草庐IT

一位网络渗透测试专家给企业的5条忠告

安全牛 2023-03-28 原文
架构Nick Merritt是Halo Security公司主管安全产品和服务的副总裁,他已经负责并领导开展了超过300次的网络安全渗透测试工作。通过在各类企业中的大量安全性测试实践,Nick Merritt从攻击者的视角,总结了目前企业组织在信息化系统防护中的普遍弱点和常见错误,并给出了提升应用系统安全性的五点建议:

01 自动化安全扫描还远远不够

如果企业只是使用自动化工具扫描Web应用程序的安全性,那么很多安全漏洞都会成为漏网之鱼,因为这类工具通常使用了模糊测试(一种将畸形数据注入系统来验证安全的方法),而这种技术会产生大量的误报和漏报。

企业应该明白,自动化扫描工具的研发还难以跟上现代Web应用程序开发的步伐,技术上的局限性让扫描工具不能够为JavaScript页面应用、WebAssembly或图技术(Graph)提供最佳的安全检测结果。特别是对一些比较复杂的漏洞,企业安全团队需要专门编写有针对性的载荷才可以检测出它们。

目前,要实现对安全漏洞和利用情况进行全面的分析还离不开安全专家的人工操作,而自动化安全扫描工具可作为辅助性的检测手段,帮助安全分析师提升漏洞发现的效率。

02应用系统自带的身份验证通常不可靠

身份验证是确保Web应用程序安全性的关键因素之一。但是在实际测试中发现,开发人员在应用系统中创建的身份验证及密码管理流程,通常都没有采用安全、可靠的方式。

渗透测试人员很容易绕过系统自带的验证功能,轻松访问其他用户的隐私信息,或者拥有与其角色不相符的过多特权,这就会带来横向和纵向身份访问控制方面的安全威胁问题。

企业必须要重视和加强对应用系统的身份管理和验证,其关键在于相关的安全协议是否能够得到有效实时。比如说,安全声明标记语言(SAML)身份验证是一种流行并且有效的单点登录控制协议,但如果开发人员在系统开发时未能正确理解和引入,反而留下更多的安全漏洞。

03攻击者更善于发现业务逻辑中的漏洞

开发人员在研发Web应用系统时,一般都是从产品的应用场景角度进行分析和设计,但是他们常常不会从攻击者的角度去分析各种功能是否可能被恶意利用。一个典型的事例是电商网站中的购物车,它是这类网站的关键性应用,但常常不安全,存在严重的业务逻辑漏洞,比如攻击者在结账前将总数归零,或者在完成付款后将低价商品替换成其他高价值商品。

我们不能过多苛责开发人员只关注系统的使用场景,而忽视其可能的风险场景。但是安全管理人员需要看到问题的各个方面,明白业务逻辑应该与安全逻辑相关联。

04不存在“超范围”的渗透测试观念

Web应用程序已经变得非常复杂,会涉及较广泛的资源和资产整合与利用。这就需要开发时通过后端API服务器利用,以支持主应用程序的各种功能。

企业应该向执行渗透测试的安全人员告知所有这些外部资产,以及它们如何与应用系统之间进行关联交互,这对保障安全很重要。开发人员可能认为这些资产“超范围”,因此不需要对它们负责。但攻击者可不会遵守任何的攻击界限,大量渗透测试结果也表明,企业中的资源和资产,没有什么是“超范围”的。

应用系统开发人员应该更好地与安全测试人员合作,减少渗透测试工作带来的流程影响。开发人员只有兼顾创造力和安全框架,才能知道哪里可以自由编程,而哪里需要设置应用程序安全护栏机制。

05跨站脚本(XSS)攻击不可忽视

XSS属于被动式攻击,是一种较盛行的Web应用程序漏洞利用方式。2021年,由于应用程序开发框架的改进,XSS首次跌出了OWASP(开放Web应用程序安全项目)前10名榜单,因此有人开始认为这种攻击将会很少被应用。但事实上,“无孔不入”是网络黑客们最基本的信念和意志表现,它仍是我们执行每次渗透测试任务中,最有效的模拟攻击手法之一。

XSS攻击造成的安全风险往往会很高,包括账户接管、数据窃取以及对应用程序基础设施的全面破坏。许多开发人员以为,使用成熟的输入验证库和配置适当的Cookie属性就足够防止XSS攻击,但实际上这远远不够。因为在今天的应用程序开发中,必然会使用大量自定义的代码,此时XSS漏洞就会趁虚而入。以WordPress网页为例,针对其的XSS攻击非常危险,因为一旦获取了管理员级访问凭据,攻击者就可以在应用中加载各种插件,并在应用服务器上执行代码中的恶意载荷。

参考链接:

​https://www.darkreading.com/application-security/5-lessons-learned-from-hundreds-of-penetration-tests​

有关一位网络渗透测试专家给企业的5条忠告的更多相关文章

  1. ruby-on-rails - 使用 Ruby on Rails 进行自动化测试 - 最佳实践 - 2

    很好奇,就使用ruby​​onrails自动化单元测试而言,你们正在做什么?您是否创建了一个脚本来在cron中运行rake作业并将结果邮寄给您?git中的预提交Hook?只是手动调用?我完全理解测试,但想知道在错误发生之前捕获错误的最佳实践是什么。让我们理所当然地认为测试本身是完美无缺的,并且可以正常工作。下一步是什么以确保他们在正确的时间将可能有害的结果传达给您? 最佳答案 不确定您到底想听什么,但是有几个级别的自动代码库控制:在处理某项功能时,您可以使用类似autotest的内容获得关于哪些有效,哪些无效的即时反馈。要确保您的提

