某市Web应用安全评估情况调查分析

本文主要讲述web安全情况调查背景,web安全的评估方法、对象、内容以及统计分析web安全现状,从而得出检测结论。

1.1  调查背景

随着网络技术的快速发展,越来越多的web应用件被用于Internet中。对于Web应用软件而言,是一种借助Internet技术加以连接的客户/服务器软件,并且可以传输数据。在市场需求的不断推动下,Web应用软件的种类与数量也不断增加,软件的复杂程度也不断增加,软件的质量与安全问题已成为人们越来越关注的问题。

而最新的网络安全统计数据表明,累计每天都有超过12亿人次的网民受到木马攻击,并且有大量的流行软件、大型网站被“挂马”,并且每年都呈现出明显的大幅度增长趋势。由此可以看出,现阶段的互联网仍然非常脆弱,90%左右的木马病毒都以“挂马”的形式进行传播。而这些问题的额产生,在很大程度上源于web安全领域的问题,如后台服务器的不安全设置、系统漏洞、Web应用程序实现代码缺陷等,给不法分子以可乘之机。而对于这些隐患而言,75%左右的攻击都出现在Web应用程序本身,这也是用入侵检测系统、防火墙以SSL所无法应对与解决的。 

Web应用安全现状:

Ø  超过半数的网站Web应用数据遭受泄露、造成重大财务损失

Ø  企业网站安全事件频发、遭黑客勒索与竞争对手恶意攻击

Ø  越来越多的网站开始将业务接入到云计算服务中、充分利用云的计算优势和便利

Ø  网站的管理者都开始关注网站安全,会使用安全产品进行防护

为了更深层次的了解当前WEB应用的安全情况,我们选取了一部分有代表性的WEB应用系统进行针对性的调查和分析。

1.2  评估方法

为了让调查结果更具代表性和一般性,我们从金融、政府、媒体、电信、制造业和电子商务等多个行业选取了107个web应用作为测试对象,在取得相关单位授权后进行了漏洞评估。

漏洞评估是通过手动的黑盒、灰盒和白盒测试(借助自动化工具)或自动源代码分析进行的。黑盒测试意味着从外部攻击者的角度来看待应用程序,而外部攻击者对应用程序没有预先的或内部的知识。灰盒测试类似于黑盒测试,只不过攻击者被定义为在web应用程序中具有某些特权的用户。

漏洞的严重程度是根据通用评分系统(CVSS v.3)计算出来的。基于CVSS的评分,我们将漏洞分为三种危险等级:高、中、低。

1.3  评估对象

评估的应用程序,覆盖了许多行业的多个公司,包括金融、政府、媒体、电信、制造业和电子商务。

图片.png

今年,PHP和java是最常用的开发语言,ASP.NET应用程序的比例与去年同期相比有所增加,“other”类别(如Ruby、Python)中开发语言的应用程序仅占7%。

图片.png

1.4  评估内容

本次安全评估主要结合OWASPTOP10漏洞对web系统安全性进行测试。

1. 注入,包括SQL、操作系统和LDAP注入

注入缺陷,如sql、os和ldap注入出现在不受信任的数据作为命令的一部分或查询。攻击者的恶意数据可以解释器执行命令或访问未经授权数据。

2. 有问题的鉴别与会话管理

验证和会话管理相关的应用功能往往不能正确实施,使得攻击者能够妥协密码、密钥或会话令牌,或利用其他实现缺陷承担其他用户的身份。

3. 跨站脚本攻击(XSS)

xss使得攻击者能够在受害者的浏览器中执行脚本,可以劫持用户会话、污损网站,或者将用户重定向到恶意网站。

4. 不安全的直接对象引用

直接对象引用时发生于公开内部实现的对象引用,如文件、目录或数据库的关键引用,攻击者可以操纵这些引用来访问未经授权的数据。

5. 安全配置错误

良好的安全需要有一个安全的配置定义和部署应用、框架、应用服务器、web服务器、数据库服务器和平台。安全的重点是实现和维护,此外,软件应该保持最新。

6. 暴露敏感数据

许多web应用程序不能正确保护敏感数据,如信用卡、税务id和身份验证凭据。攻击者可能会窃取或修改这些弱受保护的数据进行信用卡诈骗、身份盗窃,或其他罪行。如加密敏感数据是关键的预防措施。

7. 函数级访问控制缺失

大多数web应用程序的功能级别的访问权限验证功能中可见的用户界面。然而,应用程序需要在服务器上执行相同的访问控制检查在每个函数。攻击者将能够伪造请求,以访问未经授权功能。

8. 跨站请求伪造(CSRF)

csrf攻击登录受害者的浏览器发送一个http请求,向易受攻击的web应用程序,获取包括受害者在内的会话cookie和任何其他自动包含身份验证信息。攻击者强制受害者的浏览器生成请求,导致应用程序认为是从受害者的合法要求。

9. 使用存在已知漏洞的组件

如数据库、框架,和其他软件模块,几乎都拥有完全权限的运行。如果利用易受攻击的组件,这种攻击可以导致数据丢失或服务器接管。并使可能的攻击范围和影响扩大。

10. 未验证的重定向

经常和转发用户重定向到其他网页的web应用程序和网站,并使用不受信任的数据来确定目标页面。攻击者可以重定向到网络钓鱼或恶意软件网站。

 

1.5  统计分析

所有的web应用程序,无论是使用手动的还是自动的安全评估工具进行检查,都包含了各种危害级别的安全漏洞。只有2%的应用程序具有完全的低危漏洞。

图片.png

高危漏洞示例
图片.png

低危漏洞细节示例
图片.png

低危漏洞检测示例

图片.png

通过手工测试和自动化检测,发现高危漏洞的网站比例为58%,几乎所有应用程序都检测到中危漏洞和低危漏洞。

漏洞整体分布情况如下:
图片.png

手动测试结果显示了在发现的所有漏洞中,大多数(81%)是中危漏洞,十分之一为高危漏洞。

图片.png

而手工检测和工具检测的主要区别在于业务逻辑型漏洞,如越权漏洞、文件上传漏洞、账户枚举漏洞等,同时还有部分常规漏洞的绕过WAF后的检测,如XSS漏洞、SQL注入漏洞、命令执行漏洞等。
图片.png

平均而言,手动分析发现每个应用程序有17个中危漏洞、2个高危漏洞和2个低危漏洞。

1.6  检测结论

1、评估的所有web应用程序都存在漏洞

在分析的所有应用程序中都发现了安全漏洞,58%至少有一个高危漏洞。

2、应用程序的用户不受保护

大多数应用程序允许对其用户进行攻击。此外,许多应用程序对用户数据的保护不够。例如,在处理个人数据的应用程序中,20%的应用程序都被我们获取到了访问用户信息的权限,这中间包括银行和政府网站。

3、敏感信息泄漏仍然是一个紧迫的问题

大约有一半的web应用程序存在关键数据泄漏的问题,包括源代码和个人数据。63%的web应用程序公开了正在使用的软件版本。

 

关注我们

对web安全有兴趣的小伙伴可以关注或加入我们,TideSec安全团队:

1551433162_5c78fdca9fae9.jpg

更多精彩
取消
Loading...

填写个人信息

姓名
电话
邮箱
公司
行业
职位
css.php