设为首页 | 收藏本站
首页>东北IT网>草根谈>正文
新技术 新威胁 十大Web2.0下的攻击
WWW.DBIT.CN 2006-10-18 8:14:03 热度:
 

5.WSDL扫描和enumeration

WSDL(网络服务界定语言)是网络服务的一个接口。该文件提供了技术,开放方法,创新形式等等的关键信息。这是非常敏感信息,而且能够帮助人们决定利用什么弱点来攻击。如果将不必要的功能或者方法一直开着,这会为网络服务造成潜在的灾难。保护WSDL文件或者限定对其的访问是非常重要的。在实际情况中,很有可能找到一些使用WSDL扫描的一些漏洞。

6.AJAX常规程序中客户端的确认

基于web2.0的应用使用AJAX常规程序来在客户端上进行很多操作,比如客户端数据类型的确认,内容检查,数据域等等。正常情况下,服务端也应该备份这些客户端检查信息。大部分开发者都没有这么做;他们这样做的理由是,他们假设这样的确认是由AJAX常规程序来负责的。避开基于AJAX的确认和直接发送POST或者GET请求给那些应用——这些应用是诸如SQL注入,LDAP注入等类随确认进入的攻击主要来源,它们能够攻击网络应用的关键资源——都是可以做到的。这都增加了能够为攻击者所利用的潜在攻击向量的数量。

7.网络服务路由问题

网络服务安全协议包括WS-Routing服务。WS-Routing允许SOAP消息在互联网上各种各样不同的节点中的特别序列中传输。通常加密的信息在这些节点来回传送。交互的节点中的任意一个被攻击都将致使攻击者能够访问到在两个端点之间传输的SOAP消息。这将造成SOAP消息的严重的安全泄漏。随着网络应用开始被网络服务框架所采用,攻击者们开始转而利用这些新协议和新的攻击向量。

8.修改SOAP参数

网络服务接收信息和来自SOAP消息的变量。修改这些变量是很可能的。例如,“10”是SOAP消息中多个节点中的一个。攻击者可以修改点,并且尝试不同种的注入攻击——比如,SQL,LDAP,XPATH,命令行解释器——并且探索能被他用来掌握及其内部信息的攻击向量。网络服务代码中错误的或者不够完备的输入确认使网络服务应用易于发生泄漏.这是一个目标指向网络服务所带的网络应用的一项新的攻击向量。

9.SOAP消息中的XPATH注入

XPATH是一种用来查询XML文档的语言,它跟SQL语句很类似:我们提供某些信息(参数)然后从数据库中得到查询结果。很多语言都支持XPATH 解析的功能。网络应用接收大型XML文档,很多时候这些应用从终端用户和XPATH语句中取得输入量。这些代码的段落对XPATH注入没有什么防御能力。如果XPATH执行成功,攻击者能够绕过认证机制或者造成机密信息的一些损失。现在人们只知道很少部分的能够被攻击者利用的XPATH的漏洞。阻止这个攻击向量的唯一方法就是在给XPATH语句传递变量值的时候提供适当的输入确认。

10. RIA瘦客户端二进制的伪造

丰富网络应用(RIA)使用非常丰富的UI要素比如Flash,ActiveX控件或者Applets,它使用这些要素作为网络应用的基本接口。这个框架存在几个安全问题。其中最主要的一个就是关于会话管理。它是在浏览器中运行的,并且共享相同的会话。同时,由于客户端将下载整个二进制元件到自己的主机,攻击者就可以颠倒工程的那个二进制文件并且反编译代码。把这些二进制串打包并绕过一些包含在代码中的认证逻辑是有可能实现的。这是WEB2.0框架下的另一个有趣的攻击向量。

结论

AJAX,RIA以及网络服务是WEB2.0应用空间的三项重要的技术向量。这些技术很有前景,它们带给桌面新的程式,加强了网络应用的整体效率和效用。随着这些新技术而来的是新的安全问题,忽略这些问题将会导致整个世界发生巨大的灾难。本文中,我们只讨论了10种攻击。但是实际上还有很多其他的攻击向量。对这些新的攻击向量的最好的防御方法是增加WEB2.0的安全意识,提高代码操作的安全性以及配置的安全性。

本新闻共2页,当前在第2页  1  2  

 
上一篇:Web2.0泡沫初现 李彦宏:无盈利模式相当危险
下一篇:百度的seo技术比雅虎厉害多了
打印】【关闭
  相关文章:
·少林僧人网上传武授艺 少林寺也We·Web2.0怎样变成钱
·Web2.0泡沫初现 李彦宏:无盈利模式·Web2.0高级网络人才走俏 薪水泡沫
·危机与你同在:有漏洞的Web2.0·日媒体给中国web2.0支招 特色服务
·泡沫危机再袭互联网 Web2.0网站掀·web2.0本质与包装:土贼与国际大盗
·Web2.0网站评比与博客产品趋势·离成功并不远,web2.0网站创业者要
·给web2.0泼水者的忠告·再给WEB2.0泼两盆冷水
·做WEB2.0网站可以参考的十九条规则
选文推荐
网站推广  论坛宣传方法细化
如何提高网站的Google PR值
Web2.0怎样变成钱
当前web的设计趋势
个人站点提高访问量谋略
个人网站养家糊口不再是做梦
如何使你的网站受百度欢迎
网站设计和网站建设的65条原则
八种方法最短时间让人知道你的网
丁磊:未来他还要做什么?