±à¼ÍƼö: |
±¾ÎÄÖØµã½éÉÜÁËweb°²È«²âÊÔÁ÷³Ì½øÐÐÁ˽éÉÜ¡¢¸ÅÒªÉè¼Æ ¡¢ÏêϸÉè¼Æ¡¢ÏµÍ³·ÖÎö¡¢Íþв·ÖÎö¡¢Öƶ¨²âÊÔÓÃÀý¡¢²âÊÔÖ´ÐÐ&©¶´ÍÚ¾òµÈÄÚÈÝ¡£
±¾ÎÄÀ´×ÔÓÚcsdn£¬ÓÉ»ðÁú¹ûÈí¼þAnna±à¼¡¢ÍƼö¡£ |
|
1¡¢web°²È«²âÊÔÁ÷³ÌÉè¼Æ¼ò½é
web°²È«²âÊÔÒµÎñÖ÷ÒªÎ§ÈÆÁ÷³Ì¡¢±ê×¼¡¢¹æ·¶Èý¸ö·½ÃæÕ¹¿ª£¬ÆäÖÐÁ÷³ÌÊǺËÐÄ£¬±ê×¼ºÍ¹æ·¶ÔÚÁ÷³ÌÔË×÷ÖÐÂ䵨ÓëÖ´ÐС£

2¡¢web°²È«²âÊÔÁ÷³Ì¸ÅÒªÉè¼Æ
µ±ÐèÒª²âÊÔµÄwebÓ¦ÓÃÊýÒÔǧ¼Æ£¬¾ÍÓбØÒª½¨Á¢Ò»Ì×ÍêÕûµÄ°²È«²âÊÔÁ÷³Ì£¬Á÷³ÌµÄ×î¸ßÄ¿±êÊÇÒª±£Ö¤½»¸¶¸ø¿Í»§µÄ°²È«²âÊÔ·þÎñÖÊÁ¿¡£

Á¢ÏÏîÄ¿½¨Á¢£¬Ê±¼ä°²ÅÅ£¬ÈËÁ¦·ÖÅ䣬Ŀ±êÖÆ¶¨£¬³§É̽ӿÚÈËÈ·¶¨£»
ϵͳ·ÖÎö&Íþв·ÖÎö£ºÕë¶Ô¾ßÌåµÄwebÓ¦Ó㬷ÖÎöϵͳ¼Ü¹¹¡¢Ê¹ÓõÄ×é¼þ¡¢¶ÔÍâÌṩµÄ½Ó¿ÚµÈ£¬ÒÔSTRIDEΪÍþвģÐͽøÐжÔÓ¦µÄ°²È«Íþв·ÖÎö£¬Êä³ö°²È«Íþв·ÖÎö±í£¬ÖØµã¹Ø×¢top3Íþв£»
ÖÆ¶¨²âÊÔÓÃÀý£º¸ù¾ÝÍþв·ÖÎöµÄ½á¹ûÖÆ¶¨¶ÔÓ¦µÄ²âÊÔÓÃÀý£¬²âÊÔÓÃÀý°´ÕÕÄ£°åÊä³ö£¬¾ß±¸¿ÉÖ´ÐÐÐÔ£»
²âÊÔÖ´ÐÐ&©¶´ÍÚ¾ò£º²âÊÔÓÃÀýÖ´ÐÐ&·¢É¢²âÊÔ£¬ÍÚ¾ò¶ÔÓ¦µÄ°²È«ÎÊÌâor©¶´£»
ÎÊÌâÐÞ¸´&»Ø¹é²âÊÔ£ºÖ¸µ¼¿Í»§Ó¦Óÿª·¢·½ÐÞ¸´°²È«ÎÊÌâor©¶´£¬²¢½øÐлعé²âÊÔ£¬È·±£°²È«ÎÊÌâor©¶´µÃµ½ÐÞ¸´£¬²¢ÇÒûÓÐÒýÈëÐµİ²È«ÎÊÌ⣻
ÏîÄ¿×ܽáÆÀÉó£ºÏîÄ¿¹ý³Ì×ܽᣬÊä³öÎĵµÆÀÉó£¬Ïà¹ØÎĵµ¹éµµ¡£
3¡¢web°²È«²âÊÔÁ÷³ÌÏêϸÉè¼Æ--Á¢Ïî
ÿһ¸öwebÓ¦Óõݲȫ²âÊÔµÚÒ»²½¾ÍÊÇÁ¢Ïȷ¶¨Á÷³ÌʵʩÄÚÈÝ£¬°üÀ¨ÈçÏ£º
¿Í»§Ìá³ö²âÊÔÐèÇó£ºÐèÇ󷽡¢webÓ¦ÓÃÃû³Æ¡¢ÆÚÍûµÄÄ¿±êµÈ£»
°²ÅŲâÊÔÈËÔ±£º°²È«²âÊÔÈËÔ±°²ÅÅ£¬²âÊÔ»·¾³´î½¨£»
²âÊԼƻ®Öƶ¨£ºÓëÐèÇó·½¹µÍ¨²âÊԼƻ®°²ÅÅ£¬Ã¿Ò»¸öÁ÷³Ì½×¶ÎµÄʱ¼ä¼Æ»®£¬¾ßÌåµÄ²âÊÔÄÚÈÝ£»
²âÊÔʵʩ£ºÈ·¶¨ÐèÇó·½½Ó¿ÚÈË£¬ºóÐøÎÊÌ⹵ͨ·´À¡&Ð޸ģ»
Á÷³ÌÆÀÉó&½áÏȷ¶¨webÓ¦ÓòâÊÔÍê³ÉºóµÄÆÀÉó·½°¸£¬Ïò¿Í»§½»¸¶²âÊÔÊä³öÎĵµ£»

