网站漏洞修补与网站逻辑漏洞修复加固方案

在网站安全的日常安全检测当中,我们SINE安全公司发现网站的逻辑漏洞占比也是很高的,前段时间某酒店网站被爆出存在高危的逻辑漏洞,该漏洞导致酒店的几亿客户的信息遭泄露,包括手机号,姓名,地址都被泄露,后续带来的损失很大,最近几年用户信息泄露的事件时有发生,给很多企业,酒店都上了一堂生动的安全课。关于网站逻辑漏洞的总结,今天跟大家详细讲解一下。

网站逻辑漏洞

用户的隐私信息属于数据的保护的最高级别,也是最重要的一部分数据,在逻辑漏洞当中属于敏感信息泄露,有些敏感信息还包括了系统的重要信息,比如服务器的版本linux或者windows的版本,以及网站使用的版本,比如php版本,mysql版本,系统开发的版本,像dedecms,ECShop版本等等的信息都属于敏感信息的一部分。这些数据如果被泄露出去,那么入侵者就会尝试多个方法对系统进行攻击,获取到的敏感信息越多,系统受攻击的程度越大。有一些网站的敏感信息包括客户的注册资料,手机号,身份证号码及扫描件,名字,年月日。这些用户的资料如果被泄漏直接受危害的就是客户本身,比如这次酒店客户资料泄漏事件的发生,带来的危害太大了。

那么逻辑漏洞的产生导致敏感信息泄漏主要的过程是什么呢?首先通过用户资料敏感信息的传输过程,传输到网站系统里去并展示,网站的前端以及APP客户端的代码注释,再经由错误代码的安全测试,都会导致敏感信息的泄漏。

用户资料敏感信息是整个系统当中最重要的一部分,打比方,客户要注册一个网站,首先会填写注册资料到网站里去,再点击提交,再客户提交到服务器端的时候,如果网站没有加密或者使用SSL证书加密,都会被攻击者截取获取到客户注册资料内容,导致用户敏感信息泄漏。

举一个简单例子就是某个网站在修改当前用户密码的过程当中,我们SINE安全公司对其进行测试发现post数据里的内容竟然都是明文保存的密码,导致可以被攻击者获取到,进而盗取用户账号密码。

一些敏感信息的显示过程也会泄漏信息,很多网站的开发过程中没有对用户的账号密码这些信息进行加密导致用户登录页面可以看到明文的代码。登录系统查看源代码就可以看到密码。这样也就等于告诉了攻击者,攻击者直接登录了网站的后台。如下图:

网站前端、APP客户端代码的注释导致的泄漏,我们举个简单的例子,某客户的网站后台管理用户登录的页面,我们安全检测发现注释代码里竟然写了网站的管理员账号密码,虽然是注释过的代码,但是仔细一看还是会发现问题。

网站逻辑漏洞修复方案

越来越多的用户敏感信息泄漏事情的发生让我对于用户的数据安全担忧,不得不保护好网站的安全以及用户的敏感数据。关于逻辑漏洞的修复方案,首先从代码进行安全检测,存储用户密码的地方进行严格的过滤,再一个就是敏感的信息在传输过程,以及显示到网站里的时候都要进行加密,MD5加密,数据SSL加密传输,重要的数据尽可能的使用POST的提交方式进行,用户密码要使用加强的加密方式MD5+特殊编码的方式进行加密,对于网站的一些报错页面也要禁止掉回显,网站逻辑漏洞修复,需要很多专业的知识,也不仅仅是知识,还需要大量的经验积累,所以从做网站到维护网站,维护服务器,尽可能找专业的网站安全公司来解决问题,国内也就Sinesafe和绿盟、启明星辰等安全公司比较专业.

希望以上对逻辑漏洞的介绍,以及逻辑漏洞的修复方案能帮到正在需要的你,安全你我他,有多分享,就有多安全。

原创声明,本文系作者授权云+社区发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

编辑于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏编程

Node.js VS PHP—你应该选择哪一个?

现在,WEB开发公司和开发人员可以选择多种技术栈来构建Web应用程序。早期网络发展,不同的技术被用于前端和后端开发。但是,随着Node.js的发布,布局发生了变...

4057
来自专栏琯琯博客

大型分布式网站术语分析

一、I/O优化 1、增加缓存,减少磁盘的访问次数。 2、优化磁盘的管理系统,设计最优的磁盘方式策略,以及磁盘的寻址策略,这是在底层操作系统层面考虑的。 3、设...

2424
来自专栏FreeBuf

深入解析Cookie技术

0×00 引言 在Web技术的发展史上,Cookie技术的出现是一次重大的 变革。但是, Cookie技术又是一项非常有争议的技术,从它诞生之日起就成了广大网络...

20810
来自专栏张善友的专栏

开发便于运维的Windows服务

过去几个月,DevOps on Windows网站推出了一系列文章,详细讲解了开发者应怎样创建便于运维的Windows服务。这一系列文章详细分析了如何克服在运维...

1989
来自专栏FreeBuf

Hacking Team间谍软件Soldier工程分析

Hacking Team这次泄露的信息包括很多监视代码。如Windows平台上的间谍软件工程Soldier(战士),用于非法监听用户的上网信息和本地信息。今天我...

18610
来自专栏程序员宝库

Node.js VS PHP:Web 开发的史诗级对决,你支持谁?

来自:开源中国社区 链接:https://www.oschina.net/news/91783/node-js-vs-php 现在,Web开发公司和开发人员可以...

35812
来自专栏Debian社区

Node.js Vs. PHP:你应该选择哪一个

现在,Web开发公司和开发人员可以选择多种技术栈来构建Web应用程序。早期网络发展,不同的技术被用于前端和后端开发。但是,随着Node.js的发布,布局发生了变...

1735
来自专栏linux驱动个人学习

硬盘写到一半时断电,文件系统里会发生什么?

知乎问题: 断电时文件系统发生了什么?硬盘又发生了什么?下一次开机时写到一半的文件在系统层面还在吗?在底层还在吗? 更进一步的, 文件系统如何保证事务性, 会不...

2894
来自专栏Spark学习技巧

Apache Kafka:优化部署的 10 种最佳实践

Apache Kafka 肯定会像它的同名小说家一样不负众望,因为它能激奋新来者、挑战深度,若能更全面的理解它还会产生丰厚的回报。抛开文学,书归正传。遵循 ka...

1612
来自专栏杨建荣的学习笔记

容灾半自动化的实现思路(一)(r7笔记第91天)

最近也在对容灾的切换做一些改进。 目前碰到的问题有 1.灾难切换后备库的内核参数设置不到位,导致切换后又潜在的性能问题 2.灾难切换后在同机房,网络相关的情况下...

2745

扫码关注云+社区