如 LinqToad 或其他专门为抵抗注入而设计的框架。如果网络已经有利用 LDAP 查询的应用程序，则可能无法做到这一点。但是，即使在这种情况下，对于每个新应用程序来说，向前发展使用抗注入框架仍然是一个好主意。

还可以通过使用白名单验证和输入清理来强化使用 LDAP 的现有应用程序以防注入。在可能的情况下，将用户输入限制为一组有限的可信值。否则，应首先对作为 LDAP 查询一部分的用户输入进行清理，并且不要忘记包括 GET 和 POST 参数、cookie 和 HTTP 标头，因为它们也可以充当攻击向量。不要自己编写函数来执行输入清理；改用受信任的第三方安全性库或内置框架 API。

除了有针对性的修复外，良好的计算实践，例如为LDAP查询应用程序分配网络上所需的最低权限，也可以有所帮助。这样，如果最坏的情况发生并且LDAP注入得以通过，则可以减轻损失。

有关 LDAP 注入的更多信息

要进一步阅读，你可以看看 OWASP 写在上面 LDAP 注入，或 预防注射 备忘单。你还可以使用以下方法来测试你新获得的防御知识 免费演示 Secure Code Warrior 平台，该平台培训网络安全团队成为终极网络战士。要了解有关克服此漏洞以及其他恶棍威胁的更多信息，请访问 安全代码勇士博客。

如今，网站和应用程序通常允许用户使用电子邮件通过应用程序发送反馈、预约提醒和其他各种信息。通常，这个过程是相当温和的，大多数人甚至没有从潜在的安全风险的角度来考虑。

但是，与任何其他允许用户输入的设计元素一样，如果配置不当，这些看似无关紧要的功能可能会被恶意用户出于恶意目的操纵。它所需要的只是让用户能够在输入字段中输入代码，然后服务器会错误地处理这些代码。突然之间，电子邮件应用程序可能会被武器化。

在本集中，我们将学习：

• 攻击者如何触发电子邮件标题注入
• 为什么注入电子邮件标题很危险
• 可以修复此漏洞的技术。

攻击者如何触发电子邮件标题注入？

尽管通常不认为它是可编程的，但大多数电子邮件联系人应用程序或网站或应用程序中的功能都可以接受改变查询性质的输入。这通常是在用户在合同字段中输入其信息（例如电子邮件地址）后由服务器自动完成的。然后，该程序配置消息，添加相应的收件人，并使用其默认电子邮件服务器将消息发送出去。

典型的电子邮件 POST 请求可能如下所示：

POST /contact.php HTTP/1.1
主持人：www.example.com

并在用户输入信息后生成如下所示的代码：

name=realname&replyto= RealName@ValidServer.com &message=你的预约提醒

当黑客开始向流程中注入代码而不仅仅是他们的联系信息时，就会出现问题。这与 SQL 注入式攻击没什么不同，而是针对电子邮件应用程序进行的。改为将垃圾邮件从您的应用程序发送给目标用户的操纵查询的示例可能如下所示：

name=fakeName\n bcc：SpammedVictim@TargetAddress.com &replyTo= FakeName@ValidServer.com &message=SpamMed 消息

为什么电子邮件标题注入有危险？

根据恶意用户的技能及其意图，电子邮件标头注入攻击的严重程度可以从简单令人讨厌的攻击到非常危险的范围不等。在严重程度等级的低端，他们可能能够将他们的联系信息插入发送到贵公司内部秘密或未公开邮箱的外发邮件的 “密件抄送” 字段中，从而将其泄露给黑客。

更令人担忧的是，它可能允许他们完全控制你的电子邮件服务器，从你的组织发送垃圾邮件、网络钓鱼或其他攻击电子邮件。他们无需试图伪造电子邮件来自您的内部服务器的事实，因为它实际上是源自您的内部服务器。而且，如果您不监视该活动，他们甚至可以自动执行该流程，使用您组织的服务器发送成百上千封电子邮件，而且看起来像您实际上是在煽动该活动。

消除电子邮件标题注入问题

一如既往 SQL 注入 以及其他此类攻击，消除恶意用户利用电子邮件标题漏洞的可能性的关键是永远不要信任用户的输入。如果用户能够输入信息，即使这看起来像是一个简单的过程，例如输入他们的电子邮件地址，你也必须假设最坏的情况。或者至少假设最坏的情况是可能的。

