近日，Wedge Networks(穩捷網(wǎng)絡(luò ))宣布，基于公司BeSecure Web安全網(wǎng)關(guān)構建企業(yè)網(wǎng)站保護方案，成功實(shí)現對全球十三類(lèi)網(wǎng)站攻擊行為完整防御，確保用戶(hù)網(wǎng)站的整體信息安全。據悉，新方案彌補了傳統網(wǎng)站保護方案僅打補丁或單一網(wǎng)絡(luò )封堵的思路，而是多管齊下，從網(wǎng)絡(luò )防御、網(wǎng)址過(guò)濾、信息內容監管、漏洞管理、內外郵件掃描等多個(gè)環(huán)節對網(wǎng)站W(wǎng)eb服務(wù)器進(jìn)行安全保護。
全球13類(lèi)網(wǎng)站攻擊行為
攻擊一：代碼執行攻擊
描述
當輸出或者觸發(fā)服務(wù)器端代碼時(shí)，漏洞植入到代碼中。在有些不嚴密的Web應用程序中，用戶(hù)可以通過(guò)修改應用程序發(fā)布到留言板或留言簿，有時(shí)可能是注入的應用程序本身的腳本語(yǔ)言代碼的服務(wù)器端文件。
危害
用戶(hù)可能會(huì )執行與Web服務(wù)器權限外的任意系統命令。
攻擊二：Cookie操作攻擊
描述
Cookie信息很容易被攻擊者解密。由于Cookie是利用了網(wǎng)頁(yè)代碼中的HTTP或者M(jìn)ETA的頭信息進(jìn)行傳遞的，因此可以改變存儲在客戶(hù)瀏覽器中的設置。攻擊者修改Cookie信息，以欺詐的手段進(jìn)行輸入驗證。
危害
通過(guò)利用此漏洞，攻擊者可以進(jìn)行固定會(huì )話(huà)攻擊。在一個(gè)固定會(huì )話(huà)攻擊中，攻擊者使用他人的信息進(jìn)行會(huì )話(huà)，然后以用戶(hù)身份登錄到目標服務(wù)器，最后再消除登陸會(huì )話(huà)的ID。
攻擊三：CRLF注入/ HTTP響應拆分攻擊
描述
該腳本很容易被將CRLF命令注入到系統中。HTTP頭的定義就是基于“Key： Value”的結構，用CRLF命令表示一行的結尾。這就意味著(zhù)攻擊者可以通過(guò)CRLF注入自定義HTTP 頭，導致其可以不經(jīng)過(guò)應用層直接與服務(wù)器對話(huà)。HTTP響應拆分漏洞是一種新型的Web攻擊方案，它重新產(chǎn)生了很多安全漏洞包括：Web緩存感染、用戶(hù)信息涂改、竊取敏感用戶(hù)頁(yè)面、跨站腳本漏洞。攻擊者可以發(fā)送一個(gè)或幾個(gè)HTTP指令迫使漏洞服務(wù)器產(chǎn)生一個(gè)攻擊者構想好的輸出。它可以讓服務(wù)器誤把幾條HTTP請求看成一次完整的HTTP請求來(lái)解釋。
危害
一個(gè)遠程攻擊者可以注入自定義的HTTP頭。例如，攻擊者可以注入會(huì )話(huà)Cookie或HTML代碼。這種行為可能導致跨站腳本攻擊固定會(huì )話(huà)攻擊。
攻擊四：跨站腳本攻擊
描述
跨站腳本(也稱(chēng)為XSS攻擊)是一個(gè)漏洞，攻擊者可以發(fā)送惡意腳本(通常以JavaScript的形式)到另一個(gè)用戶(hù)。由于瀏覽器無(wú)法分辨此信息是否可信，入侵者運用腳本將Cookie保存了完整的用戶(hù)名和密碼資料保存到記錄頁(yè)面中。
危害
XSS可使用的技術(shù)有JavaScript、VBScript、 ActiveX、 或 Flash， 且通常通過(guò)頁(yè)面表單提交注入到web應用中并最終在用戶(hù)的瀏覽器客戶(hù)端執行。
攻擊五：目錄穿越攻擊
描述
目錄穿越漏洞允許攻擊者訪(fǎng)問(wèn)受限制的目錄可以訪(fǎng)問(wèn)Web服務(wù)器的根目錄。
危害
通過(guò)利用目錄穿越漏洞，攻擊者在一個(gè)Web服務(wù)器上使用這個(gè)軟件除了可以訪(fǎng)問(wèn)服務(wù)器的根目錄外還可以訪(fǎng)問(wèn)目錄里面的數據，導致Web服務(wù)器完全妥協(xié)。
攻擊六：列入攻擊
描述
這個(gè)腳本包含一個(gè)用戶(hù)提供的有確定名字的數據文件。這個(gè)數據未經(jīng)正確驗證就被傳遞。
危害
