網(wǎng)頁漏洞解析暨安全防護(hù)

《網(wǎng)頁漏洞解析暨安全防護(hù)》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在工程資料-天天文庫。

1、網(wǎng)頁漏洞解析暨安全防護(hù)講者:吳惠麟大綱?網(wǎng)站系統(tǒng)漏洞?Shellshock(CVE-2014-6271)?Heartbleed(cve-2014-0160)?Apachekiller(cve-2011-3192)?基本安全設(shè)定暨owasp(2013)top10?開源碼WAF簡介2ShellShock?Bash對環(huán)境變數(shù)的解析?Gnubash4.3之前3ShellShock偵測?http://shellshock.brandonpotter.com/?envVAR='(){:;};echoBash

2、isvulnerable!'bash-c"echoBashTes4test-cgi?Apache預(yù)設(shè)測試檔案?利用環(huán)境變數(shù)顯示HTTP相關(guān)資訊5Heartbleed?洩漏記憶體內(nèi)容?受影響版本:OpenSSL1.0.1~1.0.1f?程式撰寫錯誤,非SSL通訊協(xié)定的問題6Heartbleed建議?確認(rèn)openssl版本是否在受影響的版本內(nèi)?利用telnet測試網(wǎng)站所搭配的SSL版本7OpenSSL漏洞8Heartbleed建議?可利用線上偵測網(wǎng)站或偵測程式?https://filippo.io/

3、Heartbleed/?http://possible.lv/tools/hb?更新openssl至1.0.1g?利用相關(guān)資安設(shè)備阻擋heartbleed的攻擊?iptables-AINPUT-ptcp--dport443-mu32--u32"52=0x18030000:0x1803FFFF"-jDROP?如果可能，更換所有的密碼9攻擊手法-(DenialofService)?癱瘓攻擊?程式本身的漏洞?大量封包服務(wù)?網(wǎng)路通訊的弱點?型式?單一拒絕服務(wù)攻擊?分散式拒絕服務(wù)攻擊10D.o.S(Apa

4、cheKiller)11D.o.S(Windows)12ApacheKiller?利用通訊協(xié)定的漏洞攻擊(apache2.2.20之前版本)?利用表頭(Header)的range欄位攻擊?正常一個Request即回覆一個頁面?Range允許一個Request可回覆頁面中多個不同區(qū)段的內(nèi)容，籍此消耗光主機(jī)資源?無需利用太多機(jī)器即可攻擊成功?https://httpd.apache.org/security/CVE-2011-3192.txt13ApacheKiller?預(yù)設(shè)存取網(wǎng)頁方式（一個Req

5、uest,一個Response）?telnet[網(wǎng)站伺服器所在的主機(jī)位址]80GET/index.htmlHTTP/1.114ApacheKiller?以range欄位存取頁面?telnet[網(wǎng)站伺服器所在的主機(jī)位址]80GET/index.htmlHTTP/1.1Range:bytes=100-200,201-205,206-22015Apache基本安全設(shè)定?隱藏Apache的版本號及其它敏感資訊?在httpd.conf中加入ServerSignatureOffServerTokensPro

6、d?關(guān)閉網(wǎng)站列表?httpd.confOptionsNone#關(guān)閉列表及symbollink16Apache基本安全設(shè)定?使用Apache專用帳號?httpd.confUserwwwGroupwww?關(guān)閉CGI功能(如未使用CGI)?刪除/cgi-bin/預(yù)設(shè)檔案(printenv,test-cgi)?httpd.confOptionsNone17什麼是OWASP18什

7、麼是OWASP?OWASP一個開放社群、非營利性組織，全球目前有82個分會，其主要目標(biāo)是研議協(xié)助解決網(wǎng)路軟體安全之標(biāo)準(zhǔn)、工具與技術(shù)文件，長期致力於協(xié)助政府或企業(yè)瞭解並改善應(yīng)用程式的安全性。?美國聯(lián)邦貿(mào)易委員會（FTC）強(qiáng)烈建議所有企業(yè)務(wù)必遵循OWASP所發(fā)佈的十大網(wǎng)路弱點防護(hù)守則，美國國防部亦將此守則列為最佳實務(wù)，就連國際信用卡資料安全技術(shù)PCI標(biāo)準(zhǔn)更將其列為必要元件。19OWASP201320A1:INJECTION21Google(內(nèi)容搜尋):intext22Google(標(biāo)頭搜尋):int

8、itle23Google(URL搜尋):inurl24Google(URL搜尋):inurl25Google(檔案類型搜尋):filetype26Google(站內(nèi)搜尋):site27Googlehacking?利用google查詢,有檔案列表漏洞且內(nèi)含mdb檔案的網(wǎng)站(intitle:indexof/mdb)?取得學(xué)校的email資訊site:nsysu.edu.twintext:*@*.nsysu.edu.tw28Googlehacking?查詢phpmyadmin的setup.php?in