未授权访问漏洞 原理以及修复方法

漏洞名称:未授权访问

漏洞描述:未授权访问漏洞,是在攻击者没有获取到登录权限或未授权的情况下,或者不需要输入密码或者其他验证手段,即可通过直接输入网站后台主页面地址,或者其他不允许查看页面可进行直接访问,同时进行操作。

检测条件:1、 已知Web网站具有登录页面。或者具有不允许访问的目录或功能。
                  2、 不用登录,可通过链接直接访问用户后台页面功能。

修复方法

常见的修复方法:在系统中,加入用户身份认证机制或者tonken验证,防止可被直接通过连接就可访问到用户的功能进行操作,简而言之,一定对系统重要功能点增加权限控制,对用户操作进行合法性验证,下列为针对
常见的JSP语言编写的网站的安全修复方案:

1、 采用JAVA过滤器技术,对/pages下所有URL进行登录状态检查,通过session.getAttribute()方法从session中获
取登录成功时存入session中的身份标识,判断客户端传递过来的身份标识是否与session中保存的一致,不一致
则跳转到登录页面。关键代码如下:

//从session里取的用户名信息
String username = (String) session.getAttribute("userID");
//getAttribute中变量根据实际变量传入。
//判断如果没有取到用户信息,就跳转到登陆页面
if ((username == null) || "".equals(username)) {
//跳转到登陆页面
res.sendRedirect("http://" + req.getHeader("Host")
+"/login_oa.jsp");}
else {
//已经登陆,继续此次请求
chain.doFilter(req, res); }}

2、 进行权限判断,以下代码为过滤器程序,通过会话获取用户身份信息,进行权限判断等操作:

//在配置文件中设置过滤器

SessionFilter
com.nsfocus.frame.filter.SessionFilter


SessionFilter
/pages/*

//后台过滤程序
public void doFilter(ServletRequest request,
ServletResponse response,FilterChain chain) throws
IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse res = (HttpServletResponse) response;
HttpSession session = req.getSession(true);
//从session里取的用户名信息
String username = (String) session.getAttribute("userID");
//getAttribute中变量根据实际变量传入。
//判断如果没有取到用户信息,就跳转到登陆页面
if ((username == null) || "".equals(username)) {
//跳转到登陆页面
res.sendRedirect("http://" + req.getHeader("Host") +"/login_oa.jsp");}
else {
//已经登陆,继续此次请求
chain.doFilter(req, res); } }
public void destroy() { }
}

你可能感兴趣的:(安全,安全,web安全,网络安全)