遠程攻擊者可以通過(guò)在本地遠程控制文件資源和，或者執行與該Web服務(wù)器的權限外的任意腳本代碼。
攻擊七：LDAP注入漏洞攻擊
描述
LDAP是輕量目錄訪(fǎng)問(wèn)協(xié)議，它是基于X.500標準的開(kāi)放式標準協(xié)議。當一個(gè)Web應用程序沒(méi)有正確消除用戶(hù)提供的輸入信息，是很有可能被攻擊者改變LDAP語(yǔ)句的設置。
危害
攻擊者能夠修改LDAP聲明，這一進(jìn)程將運行與組件執行的命令相同的權限。(如數據庫服務(wù)器、Web應用服務(wù)器、Web服務(wù)器等)。這可能會(huì )導致嚴重的安全問(wèn)題，如可以查詢(xún)權限外信息的權利，修改或刪除LDAP樹(shù)里面的任何信息。
攻擊八：PHP代碼注入攻擊
描述
PHP代碼注入漏洞，允許攻擊者將自定義代碼
番禺網(wǎng)站設計注入到服務(wù)器端腳本引擎中。通過(guò)此漏洞，攻擊者無(wú)論在何時(shí)都可以控制全部輸入的字符串，把一個(gè)“eval()”函數調用存儲到字符串中，試用版本將執行此代碼參數。
危害
用戶(hù)可能在服務(wù)器端執行注入的惡意PHP代碼。它可以運行系統命令，允許系統讀取PHP代碼或類(lèi)似的功能。
攻擊九：遠程XSL攻擊
描述
該腳本很容易受到遠程XSL控制。攻擊者可以到XSL文件路徑控制此腳本，其中可能包括惡意的XSL文件。
危害
遠程攻擊者可以通過(guò)遠程來(lái)控制本地的XSL文件。攻擊者還可以利用XSS(跨站點(diǎn)腳本攻擊)來(lái)控制本地文件，甚至在某些情況下還可以執行PHP代碼。
攻擊十：腳本代碼暴露攻擊
描述
它可以讀通過(guò)使用腳本文件名作為參數，這個(gè)腳本的
番禺做網(wǎng)站公司源代碼?？磥?lái)，這個(gè)腳本包含一個(gè)確定的名字是使用用戶(hù)提供的數據文件。這個(gè)數據是不正確驗證之前被傳遞給包括功能。
影響
攻擊者可以收集敏感信息(數據庫連接字符串，應用程序邏輯)通過(guò)分析源代碼。這些信息可以被用來(lái)發(fā)動(dòng)進(jìn)一步襲擊。
攻擊十一：SQL注入攻擊
描述
SQL注入攻擊是一個(gè)漏洞，攻擊者可以通過(guò)操縱
番禺網(wǎng)頁(yè)設計服務(wù)器端用戶(hù)輸入的SQL語(yǔ)句。當一個(gè)SQL注入接受用戶(hù)輸入的Web應用程序，直接放入一個(gè)SQL語(yǔ)句，不正確地篩選出危險的信息。這是目前互聯(lián)網(wǎng)上應用的一個(gè)最常見(jiàn)的應用層攻擊。事實(shí)上，盡管網(wǎng)絡(luò )應用相對脆弱，但此漏洞相對容易防范。
危害
攻擊者可以通過(guò)此漏洞來(lái)操縱系統上任意的SQL語(yǔ)句。這可能會(huì )危害數據庫的完整性或者暴露敏感的信息。 根據所使用的后端數據庫，SQL注入漏洞導致不同程度的攻擊數據或
網(wǎng)站建設者訪(fǎng)問(wèn)系統。它可能不只是現有的查詢(xún)操作，或者是任意數據聯(lián)盟、使用子查詢(xún)、追加額外的查詢(xún)。在某些情況下，它可能會(huì )讀出或寫(xiě)入文件或控制系統執行上層命令。 如Microsoft SQL Server的某些SQL服務(wù)器包含存儲和擴展程序(數據庫服務(wù)功能)。如果一個(gè)攻擊者能夠訪(fǎng)問(wèn)這些程序有可能危及整個(gè)機器。
攻擊十二：XPath注入漏洞攻擊
描述
該腳本很容易受到XPath注入攻擊。
XPath注入攻擊是一種通過(guò)用戶(hù)提供的XPath查詢(xún)語(yǔ)句，利用網(wǎng)絡(luò )技術(shù)來(lái)構建網(wǎng)站。
危害
未經(jīng)認證的攻擊者可以提取一個(gè)完整的XML文檔來(lái)使用XPath查詢(xún)。這可能會(huì )損害數據庫的完整性，泄露敏感信息。
攻擊十三：盲目SQL注入(定時(shí))攻擊
描述
攻擊十一與攻擊十二的混合體。
危害
未經(jīng)認證的攻擊者可以執行任意SQL系統及未經(jīng)保護的XPath語(yǔ)句。這可能會(huì )損害數據庫和完整性或者泄露敏感信息。
粵公網(wǎng)安備44011302004697