4¡¢web°²È«²âÊÔÁ÷³ÌÏêϸÉè¼Æ--ϵͳ·ÖÎö
web°²È«²âÊÔÊ×ÏÈÒª½øÐеľÍÊÇÊìϤ±»²âϵͳ£¬½«ÏµÍ³·Ö½â£¬·ÖÎöϵͳʹÓõÄ×é¼þ£¬Ê¹ÓúÎÖÖweb¼Ü¹¹µÈµÈ¡£
ϵͳ·ÖÎöÖ÷Òª°üÀ¨ÏµÍ³ÎïÀí¼Ü¹¹ºÍÂß¼¼Ü¹¹µÄ»®·Ö¡£
ÎïÀí¼Ü¹¹£º°´ÕÕϵͳʹÓõÄ×é¼þ·ÖÎö³öÀ´µÄ¼Ü¹¹£¬Èçµ×²ãʹÓúÎÖÖÊý¾Ý¿â£¬¿ØÖƲãʹÓúÎÖÖ×é¼þ£¬±íʾ²ãʹÓúÎÖÖǰ¶Ë¿âµÈ£¬×é¼þÖ®¼äʹÓÃÄÇЩͨÐÅÐÒéµÈ£»
Êý¾Ý´æ´¢²ã£ºÈçmysql¡¢oracle¡¢redis¡¢BigtableµÈ£»
¿ØÖƲ㣺ÈçSpring¡¢Struts2¡¢Tomcat¡¢WeblogicµÈ£»
±íʾ²ã£ºÈçExtJS¡¢BootstrapµÈ£»
ͨÐÅÐÒ飺ÈçAMQPµÈ£»
·ÖÎöϵͳʹÓõÄÕâЩÎïÀí×é¼þ£¬ÓÐÖúÓÚÁ˽âϵͳµÄÌØÐÔ£¬·½±ã½øÐÐÍþв·ÖÎöºÍ¶ÔÓ¦µÄÓÃÀý±àд¡£
²»Í¬µÄ×é¼þÓжÔÓ¦µÄ²»Í¬µÄÍþвģʽ¿â£¬ÎïÀí¼Ü¹¹·ÖÎöºó¾Í¿ÉÒÔÖ±½Ó½øÐжÔÓ¦µÄÓ³Éä¼´¿ÉµÃ³ö±»²âϵͳµÄÍþв¿â¡£
Âß¼¼Ü¹¹£º°´ÕÕϵͳµÄÒµÎñÂß¼»®·ÖµÄ£¬ÀýÈç¸ù¾ÝÒ»¸öϵͳµÄ×é³ÉÒµÎñÄ£¿é¾Í¿ÉµÃ³öÆäÂß¼¼Ü¹¹£¬·ÖÎöÂß¼¼Ü¹¹ÓÐÀûÓÚÊìϤϵͳÄÚ²¿µÄÊý¾ÝÁ÷¡£
ÈçÏÂͼËùʾΪijÉÌ»§¹ÜÀíϵͳµÄÒµÎñÂß¼¼Ü¹¹Í¼¡£
¸öÈËÓû§²àµÄ¹¦Äܰüº¬ÉÌ»§»ù±¾ÐÅϢά»¤¡¢ÇåËãÐÅϢά»¤¡¢²î´í´¦Àí¡¢ÏµÍ³¹ÜÀí£»
ÍⲿÁ´½Ó°üÀ¨ÒøÐеĸ÷ÖÖÒµÎñ´¦Àí£»
ÉÌ»§ÄÚµÄÊý¾ÝÓëÁ½±ßÒµÎñ¶¼Óн»»¥£¬´ÓÒµÎñÂ߼ͼ¿ÉÒÔÇåÎúµØ¿´³öÊý¾ÝÁ÷µÄ×ßÏò¡£