应对所有参数进行输入验证，包括在向应用程序或网站添加电子邮件联系功能时。白名单可用于专门启用您认为有效的流程和字段，同时拒绝其他所有流程和字段。实际上，大多数框架都有可用的库，可以用来帮助将函数锁定为仅需要的函数。这样做将防止恶意用户输入的任何代码或命令被您的服务器识别和处理。

有关电子邮件标题注入的更多信息

要进一步阅读，你可以看看OWASP是怎么说的 电子邮件标题注入。你还可以使用以下方法来测试你新获得的防御知识 免费演示 Secure Code Warrior 平台，该平台培训网络安全团队成为终极网络战士。要了解有关克服此漏洞以及其他恶棍威胁的更多信息，请访问 安全代码勇士博客。

认为你现在准备好查找和修复电子邮件注入问题了吗？前往平台测试你的技能： [从这里开始]

大规格模分配漏之所以，这是因为许多现代的方框鼓鼓鼓鼓鼓起开发人员使用自动将来自客户端的输入绑定到代码变量和内部对象的函数。这样做是为了简化代码和加快操作制作而成。

攻击者可以使用这种方法法强制改永远不该由客户端更新新的对象属性。通常，这会导致特定业务的问题，例如用户向自己的添加管理人员权限限制，而不是关闭网站或取消公司机密信息。攻击者还必须与他们正处于利用的应用程序的业务逻辑之下的关系所在。

但的确，这些都不会降低低大规格模组在聪明而恶意的用户手中的危险。

在我们发布完整指南之前，先玩一下我们的游戏化之战，看看你的表演如何：

攻击者如何利用批量分配漏洞？

OWASP 提示的场景（并由我们稍后工作修改）假设一个使用批量赋值绑定值绑定到代代中码对象的不同同属性，该应用程序包包含绑定到代码中对象的不同同属性，该应用程序包含绑定到代码中对象的不同同属性。其中包括：用户可以更新的权限限制相关属性的权限以及只允许应用程序内部设置的流程相关属性。两者都使用批量赋值将属性的绑定到对对象。

在这种情况下，车载应用程序允许用户更新自己的个人资料，这在许多面向用户的应用程序中很常见。这是使用发送 API 调用完成后，该调用返回以下 JSON 对对象：

{“名称”: “SneakySnake”，“年龄”: 17，“is_admin”: false}

由于攻击者，本例中为 SneakySnake 先生，已重启了其属性和对象之间的关系，因而他可以使用以下重发发送更新的个人资料的原因所在：

{“名称”: “SneakySnake”，“年龄”: 24，，“is_admin”: true}

由于端点容我受到了批量分配的影响，因为它接收到新输入为有效输入。我们的黑客不只是在他的个人资料中增添了几年，而且而且还为自己配了管理人员权限的极限。

消除批量分配漏洞

尽量管在某些框架架构中使用批量分配 FUNCTURNAMUCABLE 可能很方便，但你想保持 API 的安全，则应避免这样做。相反，解析请求值，而不是将它们直接绑定到对对象。您还可以使用简化的数据传输对象，该对象提供的便利性与直接接入绑定到对比本身几乎是相似的，只是没有相关性。

作为额外的预防措施，绝对可以拒绝诸如上例中的管理者权利限制之类的敏感属性，这样的服务器将永远不会在 API 调用中接受。更好主意可能是在默认情况下拒绝所有属性，然后允许你希望的用户能够更新新或更改进特定、非敏感的属性。做这些任何事情，都有助手锁定 API 并消除环境中的大规模。

来看看 安全代码勇士 博客页面，详细了解此漏洞，以及如何保护您的和客户免受其他安全漏洞的破坏损坏。你也可以 试试演示提示 Secure Code Warrior 培训平台可让您的所有网络安全技能不间断地进行练习并保持最新状态。

虽然对于另类摇滚乐队来说，Padding Oracle 听起来像是一个非常糟糕的名字，但它实际上是一个漏洞，攻击者可以在不知道加密密钥的情况下利用它来解密信息。

就攻击者的总体难度而言，这个难度接近顶峰。我们谈论的不是神奇的解密按钮，而是一个艰苦的过程，黑客可以在其中检查发送给他们的有关单元格填充的错误消息，并用它来确定加密数据的结束位置和填充的起点。然后，他们可以找出加密中的各种位，如果有足够的时间和输入进行检查，他们就有可能破解它。

