【绿盟大讲堂】电商类WEB安全七宗罪

图文细数电商类Web安全七宗罪：内网渗透、逻辑缺陷、常规Web漏洞、撞库攻击、金额篡改、越权操作、社会工程。告诉你各项风险的渗透重点以及应对措施，教你避免安全风险的编码原则。传统网站也适用！

一、电商类常见安全问题简介

1.1 电商网站安全威胁七宗罪

1.2 电商网站安全问题与传统Web安全问题对比

1.3 可能的风险点

1.4 攻击路径——内网渗透最为危险

1：Web应用访问路径：Web应用攻击（漏洞利用，放置木马，提权）

2：内网渗透测试：端口扫描、弱口令扫描、漏洞扫描、漏洞利用

3：APT攻击：攻击路径（一封电子邮件、一款绑马的软件、一个挂马的网站都会在客户端植入恶意程序）

4：无线接入攻击

5：移动客户端攻击

6：社会工程学

7：钓鱼攻击（结合社会工程学）

8：DDOS攻击

1.5 电商网站安全威胁七宗罪之——越权操作

凡是仅靠传入参数就进行数据库查询的功能即存在越权

OWASP Web应用漏洞Top10

越权操作的危害

泄露用户数据，非法篡改他人业务，权限提升。无法通过WAF以及常规手段发现

越权形式

造成影响
越权查看订单/保单 订单数据泄露，用户数据遭到非法交易。
越权查看地址 用户基本信息泄露，可用来非法交易。
越权查看留言 严重泄露用户隐私，可进行诈骗，钓鱼等非法行为。
越权查询交易记录 交易信息泄露，可用来非法交易。
越权修改个人信息 越权篡改密码保护问题，绑定手机号等。可非法进入他人账户。
… …

1.6 电商网站安全威胁七宗罪之——金额篡改

可能被篡改的变量

金额篡改的危害

直接造成经济损失，无法通过WAF发现，但可通过二次校验以及人工确认的方式发现

篡改形式 造成影响
篡改金额 直接篡改单价或总金额，低价完成交易。
篡改数量 篡改数量为低价或负值，可能造成负充或低价完成交易
篡改积分 由于积分允许出现负值，极可能造成负充
篡改产品参数 可增加产品价值，如增加分期数，增加投保时间等。
多参数篡改 如存在多个价格参数，只有有一个可篡改，即可构造“对充”订单
… …

1.7 电商网站安全威胁七宗罪之——逻辑缺陷

常见逻辑缺陷


1.8 电商网站安全威胁七宗罪之——撞库攻击

撞库示意图

撞库攻击的利用条件很简单——只要存在用户名，密码的验证接口即可，但是造成的经济损失是很大的。

扫号器

暴力破解形式

暴力破解的形式 防护现状及方法
固定用户名遍历密码 常规攻击手法，采用用户名锁定机制，验证码机制以及控件可进行防护。
固定密码遍历用户名 常见于采用交易号登陆的电商站点，可采用验证码机制以及控件进行防护
用户名密码成对匹配 撞库采用的方法，可采用验证码机制以及控件进行防护

二、传统安全问题简介

2.1 常见业务系统安全威胁汇总

2.2 相应的安全控制措施

2.3 信息系统应用的安全需求

2.4 电商网站安全威胁七宗罪之——常规Web漏洞

2.4.1 Web应用安全编码原则

1.防范常规的WEB漏洞，从开发与设计的角度需要遵循安全编码的原则，如Common Criteria

2.编码原则

3.安全观念培养

2.4.2 漏洞测试-端口扫描

2.5 电商网站安全威胁七宗罪之——内网渗透

2.5.1 一套完整的WEB攻击流程

2.5.3 内网渗透——木桶效应的终极体现

内网渗透充分体现了木桶效应的精髓：安全不在于它做得好的方面有多好，而在于做得差的方面有多差。

 

 

什么地方通常是木桶的短板:

2.5.4 内网安全缺失

2.6 电商网站安全威胁七宗罪之——社会工程学

社会工程-社区、IM

社工库-信息买卖交易的集散地

社会工程-邮件仿冒及恶意附件

三、应对之道

3.1 安全漏洞扫描

输出成果

3.2 安全配置检查

输出成果

3.3 安全渗透测试

3.4 问题解决方案

–任何涉及用户权限的操作均与会话关联

–参数的加密以及模糊化

–减少前端金额参数的输入

–将价格与商品编号关联

–服务端严格限制金额、数量的类型以及范围

–后台人工校验

–进行业务流程梳理

–避免通过前端进行限制

–增加共享数据互斥机制

–不要相信用户输入

–使用预编译，绑定变量（推荐）

–使用存储过程

–检查数据类型

–使用安全函数

–过滤特殊字符和语句

–输入检查

过滤

–输出检查

转义，编码

一种HTML编码就能解决问题？

–正确地防御跨站

不同情况采用不同编码

–HTML标签属性输出：HTML编码

–<script>标签事件：javascript编码

源链接

Hacking more

...