5¡¢web°²È«²âÊÔÁ÷³ÌÏêϸÉè¼Æ--Íþв·ÖÎö
ϵͳ·ÖÎöºóÐèÒª½øÐеľÍÊÇϵͳÍþв·ÖÎö£¬¸ù¾Ýϵͳ·ÖÎöµÄ½á¹û£¬Ñ¡ÔñºÏÊʵÄÍþвģÐÍ£¬·ÖÎöÏµÍ³ÃæÁÙµÄÖ÷Òª°²È«Íþв¡£
³£¼ûµÄÍþвģÐÍÈçTVRAºÍSTRIDE£º
TVRA£ºThreat£¨Íþв£©¡¢Vulnerability£¨´àÈõµã£©¡¢Risk Analysis£¨·çÏÕ·ÖÎö£©.
ÆäÖÐRisk = Threat ¡Á Vulnerability ¡Á Consequence
Threat±íÊ¾ÏµÍ³ÃæÁÙµÄÍþв£¬Vulnerability±íʾϵͳ´æÔڵĩ¶´£¬consequence±íʾϵͳ©¶´±»ÀûÓÃËù²úÉúµÄºó¹û£¬Ò»°ãÓÉCIAÀ´ºâÁ¿¡£

STRIDEÊÇ»ùÓÚÊý¾ÝÁ÷µÄÒ»ÖÖÍþв·ÖÎöÄ£ÐÍ£¬Ëü°üº¬Áù¸öά¶ÈÍþв£º

Êý¾ÝÁ÷ͼÊÇ´ÓÊý¾Ý´«µÝºÍ¼Ó¹¤½Ç¶È£¬ÒÔͼÐη½Ê½À´±í´ïϵͳµÄÂß¼¹¦ÄÜ¡¢Êý¾ÝÔÚϵͳÄÚ²¿µÄÂß¼Á÷ÏòºÍÂß¼±ä»»¹ý³Ì£¬Êǽṹ»¯ÏµÍ³·ÖÎö·½·¨µÄÖ÷Òª±í´ï¹¤¾ß¼°ÓÃÓÚ±íʾÈí¼þÄ£Ð͵ÄÒ»ÖÖͼʾ·½·¨¡£ËüÒ»°ã°üº¬ÒÔϼ¸¸öÔªËØ£º

Êý¾ÝÁ÷ͼһ°ã·ÖÒ»²ãÊý¾ÝÁ÷ºÍ¶þ²ãÊý¾ÝÁ÷ͼ£¬Ò»²ãÊý¾ÝÁ÷ͼÊÇÖ¸Õû¸öϵͳµÄÊý¾ÝÁ÷ͼ£¬Æä°üº¬¶à¸ö¶à´¦Àí¹ý³Ì£¬¶Ôÿһ¸ö¶à´¦Àí¹ý³Ì¼ÌÐø·Ö½â¾ÍÊǶþ²ãÊý¾ÝÁ÷ͼ£¬ÒÔwebϵͳµÄµÇ¼ģ¿éΪÀý£¬Æä·Ö½âµÄ¶þ²ãÊý¾ÝÁ÷ͼÈçÏÂËùʾ£º

STRIDEÄ£ÐÍÒ»°ãÓ¦ÓÃÔÚ¶þ²ãÊý¾ÝÁ÷ͼÉÏ£¬ÔÚÍâ½ç²Ù×÷ÓëϵͳÄÚ²¿Ä£¿éÖ®¼ä¡¢ÏµÍ³Ä£¿éÓëÍâ½ç´æ´¢Ö®¼äÐèÒª»Á¢ÐÅÈα߽硣Êý¾ÝÁ÷Í¼ÔªËØºÍSTRIDEµÄ¶ÔÓ¦¹ØÏµÈçÏ£º

