你的Web系统真的安全吗？-优快云博客

本文链接：https://blog.youkuaiyun.com/dzqxwzoe/article/details/141160713

千里之堤，溃于蚁穴。

在Web系统中，一个小小的漏洞，往往能引发极其严重的后果。因此，Web安全是每个系统在设计、开发、运维时必须要重点考虑的问题。

现如今很多Web系统所采取的防御措施是偏向于基础和简单的，往往只针对常见的安全漏洞做了防御，比如：

Csrf
XSS
Sql注入

等等。这些基础的防御措施是必须要做的，且实施的成本不高，但它们只是系统安全防御中的基础部分。很多开发人员在意识中认为做好这些就足够应付大部分情况了，这种想法是非常危险的。实际上，除了这些基础且标准化的漏洞，每个业务系统本身的业务逻辑也很有可能成为黑客攻击的目标，一旦被抓到并攻破，那后果将是非常严重的。下面将列举一些常见的业务逻辑漏洞，这些漏洞也是之前开发系统时踩过的坑，希望能对大家有所启发。

会话凭证管理混乱

我们都知道HTTP本身是无状态的，为了能让浏览器和服务器互相知道身份并信任对方，大部分web系统都是利用“token”这种约定的凭证来实现的，token会在用户登录之后产生，并在用户主动退出或者超过一段时间后失效。也就是说，请求带上了相应的token，那么服务端就能拿到token做相应的校验，校验通过则信任该请求并执行相关业务逻辑，如果没带、带一个非法的或者过期的则认为不合法。这看上去并没有什么问，但实际的实现上可能暗藏漏洞。

来看两个例子：

1.前端开发人员小明在写用户点击退出按钮的逻辑时，只是单纯的清空了cookie或者localstorage中的token值（token一般存这两个地方），并没有向后台发起请求让token在业务中过期失效。那这个token的有效性本质上违背了用户的意图，此时就存在非常大的风险。当用户自发退出后，token仍然有效，假如该token被他人通过某种方式获取并记录下来，那他可以完美的回放用户执行过的操作，比如更改用户信息，下单等。

2.在上面的例子中，我们有提到token是要设置过期的，合理的过期时间能有效降低风险。但后台开发小哥也许在设置token过期的配置中，眼花加手抖，多打一位数，或者把单位理解错，在S级单位上用了MS级的数值，那过期时间就会被设定的很长。对于登录之后就不喜欢主动退出或者长期挂着页面的用户就非常的危险。token在用户长期不使用的情况下依然有效，如果被他人拿到token，也能干很多的坏事。

校验失效

文件上传应该是Web应用上比较常用的功能，比如上传头像，上传文件到网盘等等。恶意用户可能会在上传的时候，上传木马、病毒、恶意脚本等文件，这类文件在服务器上被执行会带来比较严重的后果。这种攻击方式成本较低，比较容易被攻击者利用。允许上传的文件类型越多，受攻击的可能性就越大。当恶意程序被成功上传后，可能被用户下载，在用户电脑上执行后使之中毒。也可能在服务器上就执行恶意程序，造成服务器被控制，进而服务器瘫痪，数据丢失。

正常情况下，程序都会对文件类型进行判断，只允许我们认为合法的文件上传到服务器。但是，这个判断在一些web程序中，只在前端做了，在后端没做。这就给攻击者带来了机会，攻击者可以轻松的串改请求，从而实现非法文件的上传。

正确的做法应该是后端进行文件扩展名判断、MIME检测以及限制上传文件大小等限制来防御。另外，可以将文件保存在一个与业务隔离的服务器来防止恶意文件攻击业务服务器导致服务不可用。

数据枚举

在登录系统，大部分系统会在用户登录的时候判断用户是否存在，然后给出提示“该手机号未注册”。如果这个逻辑是用一个单独的接口做的，那么就会存在被暴力枚举的风险。攻击者可以通过该接口利用手机号码库进行请求枚举，识别出哪些手机号是在系统中注册过的，给下一步暴力破解密码带来机会。

对于这个问题，建议是将该判断放到登录验证的接口中，并不返回明确的提示。你会看到做的好的网站上，一般会提示“该手机号未注册或密码错误”。虽然这在用户体验上打了折扣，但也更加的安全。

数据写入重放

以一个论坛的发帖举例，利用抓包工具抓取论坛发帖的请求过程，并通过该工具重放过程，会发现帖子列表出现了两条一样的帖子，这就是被重放攻击了。如果加快重放频率，不仅会在系统中产生很多的垃圾数据，还会因为频繁写入给业务数据库带来巨大压力。

对于此类有重放风险的请求，建议加上请求频率限制。比如，可以判断两个请求的时间戳，设定大于某个时间值才有效。

权限漏洞

权限校验是Web系统的基本功能，比如一个公司组织架构管理系统，里面提供了修改部门名称、部门经理的功能。加上权限校验能很好地避免任意用户能通过这些功能修改他本无权限的信息。此类系统中一定会实现权限校验，但实际上真的实现对了吗？

假设我们规定，系统中某用户需要同时满足具有超管权限且属于A部门两个条件，才能修改部门名称。往往在实际的代码实现中，开发人员只是去判断该用户是否为超管，而没有判断该用户是否属于该部门。在这种情况下，我们可以用B部门的超管账号，去修改A部门的名称，相当于越权修改了，这显然不是我们期望的结果。即使B部门的超管用户在界面上无法找到修改A部门部门名称的入口，也可以通过抓取请求修改参数来实现。

除了越权修改，当然还能越权查看。我们肯定也不期望A部门的超管能看到B部门的部门信息，是不是？

建议大家的系统要对用户访问角色的权限进行严格的检查及限制。

安全无小事，正如开头所讲，任何一个漏洞都有可能带来毁灭性的打击，希望大家能重视。不仅在业务设计上要重视，同时也要在代码审查上要重视，以避免因实现而带来的低级漏洞问题。

以上只是举了众多安全漏洞中的一小部分，更多严重的Web应用程序安全风险可以查阅 OWASP Top 10 2017
发布的Top10安全问题。[www.owasp.org.cn/owasp-
proje…](https://link.juejin.cn/?target=http%3A%2F%2Fwww.owasp.org.cn%2Fowasp-
project%2FOWASPTop102017v1.3.pdf “http://www.owasp.org.cn/owasp-
project/OWASPTop102017v1.3.pdf”)# 学习计划安排

我一共划分了六个阶段，但并不是说你得学完全部才能上手工作，对于一些初级岗位，学到第三四个阶段就足矣~

这里我整合并且整理成了一份【282G】的网络安全从零基础入门到进阶资料包，需要的小伙伴可以扫描下方优快云官方合作二维码免费领取哦，无偿分享！！！

如果你对网络安全入门感兴趣，那么你需要的话可以

点击这里
👉[网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！](https://mp.weixin.qq.com/s/BWb9OzaB-
gVGVpkm161PMw)

①网络安全学习路线
②上百份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥HW护网行动经验总结
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

![](https://img-
blog.csdnimg.cn/img_convert/5038c791428a513aca3d99aac6d0bed5.jpeg)

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。