Web Service安全

在現代的基於Web的應用程式中，Web服務的使用是不可避免的，並且它們也容易受到攻擊。由於Web服務請求從多個網站獲取，開發人員必須採取一些額外的措施，以避免駭客的任何型別的滲透。

動手實踐

第1步 - 導航到Webgoat的Web服務區域並轉到WSDL掃描。我們現在需要獲取其他一些帳號的信用卡詳細資訊。如下所示 －

第2步 - 如果選擇第一個名稱，則getFirstName函式呼叫是通過SOAP請求xml進行的。

第3步 - 通過開啟WSDL，可以看到有一種方法可以檢索信用卡資訊 - getCreditCard函式。現在使用Burp Suit篡改輸入，如下所示 -

第4步 - 現在我們使用Burp套件修改輸入，如下所示 -

第5步 - 可以獲得其他使用者的信用卡資訊。

預防機制

• 由於SOAP訊息是基於XML的，因此必須將所有傳遞的憑證轉換為文字格式。因此，必須非常小心地傳遞，必須始終加密的敏感資訊。
• 通過實施應用校驗和等機制來保護訊息完整性，以確保資料包的完整性。
• 保護訊息機密性 - 應用非對稱加密來保護對稱對談金鑰，在許多實現中，對稱對談金鑰僅對一個通訊有效並隨後被丟棄。