  2. ruby - 使用 C 扩展开发 ruby​​gem 时,如何使用 Rspec 在本地进行测试? - 2

    我正在编写一个包含C扩展的gem。通常当我写一个gem时,我会遵循TDD的过程,我会写一个失败的规范,然后处理代码直到它通过,等等......在“ext/mygem/mygem.c”中我的C扩展和在gemspec的“扩展”中配置的有效extconf.rb,如何运行我的规范并仍然加载我的C扩展?当我更改C代码时,我需要采取哪些步骤来重新编译代码?这可能是个愚蠢的问题,但是从我的gem的开发源代码树中输入“bundleinstall”不会构建任何native扩展。当我手动运行rubyext/mygem/extconf.rb时,我确实得到了一个Makefile(在整个项目的根目录中),然后当

  3. ruby - Ruby 的 Hash 在比较键时使用哪种相等性测试? - 2

    我有一个围绕一些对象的包装类,我想将这些对象用作散列中的键。包装对象和解包装对象应映射到相同的键。一个简单的例子是这样的:classAattr_reader:xdefinitialize(inner)@inner=innerenddefx;@inner.x;enddef==(other)@inner.x==other.xendenda=A.new(o)#oisjustanyobjectthatallowso.xb=A.new(o)h={a=>5}ph[a]#5ph[b]#nil,shouldbe5ph[o]#nil,shouldbe5我试过==、===、eq?并散列所有无济于事。

  4. ruby - RSpec - 使用测试替身作为 block 参数 - 2

    我有一些Ruby代码,如下所示:Something.createdo|x|x.foo=barend我想编写一个测试,它使用double代替block参数x,这样我就可以调用:x_double.should_receive(:foo).with("whatever").这可能吗? 最佳答案 specify'something'dox=doublex.should_receive(:foo=).with("whatever")Something.should_receive(:create).and_yield(x)#callthere

  5. ruby - Sinatra:运行 rspec 测试时记录噪音 - 2

    Sinatra新手;我正在运行一些rspec测试,但在日志中收到了一堆不需要的噪音。如何消除日志中过多的噪音?我仔细检查了环境是否设置为:test,这意味着记录器级别应设置为WARN而不是DEBUG。spec_helper:require"./app"require"sinatra"require"rspec"require"rack/test"require"database_cleaner"require"factory_girl"set:environment,:testFactoryGirl.definition_file_paths=%w{./factories./test/

  6. ruby-on-rails - 迷你测试错误 : "NameError: uninitialized constant" - 2

    我遵循MichaelHartl的“RubyonRails教程:学习Web开发”,并创建了检查用户名和电子邮件长度有效性的测试(名称最多50个字符,电子邮件最多255个字符)。test/helpers/application_helper_test.rb的内容是:require'test_helper'classApplicationHelperTest在运行bundleexecraketest时,所有测试都通过了,但我看到以下消息在最后被标记为错误:ERROR["test_full_title_helper",ApplicationHelperTest,1.820016791]test

  7. ruby - 即使失败也继续进行多主机测试 - 2

    我已经构建了一些serverspec代码来在多个主机上运行一组测试。问题是当任何测试失败时,测试会在当前主机停止。即使测试失败,我也希望它继续在所有主机上运行。Rakefile:namespace:specdotask:all=>hosts.map{|h|'spec:'+h.split('.')[0]}hosts.eachdo|host|begindesc"Runserverspecto#{host}"RSpec::Core::RakeTask.new(host)do|t|ENV['TARGET_HOST']=hostt.pattern="spec/cfengine3/*_spec.r

  8. ruby-on-rails - 如何使辅助方法在 Rails 集成测试中可用? - 2

    我在app/helpers/sessions_helper.rb中有一个帮助程序文件,其中包含一个方法my_preference,它返回当前登录用户的首选项。我想在集成测试中访问该方法。例如,这样我就可以在测试中使用getuser_path(my_preference)。在其他帖子中,我读到这可以通过在测试文件中包含requiresessions_helper来实现,但我仍然收到错误NameError:undefinedlocalvariableormethod'my_preference'.我做错了什么?require'test_helper'require'sessions_hel

  9. ruby - 用 Ruby 编写一个简单的网络服务器 - 2

    我想在Ruby中创建一个用于开发目的的极其简单的Web服务器(不,不想使用现成的解决方案)。代码如下:#!/usr/bin/rubyrequire'socket'server=TCPServer.new('127.0.0.1',8080)whileconnection=server.acceptheaders=[]length=0whileline=connection.getsheaders想法是从命令行运行这个脚本,提供另一个脚本,它将在其标准输入上获取请求,并在其标准输出上返回完整的响应。到目前为止一切顺利,但事实证明这真的很脆弱,因为它在第二个请求上中断并出现错误:/usr/b

  10. ruby-on-rails - Cucumber 是否只是 rspec 的包装器以帮助将测试组织成功能? - 2

    只是想确保我理解了事情。据我目前收集到的信息,Cucumber只是一个“包装器”,或者是一种通过将事物分类为功能和步骤来组织测试的好方法,其中实际的单元测试处于步骤阶段。它允许您根据事物的工作方式组织您的测试。对吗? 最佳答案 有点。它是一种组织测试的方式,但不仅如此。它的行为就像最初的Rails集成测试一样,但更易于使用。这里最大的好处是您的session在整个Scenario中保持透明。关于Cucumber的另一件事是您(应该)从使用您的代码的浏览器或客户端的角度进行测试。如果您愿意,您可以使用步骤来构建对象和设置状态,但通常您

随机推荐