Web渗透测试---Web TOP 10 漏洞

---

前言

常见的漏洞有注入漏洞，文件上传漏洞，文件包含漏洞，命令执行漏洞，代码执行漏洞，跨站脚本（XSS）漏洞，SSRF漏洞，XML外部实体注入漏洞（XXE），反序列化漏洞，解析漏洞等，因为这些安全漏洞的存在，可能会被黑客利用从而影响业务，黑客通过一系列的攻击手段可以发现目标的安全弱点，若是安全弱点被成功利用将导致目标被黑客控制，从而威胁到目标资产或正常功能的使用，最终导致业务受到影响

---

一、注入漏洞

注入漏洞由于其严重性和危害性一直位居Web TOP 10 漏洞的第一，常见的注入有: SQL、LDAP、OS命令，ORM和OGNL。用户可以通过任何可输入的点输入构造的恶意代码，若应用程序对用户的输入过滤不严，一旦将输入的恶意代码作为命令或查询的一部分发送到解析器，则可能会导致注入漏洞的产生
如SQL注入，攻击者通过浏览器或者其他客户端，将恶意SQL语句注入到参数中，而网站应用程序对参数的值没有进行合法性校验和过滤，直接将恶意SQL语句带入数据库并进行执行，最后导致数据库中的数据被破坏和泄露

二、跨站脚本（xss)漏洞

XSS漏洞全称是跨站脚本漏洞，为了不和前端中的层叠样式表CSS重名，将跨站脚本攻击漏洞缩写改为XSS，XSS漏洞允许用户将恶意代码植入到Web页面中，当其他用户访问此页面的时候，植入的恶意代码会被执行，通过XSS漏洞可以获取用户的信息，如用户登录常用的Cookie信息，可以通过过XSS蠕虫进行信息传播，可以在客户端中植入木马，可以结合其他漏洞攻击服务器，在服务器中植入木马

三、文件上传漏洞

文件上传漏洞一般发生在具有上传功能的应用中，如果应用程序对用户的上传文件没有控制或者存在缺陷，攻击者可以利用应用上传功能，上传木马和病毒文件到服务器中，对服务器进行控制
产生的原因：应用中存在上传功能，但是上传的文件没有经过严格的合法性校验，或者校验函数存在缺陷，如PHP中的preg_relpace()等函数，导致可以上传木马文件到服务器
直接上传恶意代码到服务器上，可能会造成服务器的网页篡改，网站挂马，服务器被远程控制和被安装后门等严重的后果
文件上传落地主要是通过前端JS绕过、文件名绕过和Content-Type绕过等几种方式进行恶意代码上传

四、文件包含漏洞

文件包含函数包含的文件参数没有经过过滤或者严格的定义，并且参数可以被用户控制，就可能包含非预期的文件，如果文件中存在恶意代码，无论文件时什么样的后缀类型，文件内的恶意代码都会被解析执行，就导致了文件包含漏洞的产生。
文件包含漏洞可能会造成服务器的网页篡改、网站挂马、远程控制服务器、安装后门等危害。

五、命令执行漏洞

应用程序的某些功能需要调用可以执行系统命令的函数，如果这些函数或者函数的参数可以被用户控制，就可能通过命令连接符将恶意命令拼接到正常的函数中，从而随意执行系统命令

六、代码执行漏洞

应用程序中提供了一些可以将字符串作为代码执行的函数，比如PHP的eval函数，可以将函数中的参数当作PHP代码来执行，如果这些函数的参数控制不严格，可能会被利用，造成任意代码执行

七、XML外部实体（XXE）漏洞

XML外部实体（XML External Entity XXE）产生的原因时应用程序解析XML时，没有过滤外部实体的加载，导致了恶意的外部文件加载，造成命令执行、文件读取、内网扫描、内网应用攻击等危害

八、反序列化漏洞

不同语言，一般常见在前端和后端进行数据传输，为了保证数据有效的存储和传递，同时不丢失数据的类型和结构，经常要序列化和反序列化的函数对数据进行处理
序列化：返回字符串，此字符串包含了标识value的字节流，可以存储于任何地方
反序列化：对单一的已序列化的变量进行操作，将其转换回原来的值
这两个过程结合，可以轻松的存储和传输数据，使程序更具有维护性，但是不全的反序列化回导致远程代码执行，即使反序列化缺陷不会导致远程代码执行，攻击者也可以利用它们来执行攻击，包括重播攻击、注入攻击和特权升级攻击。

九、 SSRF漏洞

SSRF全程是服务端请求伪造（Server-Side Request Forge,SSRF)漏洞，攻击者利用SSRF漏洞通过服务器发起伪造请求，这样就可以访问内网的数据，进行内网信息探测或者内网漏洞利用。
SSRF漏洞形成的原因是应用程序存在可以从其他服务器获取数据的功能，但是服务器的地址没有进行严格的过滤，导致应用程序可以访问任意的URL连接，攻击者通过进行构造URL连接，可以利用SSRF漏洞进行以下攻击

1. 可以通过服务器获取内网主机、端口和Banner信息
2. 对内网的应用程序进行攻击，如Redis、Jboss等
3. 利用file协议读取文件
4. 可以攻击内网程序并造成溢出

十、解析漏洞

Web容器解析漏洞会将其他类型的文件都当作脚本语言的文件进行解析，执行里面的代码，Web容器解析漏洞产生的原因是Web容器存在漏洞，导致在解析恶意构造的文件时，无论此文件是什么类型的文件，都会执行里面的代码
Web容器解析漏洞的危害极大，会造成服务器被远程控制，网页篡改，网站挂马，植入后门等危害
一般解析漏洞是配合文件上传的功能进行利用，常见的Web容器有IIS、Nginx、Apache、Tomcat和Lighttpd等。