¶ÔÓÚÿһÖÖÍþв£¬Æä¶ÔÓ¦µÄÏû¼õ·½Ê½ÈçÏÂ±í£º

¶ÔÓÚ¶þ²ãÊý¾ÝÁ÷ͼµÄÿһ¸öÔªËØ£¬½áºÏÆä´æÔڵĶÔÓ¦Íþв£¬¼´¿ÉÈ·¶¨°²È«²âÊÔÖÐÐèÒª²âÊÔµÄÄÚÈÝ£¬È»ºó¶ÔÓ¦ÉÏͼµÄÏû¼õ´ëÊ©£¬Èç¹ûȱÉÙ¶ÔÓ¦µÄÏû¼õ»úÖÆ£¬¾Í˵Ã÷´æÔÚ¶ÔÓ¦µÄ°²È«ÎÊÌâ»ò©¶´¡£
6¡¢web°²È«²âÊÔÁ÷³ÌÏêϸÉè¼Æ--ÖÆ¶¨²âÊÔÓÃÀý
Íþв·ÖÎöºó¾ÍÐèÒª¸ù¾ÝÍþв·ÖÎöµÄ½á¹û±àд²âÊÔÓÃÀý£¬Õë¶Ô·Ö½âµÄÿһ¸ö¶þ²ãÊý¾ÝÁ÷ͼ£¬¶Ôÿһ¸öÊý¾ÝÁ÷Í¼ÔªËØ£¬Ó³Éä¶ÔÓ¦µÄÍþв£¬±àд²âÊÔÓÃÀý£¬ÓÃÀý±ØÐë°´ÕÕÄ£°åÊä³ö£¬Ã¿Ò»¸öÓÃÀý¾ßÌåÄÚÈݰüÀ¨£º
ÓÃÀýÃû³Æ£º²âÊÔÓÃÀý±ØÐë¾ßÓÐΨһ¿ÉÇø·ÖµÄÃû³Æ£»
ÓÃÀýÖ´Ðв½Ö裺ÓÃÀýµÄÏêϸִÐв½Ö裬ÿһ²½±ØÐëÎÞÆçÒ壬¾ß±¸¿ÉÖ´ÐÐÐÔ£»
ÓÃÀýʹÓõŤ¾ß£ºÓÃÀýÖ´Ðйý³ÌÖÐʹÓõŤ¾ß£»
ÓÃÀýµÄÖ´ÐÐÌõ¼þ£ºÓÃÀýÖ´ÐбØÐë¾ß±¸µÄÌõ¼þ£¬ÈçÍøÂç¿É´ï¡¢·þÎñ±ØÐëÔËÐеȣ»
ÓÃÀýµÄÊäÈëºÍÊä³ö£ºÓÃÀýÖ´Ðйý³ÌÖÐÉæ¼°µÄÊäÈ룬ÒÔ¼°¶ÔÓ¦µÄÊä³ö£»
ÓÃÀýµÄ°²È«ÊôÐÔ£ºÄ¿Ç°¹æ¶¨µÄ°²È«ÊôÐÔ°üÀ¨¹ÜÀíͨµÀ°²È«¡¢XSS¡¢×¢Èë¹¥»÷¡¢CSRF¡¢Éí·ÝÈÏÖ¤¡¢»á»°°²È«¡¢Ãô¸ÐÊý¾Ý±£»¤¡¢Ô½È¨¡¢Öмä¼þ°²È«¡¢ÅäÖð²È«Õâ10¸öά¶È£»
ÓÃÀýÖ´ÐÐÓÅÏȼ¶£ºÓÃÀýÖ´ÐеÄÓÅÏÈ˳Ðò£¬ÔÚÓÃÀýÊýÁ¿ºÜ¶àµÄÇé¿öÏ£¬Ó¦°´ÕÕÓÅÏȼ¶¸ßµÍµÄ˳ÐòÖ´ÐС£

7¡¢web°²È«²âÊÔÁ÷³ÌÏêϸÉè¼Æ--²âÊÔÖ´ÐÐ&©¶´ÍÚ¾ò
²âÊÔÓÃÀý±àдÍê¾ÍÐèÒª¿ªÊ¼ÓÃÀýµÄÖ´ÐУ¬¾ßÌåµÄ²âÊÔ°üÀ¨×Ô¶¯»¯µÄ¹¤¾ßÖ´ÐÐÒÔ¼°ÊÖ¶¯²âÊÔ¡£
×Ô¶¯»¯µÄ¹¤¾ßɨÃè°üÀ¨£ºNmap¶Ë¿ÚɨÃ衢ϵͳ©¶´É¨Ãè¡¢web°²È«É¨Ãè¡¢ÐÒ鰲ȫɨÃèµÈ£»
ÊÖ¶¯²âÊÔ°üÀ¨£ºXSS¡¢CSRF¡¢SQL×¢Èë¡¢XML×¢Èë¡¢ÃüÁî×¢Èë¡¢ºáÏò/×ÝÏòԽȨ¡¢»á»°°²È«µÈµÈ¡£
²âÊÔ¹ý³ÌÐèҪʹÓø÷ÖÖ¸÷ÑùµÄ¹¤¾ß£¬³£¼ûµÄweb²âÊÔ¹¤¾ßÈçÏ£º