值得庆幸的是，有几个相对简单的步骤可以消除攻击者使用填充预言机解密加密数据的能力。在本集中，我们将学习：

• 它是如何运作的
• 为什么这个漏洞如此危险
• 如何设置防御措施来防止这种情况发生。

Padding Oracle 是如何工作的？

密码区块链 (CBC) 是一种创建分组密码的方法，其中使用适用于整个信息链的加密密钥对整个信息序列（例如存储在数据库中的单元）进行加密。使用 CBC 时，单个密文块的加密将取决于所有后续区块。从理论上讲，这使得加密变得非常强大，因为任何东西，即使是区块的重新排序，都会损坏数据。

CBC 密码（以及任何分组密码，就此而言）的问题在于，它们只能使用大小精确的区块进行加密。通常，这是以 8 或 16 字节的大小完成的。那么，当CBC需要将2字节的数据放入一个16字节的密文单元中时会发生什么？它将使用填充，基本上只是胡说八道的字符，来填补空白，使单位大小合适。

大多数填充方案都是众所周知的，其中 PKCS #7 是最受欢迎的方案之一，因此攻击者可能知道正在使用哪种填充。例如，如果 CBC 需要在一个块中填充五个字符，PKCS #7 将使用在纯文本之后重复五次的字节值 0x05。

攻击者利用他们对CBC和填充方案的了解向主机服务器（也称为预言机）发送查询。如果他们可以使用正确的工具，他们可以强制服务器告诉他们查询中的填充是否不正确。为此，他们可以将密码中的每个字节从零循环到255，直到服务器告诉他们填充是正确的。然后，他们转到下一个单元并重复该过程，记录每种情况下填充的起始位置。

这不允许他们解密消息甚至单元，但可以让他们根据纯文本的结束位置和填充的起点来映射链中的每个链接。他们还可以使用异或计算来计算原始纯文本最后一个字节的值。

为什么 Padding Oracle 如此危险？

黑客之所以会投入这么多精力来破解加密，是因为潜在的回报。很少有人加密不值钱的东西。东道组织面临的危险取决于被泄露的数据。这可能包括密码、用户账户、财务信息、信用卡号、患者记录、敏感通信或任意数量的备受追捧和有价值的信息。

使用 padding oracle 也可以成为后续攻击的门户。例如，如果攻击者可以使用 padding oracle 窃取密码，那么提升他们的权限并更深入地渗透到网络中就是一项简单的次要任务。

每个人都认为加密是抵御窥探或入侵的终极防御。但是，加密科学与可能打破加密科学的科学之间的来回交流已经持续了几个世纪。Padding oracle 只是让攻击者占据优势的一种方法。

让 Padding Oracle 攻击实现硬着陆

值得庆幸的是，有很多方法可以防止 padding oracle。最好的方法之一是使用更强的加密操作模式，例如伽罗瓦/计数器模式（GCM）或偏移码本模式（OCB）。它与 CBC 的不同之处在于它使用大小为 128 位的密码块。它还对每个数据块使用计数器，然后使用该数字来创建密文。换句话说，它不容易受到填充预言机攻击的影响。

实施良好的错误处理控制也会严重损害攻击者的成功机会。由于填充预言机攻击依赖于信息泄露，因此在加密/解密失败时返回通用错误消息，而不是特定的填充错误。

您还可以实现消息身份验证码 (MAC)。MAC 值允许验证者使用密钥检测消息内容的任何更改，从而保护数据的完整性及其真实性。

最后，所有填充预言机攻击都需要重复查询。可以发出 200 多个请求，要求计算出单个单元的填充方案，乘以链中受保护的信息单元的数量。通过限制来自同一来源的请求数量，你可以在攻击者真正开始尝试之前拒绝他们访问，从而关闭填充预言机攻击。

关于 Padding Oracle 的进一步研究

攻击者可以解密敏感信息的任何方法都可能成为一场真正的噩梦。但是，我们希望你从一开始就学到了很多防止这种情况发生的好方法。

要进一步阅读，你可以看看 OWASP 定义和清单 在 padding oracle 上。你还可以使用以下方法来测试你新获得的防御知识 免费演示 Secure Code Warrior 平台，该平台培训网络安全团队成为终极网络战士。要了解有关克服此漏洞以及其他恶棍威胁的更多信息，请访问 安全代码勇士博客。

