企业安全体系建设之路之Web安全篇

支付逻辑漏洞主要是代码层方面的防护，如果后端对提交的参数进行了绑定，那么无论前端怎么的修改，后端都是可以判断和初始化参数的;对于支付接口来说，如果调用第三方支付接口的话，也是要对接口进行绑定，最好对订单号进行绑定，避免用不存在的支付接口支付成功。

对于此类支付漏洞来讲，我们能做的就是提高风控手段，所有的支付结果要进行延时处理，把支付结果与订单之前的结果进行对比，查看是否异常，必要时加入人工审核，以此来减小事故发生几率。

越权

对于越权，越权也是属于逻辑漏洞的一种。

越权漏洞的存在环境，在Web环境中的不同而不同，拿有登录操作的站点来聊聊。在这类站点中，越权一般出现在个人信息处，如我们点击个人信息，通常在个人信息链接数据包里会带有用户userid，不出意外的话，我们修改其userid为其他用户userid会出现其他用户的信息。这个漏洞的产生是后端对用户的权限或登录状态判断不严造成的，对于此类漏洞站点一般的做法是添加用户token或附带其他什么乱七八糟的验证，对于越权也算是比较好的防范了。

当然，逻辑漏洞远不止上面提到的这么多，逻辑漏洞的防范是一个长期的过程，随着站点的业务和功能的拓展，其逻辑复杂度也在增加，只要企业把控好权限、验证、输出这三个点，逻辑漏洞出现的几率也就小了许多。

系统错误配置

某些站点的安全管控做的非常好，但是细节却处理的不好，其中不乏一些大的厂商，站点不出现漏洞，但是支持站点运行的服务器软件由于站点管理员的违规操作可能会导致大的漏洞产生。如Apache开放了PUT功能，权限管控不到位所导致的目录遍历操作，IIS的短文件名漏洞等。所以按照规范定期进行服务器基线检查是非常有必要的。

数据库漏洞

数据库漏洞一般就是弱口令或未授权访问，其余的如REC等漏洞或多或少还是需要点权限的，随着企业的安全意识提高，建站一般会使用站库分离的做法，这样做可以很好的保护数据库服务器和提高站点服务器的系统资源利用率，提高站点安全性。当然，站点的权限如非必要，最好还是进行降权账号登录，很多的数据库漏洞都是因为暴露在公网导致的被入侵，如果权限较低的话，那么被攻下的难度就很高了。

从站点的SQL注入漏洞来讲，这本身就不属于数据库漏洞了，属于站点自身的漏洞，所以SQL注入的根源在于站点代码，而非数据库。

薅羊毛

薅羊毛这个虽不能算是漏洞(也可以说和漏洞危害差不多)，但是对企业造成的损失还是很大的，目前薅羊毛现已经成为了一个产业链，羊毛党利用网站漏洞或者人员条件(黑产)等其他优势，合法占用企业资源，使企业的宣传或活动达不到预期的效果，浪费企业资源，甚至造成损失。

当企业辛辛苦苦策划出来的活动被羊毛党利用，企业投入了大量物力换来的是羊毛党的流量，那么，我们有什么方法能减少被薅羊毛额几率呢?

防范羊毛党可以从以下几个方面着手

• 严控注册流程，阻止非法注册
• 定期清理垃圾帐号
• 提高参加活动的门槛
• 对参加活动的用户进行严格的资格审核，提高用户真实性
• 平台漏洞：严控相关活动的接口调用逻辑，确保通过了安全检测后上线
• 延迟活动奖励的时限
• 增加和提高合法用户真实性(人机用户)验证机制

当然，具体的防范措施也不是依照以上几种防范措施就能完全杜绝薅羊毛的行为，所谓完善的安全管控体系，都是建立在具体实践的基础上的，防范管控经验都是在经历了”具体事故“才能很完美的总结出来，这样才能对企业自身或者具体业务量身定制一套薅羊毛应对措施，往大了说还能通用于某一行业的所有产品。

第三方程序管控

一个企业里面，用到的Web程序不敢说都是自己开发的,或多或少会用到其他企业的开源或收费的Web程序，那么这些Web程序又该如何管控呢?

对于此类应用来说，上线和自身产品差不多，都是需要经过安全评估的，通过了安全评估以后，进行备案上线。后续需定期关注官网补丁并及时进行补丁更新，如果Web程序存在0day漏洞的话，结合当前服务器的安全策略进行管控。

权限管控

权限这个问题是站点被攻破后的最后一道防御点，如果站点权限出现问题，那么整个站点就真的沦陷了。

在Web的渗透测试中，攻击者在拿到了可以操控站点的权限时(如后台登录权限)，首先想到的就是上传脚本木马来控制服务器，然后利用脚本木马来进行提权操作，最后内网渗透等等。

所以在攻击者有了操作站点权限的这个节点时是企业管控Web这最后一道防线的关键点，下面我们来讨论下权限问题。

站点的启动一般不用最高权限启动，一般管理员会新建一个低权限的账号来启动Web站点服务，用低权限启动的Web服务权限有限，无法执行创建修改或删除文件等高权限操作，所以对脚本木马的写入有一定的防范作用;但是有一些站点因为要使用某些第三方库，或者需要执行某些合法的敏感操作，可能会要求请求高权限启动，这个时候权限管控就会有一定风险存在了，企业能做的就是对整个站点进行旁路权限管控，如：

• 上传目录的脚本解析和执行权限
• 站点的命令执行权限
• 跨目录权限

所以，权限最大的问题在于执行上，如果控制了执行权限，那么无论你怎么上传，上传什么文件，都执行不起来。

权限管控是一个老生常谈的问题，权限和业务有着比较矛盾的问题，因为有些情况下需要开启高权限来支撑站点的某一功能，但是在该功能的高权限开启情况下又会出现安全问题。所以说，权限管控并不难，难就难在要配合具体业务场景而又不要出现安全问题上。

日常监控

监控站点是一种了解当前站点运行状态的必要手段，也是一种获取攻击和威胁情报的来源之一。

监控的手段一般为

• 日志监控
• 通信流量监控
• 文件监控
• 系统操作监控

通过监控手段，企业可以获取大量有用的信息，能够帮助企业改善产品、获取威胁情报、调查取证等方面有着很大的帮助。

日志监控主要是针对于Web服务器和站点所产生的日志情况，提取日志中所产生的异常并针对性的进行处理。

（编辑：PHP编程网 - 黄冈站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!