具有漏洞的元件


當應用程式中使用的庫和框架等元件幾乎總是以完全許可權執行時,就會發生這種威脅。如果利用易受攻擊的元件,則會使駭客的工作更容易導致嚴重的資料丟失或伺服器接管。

讓我們來了解這個漏洞的威脅代理,攻擊向量,安全弱點,技術影響和業務影響。

  • 威脅代理 - 使用自動化工具識別和利用的框架。
  • 攻擊者的方法 - 攻擊者通過掃描或手動分析識別元件。
  • 安全弱點 - 識別所使用的元件是否在應用程式的深處變得更加複雜。
  • 如何發現缺陷 - 當庫檔案位於應用程式的最頂層時更容易。越深層越變得困難。
  • 技術影響 - 各種各樣的弱點可能包括注入,破壞存取控制xss等。影響可能從最小到資料洩露大到完全的主機接管。
  • 業務影響 - 它可能是微不足道的,也可能意味著完全妥協。

範例

以下範例使用具有已知漏洞的元件 -

  • 由於未能提供身份令牌,攻擊者可以通過完全許可權呼叫任何Web服務。
  • 通過基於Java Spring框架的應用程式引入了具有表示式語言注入漏洞的遠端程式碼執行。

預防機制

  • 識別Web應用程式中使用的所有元件和版本,而不僅限於資料庫/框架。
  • 保持所有元件,如公共資料庫,專案郵寄清單等,保持最新。
  • 在本質上易受攻擊的元件周圍新增安全包裝器。