你认为你现在能胜任阻止 padding oracle 攻击的任务吗？在 Secure Code Warrior 平台上试一试：

与许多漏洞不同，利用本地文件包含和路径遍历过程实现恶意目的需要足够熟练的攻击者、相当长的时间，可能还需要一点运气。这并不是说这个漏洞可以忽视。熟练的攻击者可以使用它来攻击组织的内部文件，绘制目录结构，甚至窃取可用于危险的二次攻击的密码和用户信息。

在本集中，我们将学习：

• 黑客如何利用本地文件包含和路径遍历漏洞
• 为什么允许不受限制的本地文件包含和路径遍历可能很危险
• 可用于发现和解决此问题的策略和技术。

攻击者如何利用本地文件包含和路径遍历？

经典电视侦探哥伦布（Columbo）过去总是说：“再来一件事”，然后才提供可以破解手头案情的有价值的信息。这在当时似乎无关紧要，几乎总是被嫌疑人所忽视，但事实证明这无济于事。本地文件包含和路径遍历漏洞很像这样。

本地文件包含和路径遍历漏洞使用了大多数编程框架（如 ASP、JSP 和 PHP 脚本）中存在的动态文件包含机制。为了包含本地文件，攻击者将本地服务器上存在的文件名滑入 Web 应用程序的某个区域，例如标题或表单输入区域。应用程序照常处理主输入，但也会处理包含（页面）或类似命令。在路径遍历中，攻击者定义可疑文件的路径，通常使用点、点和斜杠 (../) 字符作为变量。这与哥伦布非常相似，因为黑客真的不在乎争论的第一部分。这只是他们在最后添加 “只剩一件事” 的一种手段。

无论哪种情况，攻击者通常都必须进行大量的反复试验。除非他们非常熟悉网站的结构，否则猜测路径配置和文件名可能需要很长时间。也就是说，大多数网站遵循特定的模式，并且具有或多或少相似的目录和文件名。因此，可能不会像您想象的那样花费很长时间。而且，鉴于这笔支出可能非常丰厚，一旦发现本地文件包含和路径遍历漏洞，黑客就会有很大的动机尝试利用这些漏洞。

为什么本地文件包含和路径遍历漏洞很危险？

本地文件包含和路径遍历漏洞很危险，因为它们可能允许攻击者访问敏感或关键文件。对于数据文件，危险在于黑客可能会获得一些有价值的东西，例如用户密码或其他个人信息。主要目标通常是密码或用户配置文件，因为这将提供对网站其余部分的访问权限。数据库也是主要目标。在最坏的情况下，本地文件包含和路径遍历漏洞可能允许攻击者窃取数据库的全部内容。

对于可执行文件，危险在于，获得访问权限可能允许攻击者进行恶意活动，例如破坏部分站点，甚至通过浪费系统资源发起某种类型的内部拒绝服务攻击。但是，危险的全部范围仅受攻击者的聪明才智和技能以及他们可以访问的目标服务器上已经存在的任何文件的限制。

消除本地文件包含和路径遍历构成的威胁

通过良好的网络安全实践，可以消除本地文件包含和路径遍历漏洞构成的危险。要记住的最重要的事情是永远不要允许用户在 “文件包含” 或其他具有类似功能的命令中输入。如果应用程序必须允许，请不要直接将其传递。改为使用间接参考地图。间接参考地图接受用户输入并将其映射到一组硬编码的可信值，然后可以安全地使用这些值。

与许多其他漏洞一样，请特别注意所有用户控制的输入区域，例如 cookie、HTTP 标头和表单参数。应将允许的输入列入白名单，其他所有内容都应明确拒绝。如果无法做到这一点，请使用输入验证来严格控制允许使用哪些值，例如数字、字母数字值等。

有关本地文件包含和路径遍历的更多信息

要进一步阅读，你可以看看 OWASP 测试指南 用于本地文件包含和路径遍历漏洞。你还可以使用以下方法来测试你新获得的防御知识 免费演示 Secure Code Warrior 平台，该平台培训网络安全团队成为终极网络战士。要了解有关克服此漏洞以及其他恶棍威胁的更多信息，请访问 安全代码勇士博客。

代码注入攻击是许多网站和应用程序将遇到的最常见，也是最危险的攻击之一。它们在复杂程度和构成的危险方面无所不包，但是几乎所有接受用户输入的网站或应用程序都可能存在漏洞。实际上，几乎每个网络安全捍卫者在职业生涯的某个时刻都需要应对这种攻击，并且可能会多次努力应对。