¶ÔÓÚÿһ¸öÓÃÀýµÄ²âÊÔ¹ý³Ì£¬ÐèÒªÓжÔÓ¦µÄ²Ù×÷½ØÍ¼¡£
¶ÔÓÚÿһ¸ö¿ÉÒÔÀûÓõݲȫ©¶´£¬Ê¹ÓÃcvss2.0/3.0½øÐдò·Ö£¬ÒÔÈ·¶¨Â©¶´µÄÑÏÖØ³Ì¶È¡£
²âÊÔÖ´ÐÐÓë©¶´ÍÚ¾òµÄ¹ý³ÌÓë²âÊÔ¹¤³ÌʦµÄÄÜÁ¦ÊÇÇ¿Ïà¹ØµÄ£¬²âÊÔʱµÄ˼·Ҳ»á¾ö¶¨Â©¶´µÄÍÚ¾Ö¡£
Èç¹û¿Í»§Ô¸ÒâÌṩӦÓÃÔ´´úÂ룬ÎÒÃÇÒ²¿ÉÒÔ½øÐÐÔ´Âë·½ÏòµÄ°²È«É󼯡£
8¡¢web°²È«²âÊÔÁ÷³ÌÏêϸÉè¼Æ--ÎÊÌâÐÞ¸´&»Ø¹é²âÊÔ
²âÊÔÖ´ÐÐÍê³ÉºóÐèÒªÊä³ö¶ÔÓ¦µÄ²âÊÔ±¨¸æ£¬ÔÚ±¨¸æÖÐÐèÒª¸ø³öÿ¸ö°²È«ÎÊÌâ»ò©¶´µÄ½â¾ö·½°¸»ò½¨Òé¡£
Èç¹û¿ÉÄÜ£¬½â¾ö·½°¸Ó¦µ±Ïêϸµ½Ô´Âë¼¶±ð¡£
ÎÊÌâÐÞ¸´Ó¦µ±×ñÑwebÓ¦Óÿª·¢°²È«¹æ·¶µÄÔÔò¡£
»Ø¹é²âÊÔµÄÄ¿µÄΪÁË·ÀÖ¹ÎÊÌâÐÞ¸´ÒýÈëÐµİ²È«ÎÊÌ⣬ÎÊÌâÐÞ¸´&»Ø¹é²âÊÔÊǸöÑ»·µÄ¹ý³Ì£¬²âÊÔûÓÐеÄÎÊÌâʱѻ·¼´ÖÕÖ¹¡£
9¡¢web°²È«²âÊÔÁ÷³ÌÏêϸÉè¼Æ--ÏîÄ¿×ܽáÆÀÉó
ÐÞ¸´²âÊÔÖз¢ÏֵݲȫÎÊÌ⣬Íê³É»Ø¹é²âÊÔºó£¬Õû¸ö°²È«²âÊÔÁ÷³Ì¾Í»ù±¾½áÊø£¬×îºóÐèÒª¾ÍÕû¸ö²âÊÔ¹ý³Ì½øÐÐ×ܽáÆÀÉó£¬ÀýÈç²âÊÔ·½°¸¡¢²âÊÔÓÃÀýÊÇ·ñÍêÉÆ£¬²âÊÔ¹ý³Ì·¢ÏÖÁ˶àÉÙ°²È«ÎÊÌ⣬webÓ¦Óõĸ߷çÏÕÄ£¿é£¬²âÊÔ¹ý³ÌÓÐÄÄЩ±¡ÈõÏîµÈµÈ¡£
×îºóÒª×öºÃ¿Í»§½»¸¶¼þµÄÊä³ö£¬¿Í»§µÄ½»¸¶Îĵµ°üÀ¨£º

×ܽ᣺web°²È«ÉøÍ¸²âÊÔ×÷Ϊ·þÎñ¿ªÕ¹Ê±£¬ÓбØÒª½¨Á¢Ò»Ì×¶ÔÓ¦µÄÁ÷³ÌÌåϵ£¬ÒÔÈ·±£½»¸¶¸ø¿Í»§µÄ·þÎñÖÊÁ¿£¬´Ó¶ø½¨Á¢Á¼ºÃµÄÊг¡¿Ú±®£¡
|