细数电商Web安全七宗罪！

图文细数电商类Web安全七宗罪：内网渗透、逻辑缺陷、常规Web漏洞、撞库攻击、金额篡改、越权操作、社会工程。告诉你各项风险的渗透重点以及应对措施，教你避免安全风险的编码原则。传统网站也适用！

文章目录

一、电商类常见安全问题简介

1.1 电商网站安全威胁七宗罪

1.2 电商网站安全问题与传统Web安全问题对比

1.3 可能的风险点

1.4 攻击路径——内网渗透最为危险

1.5 电商网站安全威胁七宗罪之——越权操作

1.6 电商网站安全威胁七宗罪之——金额篡改

1.7 电商网站安全威胁七宗罪之——逻辑缺陷

1.8 电商网站安全威胁七宗罪之——撞库攻击

二、传统安全问题简介

2.1 常见业务系统安全威胁汇总

2.2 相应的安全控制措施

2.3 信息系统应用的安全需求

2.4 电商网站安全威胁七宗罪之——常规Web漏洞

2.4.1 Web应用安全编码原则

2.4.2 漏洞测试-端口扫描

2.5 电商网站安全威胁七宗罪之——内网渗透

2.5.1 一套完整的WEB攻击流程

2.5.2 内网渗透——木桶效应的终极体现

2.5.3 内网安全缺失

2.6 电商网站安全威胁七宗罪之——社会工程学

三、应对之道

3.1 安全漏洞扫描

3.2 安全配置检查

3.3 安全渗透测试

3.4 问题解决方案

一、电商类常见安全问题简介

1.1 电商网站安全威胁七宗罪

1.2 电商网站安全问题与传统Web安全问题对比

1.3 可能的风险点

1.4 攻击路径——内网渗透最为危险

1：Web应用访问路径：Web应用攻击（漏洞利用，放置木马，提权）

2：内网渗透测试：端口扫描、弱口令扫描、漏洞扫描、漏洞利用

3：APT攻击：攻击路径（一封电子邮件、一款绑马的软件、一个挂马的网站都会在客户端植入恶意程序）

4：无线接入攻击

5：移动客户端攻击

6：社会工程学

7：钓 鱼攻击（结合社会工程学）

8：DDOS攻击

1.5 电商网站安全威胁七宗罪之——越权操作

凡是仅靠传入参数就进行数据库查询的功能即存在越权

越权的种类

平行越权（订单，留言，送货地址，修改信息，修改密码…）

垂直越权（修改信息，修改密码，创建用户..）

越权查询

越权修改

直接越权

间接越权

……

OWASP Web应用漏洞Top10

越权操作的危害

泄露用户数据，非法篡改他人业务，权限提升。无法通过WAF以及常规手段发现

越权形式

造成影响

1.6 电商网站安全威胁七宗罪之——金额篡改

可能被篡改的变量

交易总金额

单价

商品数量

分期数量

正负“对冲”

负值反充

…

金额篡改的危害

直接造成经济损失，无法通过WAF发现，但可通过二次校验以及人工确认的方式发现

1.7 电商网站安全威胁七宗罪之——逻辑缺陷

常见逻辑缺陷

1.8 电商网站安全威胁七宗罪之——撞库攻击

撞库示意图

撞库攻击的利用条件很简单——只要存在用户名，密码的验证接口即可，但是造成的经济损失是很大的。

扫号器

暴力破解形式

二、传统安全问题简介

2.1 常见业务系统安全威胁汇总

2.2 相应的安全控制措施

2.3 信息系统应用的安全需求

2.4 电商网站安全威胁七宗罪之——常规Web漏洞

SQL注入

XSS

文件包含/路径遍历

任意文件上传

开源代码风险

1.防范常规的WEB漏洞，从开发与设计的角度需要遵循安全编码的原则，如Common Criteria

2.编码原则

3.安全观念培养

1）相似性漏洞挖掘

2）重要方法的参数校验

防止重要参数被篡改

3）公开 信息保护

4）通过配置文件防止信息泄露

5）程序中禁止出现明文密码

2.4.2 漏洞测试-端口扫描

1）端口扫描器

2）WEB扫描器

2.5 电商网站安全威胁七宗罪之——内网渗透

2.5.1 一套完整的WEB攻击流程

2.5.2 内网渗透——木桶效应的终极体现

内网渗透充分体现了木桶效应的精髓：安全不在于它做得好的方面有多好，而在于做得差的方面有多差。

什么地方通常是木桶的短板:

2.5.3 内网安全缺失

2.6 电商网站安全威胁七宗罪之——社会工程学

社会工程-社区、IM

社工库-信息买卖交易的集散地

社会工程-邮件仿冒及恶意附件

三、应对之道

3.1 安全漏洞扫描

输出成果

了解漏洞分布情况

获知漏洞修补方法

提高人员安全意识

3.2 安全配置检查

输出成果

了解系统安全状况

解决安全防范短板

充分满足合规要求

3.3 安全渗透测试

输出成果

充分挖掘应用缺陷

精细粒度威胁分析

提升人员安全技能

3.4 问题解决方案

1）预防越权操作

–任何涉及用户权限的操作均与会话关联

–参数的加密以及模糊化

2）预防金额篡改

–减少前端金额参数的输入

–将价格与商品编号关联

–服务端严格限制金额、数量的类型以及范围

–后台人工校验

3）预防逻辑漏洞

–进行业务流程梳理

–避免通过前端进行限制

–增加共享数据互斥机制

–不要相信用户输入

4）预防SQL注入

–使用预编译，绑定变量（推荐）

–使用存储过程

–检查数据类型

–使用安全函数

–过滤特殊字符和语句

5）XSS的防御

–输入检查

过滤

–输出检查

转义，编码

（一种HTML编码就能解决问题？）

–不同情况采用不同编码

–HTML标签属性输出：HTML编码

–script标签事件：javascript编码

通用安全

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。