每当应用程序或网站接受用户的输入时，就会发生代码注入攻击。这可以像提供搜索功能或要求用户输入其身份信息一样简单。当恶意用户在开放字段中输入代码而不是普通文本输入时，就会发生攻击。他们的目标是让服务器将输入误认为是有效的代码，然后执行攻击者想要的任何函数。

虽然代码注入攻击极为常见，但可用于阻止它们的可用防御措施也非常普遍。在本集中，我们将学习：

• 它们是如何工作的
• 为什么它们如此危险
• 如何设置防御措施来阻止他们。

攻击者如何使用代码注入？

尽管有关代码注入攻击的具体细节因所使用的编程语言而异，但只要允许用户输入数据，任何应用程序或网站都可能容易受到攻击。已经触发了针对 SQL、HTML、XML、CSS 和其他所有常见编程语言的代码注入攻击。

首先，攻击者必须在应用程序中找到易受攻击的代码，通常是在允许用户输入自己的输入时。例如，此代码采用 PHP eval () 函数并将其传递给用户进行修改，而无需对返回字符串进行任何形式的验证。

$myvar = “变量名”;
$x = $_GET [arg];
eval (“\ $myvar =\ $x;”);

聪明的攻击者可以轻松地将自己的字符串添加到 eval 函数中，甚至可以选择执行系统命令。

/index.php？arg=1；系统（ID）

值得注意的是，虽然代码注入攻击可能涉及发送系统命令，但它们不仅限于发送系统命令。实际上，在代码注入攻击中，黑客仅受语言本身功能的限制。在我们的示例中，攻击者可以对目标系统进行编程，使其几乎可以执行 PHP 框架允许的任何操作。

为什么代码注入攻击如此危险？

代码注入攻击可能极其危险，具体取决于攻击者的技能。他们可以做编程语言允许的任何事情，这使他们与应用程序的程序员处于同等地位。攻击者实际上可以编写自己的应用程序并让它在目标环境中执行。

即使是技能较低的攻击者也可能很危险。他们无需编写自己的应用程序或代码字符串，只需命令目标系统接受并安装预编程的恶意软件即可。这可能导致网站污损、勒索软件攻击，甚至成为针对网站用户的网络钓鱼活动的基础。

在大多数情况下，代码注入攻击用于窃取用户列表和密码等信息，或者对旨在进一步入侵的系统进行宝贵的侦察。但是请注意，熟练的编码人员几乎可以通过代码注入攻击做任何事情，这就是为什么必须发现代码注入攻击的每个潜在实例并将其从您的环境中删除的原因。

不要相信任何人！（或者至少，不是用户）

在消除代码注入攻击漏洞时，首先要注意的是任何要求或允许用户输入的地方。在任何情况下，用户输入的任何内容都不可信任。如果你允许用户在不进行过滤或检查的情况下进行输入，那么你基本上是在邀请攻击者免费尝试入侵你的系统甚至网络。

尽管并非总是可能的，但阻止代码注入攻击的最佳方法是防止函数直接执行或解释用户输入。也许可以让用户选择静态选项，而不是自由输入自己的查询，应用程序编程为只接受这些有限的选择是有效的。这样做可能并不总是合适的，但尽可能地使用它可以在代码注入开始之前消除代码注入。

对于用户需要输入自己的输入的区域，必须严格控制这些数据。假设一切都是潜在的攻击是个不错的起点。在客户端和服务器端强制执行最低权限策略，例如只读用户访问权限，可能会阻止大多数代码的执行。

另一个好的防御措施是对所有用户输入的内容实施应用程序范围的过滤和清理。开发人员多年来一直意识到代码注入攻击，每种框架和语言都有经过验证的过滤器库。应用这些过滤器时，请务必不仅针对明显的用户输入区域或 Get 和 Post 命令等常见参数，还要针对 Cookie 和 HTTP 标头进行筛选。

对代码注入应用更正

从环境中移除不必要的用户输入区域，执行最低权限原则，并使用最新的过滤和清理工具来检查和检测潜在的攻击，可以关闭这个危险漏洞的大门。保持从不信任用户输入的心态也将有助于你向前迈进。做完所有这些，你就能在这类危险的攻击中领先一步。

要进一步阅读，你可以看看 OWASP 写在上面 代码注入。你还可以使用以下方法来测试你新获得的防御知识 免费演示 Secure Code Warrior 平台，该平台培训网络安全团队成为终极网络战士。要了解有关克服此漏洞以及其他恶棍威胁的更多信息，请访问 安全代码勇士博客。

现在正面注入人脸密码。在我们的游戏化训练平台上接受挑战： [从这里开始]

本系列博客将重点介绍与应用程序编程接口 (API) 有关的一些最严重的漏洞。这些都太糟糕了，以至于他们创建了开放 Web 应用程序安全项目 (OWASP) 主要的 API 漏洞列表。鉴于 API 对现代计算基础架构的重要性，您需要不惜一切代价将这些关键问题排除在应用程序和程序之外。

这个 缺少功能级别访问控制 漏洞允许用户执行应受限制的功能，或者允许他们访问应受保护的资源。通常，函数和资源直接受到代码或配置设置的保护，但要正确执行并不总是那么容易。实施适当的检查可能很困难，因为现代应用程序通常包含多种类型的角色和群组，以及复杂的用户层次结构。

但首先，为什么不跳进来玩我们的游戏化挑战赛，看看你在解决这一类棘手的错误时所处的位置？

让我们更深入地了解一下：

API 特别容易受到此缺陷的影响，因为它们是高度结构化的。了解代码的攻击者可以对如何实现本应限于他们的命令做出有根据的猜测。这是功能/资源级访问控制漏洞进入OWASP前十的主要原因之一。

攻击者如何利用功能级别访问控制漏洞？

怀疑功能或资源未得到适当保护的攻击者必须首先获得对他们想要攻击的系统的访问权限。要利用此漏洞，他们必须有权向端点发送合法的 API 调用。也许有低级别的访客访问功能或某种匿名加入的方式，作为应用程序功能的一部分。一旦建立了访问权限，他们就可以开始更改其合法API调用中的命令。例如，他们可能会将 GET 替换为 PUT，或者将 URL 中的用户字符串更改为 ADMINS。同样，由于 API 是结构化的，因此很容易猜出可能允许使用哪些命令，以及将它们放在字符串中的什么位置。

OWASP 举了一个为允许新用户加入网站而设置的注册流程漏洞的示例。它可能会使用 API GET 调用，如下所示：

GET /api/invites/ {invite_guid}

恶意用户将返回一个 JSON，其中包含有关邀请的详细信息，包括用户的角色和电子邮件。然后，他们可以将 GET 更改为 POST，还可以使用以下 API 调用将邀请从用户提升到管理员：

POST /api/邀请/新增
{“电子邮件”:” shadyguy@targetedsystem.com “，“角色”: “管理员”}

只有管理员才能发送 POST 命令，但如果没有得到适当的保护，API 将接受这些命令为合法命令，并执行攻击者想要的任何命令。在这种情况下，恶意用户将被邀请以新管理员身份加入系统。之后，他们可以看到并做任何合法管理员能做的事情，这不是一件好事。

消除功能级访问控制漏洞

防止这个 API 漏洞尤其重要，因为攻击者不难在结构化 API 中找到不受保护的函数。只要他们能够获得一定程度的API访问权限，他们就可以开始映射代码的结构并创建最终要遵循的调用。

因此，必须使用基于角色的授权方法保护所有业务级功能。大多数框架都提供集中式例程来实现这一目标。如果你选择的框架没有，或者它的例程难以实现，那么有许多外部模块是专门为易于使用而构建的。无论你最终选择什么方法，一定要在服务器上实现授权。切勿尝试从客户端保护功能。

在努力创建功能和资源级别权限时，请记住，只应向用户授予执行所需操作的权限，仅此而已。与编码 API 或其他任何东西一样，练习最低权限方法。它将保护您的环境，并避免将来出现许多与网络安全相关的问题。

来看看 安全代码勇士 博客页面，详细了解此漏洞以及如何保护您的组织和客户免受其他安全漏洞的破坏。你也可以 试试演示 Secure Code Warrior 培训平台可让您的所有网络安全技能不断磨练并保持最新状态。

”松开的嘴唇会沉没船“是第二次世界大战时期在美国流行的一句话。在那里，你听说 “粗鲁心脏大意的谈话会去生命”。这句话的要点是，粗鲁的心脏大意思是说我的感官信息可能会被人无意中听见，并导致 nigrenerege 的后果。

构造创建 Web 应用程序时，同样的原因也适用。当你的网络应用程序泄露过多信息时，攻击者可以更容易地进入这些信息。

在这篇文章中，我们将介绍什么是信息泄露、它为何危险，以及如何防止。

在露露中了解信息

信息泄露是指将内部信息暴露给不该看的人的网络应用程序。它也可以通过日志文件或用户界面显示感官的客户信息。无论哪种方式，攻击者都可以使用他们发现的信息来攻击您的系统或用户。

通常，攻击者的第一步是尝试在应用程序中试一试制造错误。错误处理和 Web 应用程序配置不当会导致错误消息导向信息泄露。如果攻击者在你的应用程序中创建错误会发生什么？如果出现技术消息，包括跟踪等技术细节，则表明您的信息过多。这些详细信息可能包括你正在使用哪个数据库或者你正在运行的应用程序服务器的哪个版本。

敏感信息泄露可能以其他方程式发出。表单上是否有包含敏感信息的隐藏字段？攻击者只需查看页面的源代码并查看其值即可。

简而言之，当用户知道自己的信息变量时，当我立即访问时，就会发生信息泄露。

了解为什么信息泄露是危险的

攻击者可以用应用程序暴露的信息做什么？如果信息本质上是敏感，则攻击者可以取消身份或用户认证。这可能导致经济损失、隐私和监控管道

如果攻击者使用错误消息获取有关应用程序的信息，则该信息可能会被用于将来的攻击。实际上， OWASP 测试指南 有一整节是关于 信息收集。

OWASP 测试指南南鼓鼓使用搜索引擎来查你可能不想知道你的网站信息。例如，你的管理页面是不是向搜索引擎公开？使用 robots.txt 文件告诉搜索引擎不能索引某些页面。同时，robots.txt 文件也可能泄漏信息。敏感网址有时间可以位于 robots.txt 文件中。攻击者提示文件并开始学习该网站的一些目录结构。

谷歌拥有先锋的搜索引擎选项，可以对网站进行深度检查。例如，您可以使用 “sit <domain>e e:” 语法在特定站点上进行搜索。您可以查看缓存的页面，这些页面的页面可能已被删除，但是 piskarites 位于先前引擎作用的缓存中。使用不同同的搜索引擎，例如bing和duckDuckGo可能会产生不相同的结果，因此请在每个搜索引擎引擎</domain>上测试您的网络应用程序。

HTTP 标题、网站横幅，是 HTML 和 JavaScript 代码中的评论，都可能包含攻击者不该看的信息。HTTP 标记可以显示应用程序服务器和版本号。攻击者可以使用这些信息来查找针对这些特定版本的漏洞。确切地保你了解攻击者可以在哪些不同的位置找到你的信息，以了解当地如何隐瞒这些信息。

打击泄露信息泄露

信息泄露是 Web 应用程序配置的问题。默认情况下，许多应用程序服务器都会在错误消息中返回跟踪消息。请务必更新改进 proclesApplication 程序的此设置，以重定向到通用的错误页面，同时记住录制错误以进行排除。不应该将详细的错误消息返回到用户的浏览器。

你有任何包含敏感信息的应用程序必需的文件，请确认保密的访问控制确认只有应用程序本身才能读取它。禁用服务器上面的目录列表并会将这些文件移出网络根目录目录。这可以阻止攻击者通过以下方式导航到文件使用浏览器 目录录普遍历程攻击。

如果配置不正确，则日志可用于收集集合信息。发生错误时，不记住录入敏感信息，例如密码、会话令牌或个人身份信息 (PII)。如果攻击者能够获得对日志文件的权限，他们就会发现大量的敏感信息可供获取。不要记住超过必需的次数，这通常是账号标识符、详细的消息，可能还有错误发生的方法或正在执行的操作。假设日志文件不是机密文件，你不会在其中放置位置敏感信息。

不要沉没你的 Web 应用程序

你真的可以和朋友说话时机泄露信息，直接接到一艘战舰在第二次世界大战中丢失失了吗？也许不是。但是为什么要冒险呢？这就是俗语的教导：“松开的嘴巴会使船只沉默。”

同样，没有理智地向外界公开 Web 应用程序。我没有理由查看完整的信用卡号或密码。没有理由 LOGFILE 中保存 PII 数据。所以不要这样做。 查看我们的学习资源 以了解有关信息的更多信息。

将应用程序在原处运行保存。不要沉没你的 Web 应用程序。

你知道你现在可以制止信息泄露了吗？勇士，挺身接战： [从这里开始]