国产黄网站在线观看_日本乱人伦中文在线播放_亚洲六月丁香缴情久久丫_色播.com

物聯(lián)網(wǎng)開放平臺(tái)安全威脅(下)

物聯(lián)網(wǎng)開放平臺(tái)安全威脅下 百恒物聯(lián) 2018-07-21 2011

物聯(lián)網(wǎng)開放平臺(tái)安全威脅(下)


  該文為下半部分,上文可閱讀:物聯(lián)網(wǎng)開放平臺(tái)安全威脅(上)。


  6、Web安全威脅


  當(dāng)前,Web類應(yīng)用系統(tǒng)所面臨的主要風(fēng)險(xiǎn)如下。

 ?。?)網(wǎng)絡(luò)層的攻擊:利用工具和技術(shù)通過網(wǎng)絡(luò)對(duì)系統(tǒng)進(jìn)行攻擊和入侵?;ヂ?lián)網(wǎng)的開放性、國際性和自由性決定了Web應(yīng)用系統(tǒng)所面臨的、來自網(wǎng)絡(luò)層面的威脅是非常復(fù)雜和嚴(yán)峻的。主要的網(wǎng)絡(luò)層威脅包括:

  ①最高風(fēng)險(xiǎn):DDOS攻擊,造成網(wǎng)絡(luò)癱瘓,系統(tǒng)不可用。DDOS攻擊是一種非常典型的網(wǎng)絡(luò)層威脅,具體可分為兩類。

  ·帶寬耗盡型攻擊:通過發(fā)出海量數(shù)據(jù)包,造成設(shè)備負(fù)載過高,最終導(dǎo)致網(wǎng)絡(luò)帶寬或者設(shè)備資源耗盡。通常,被攻擊的路由器、服務(wù)器和防火墻的處理資源都是有限的,攻擊負(fù)載之下它們就無法處理正常合法的訪問,導(dǎo)致服務(wù)被拒絕。

  ·應(yīng)用型攻擊:利用諸如TCP或HTTP協(xié)議的某些特征,通過持續(xù)占用有限的資源,從而達(dá)到阻止目標(biāo)設(shè)備無法處理正常訪問請(qǐng)求的目的,如Http Half Open攻擊和Http Error攻擊等。

 ?、诼┒刺綔y(cè):通過分析已知漏洞,對(duì)應(yīng)用或系統(tǒng)提交特定格式的字符串,并分析返回結(jié)果,以確定應(yīng)用或系統(tǒng)是否存在該漏洞,可利用漏洞獲得存在漏洞的設(shè)備的控制權(quán),從而進(jìn)一步攻擊系統(tǒng)。

 ?、坌崽剑ㄙ~號(hào)、口令、敏感數(shù)據(jù)等):通過將網(wǎng)卡設(shè)置成為混雜模式,使網(wǎng)卡可接收任何流經(jīng)的數(shù)據(jù),造成敏感信息泄露,被人利用控制網(wǎng)絡(luò)或系統(tǒng)。

  (2)應(yīng)用層攻擊:利用Web系統(tǒng)的漏洞對(duì)應(yīng)用程序本身進(jìn)行的攻擊。應(yīng)用層面的脆弱性,主要體現(xiàn)為Web應(yīng)用軟件開發(fā)特別是架構(gòu)設(shè)計(jì)、編碼階段引入的弱點(diǎn),Web應(yīng)用存在的安全威脅如下。

 ?、僮罡唢L(fēng)險(xiǎn):對(duì)應(yīng)用程序本身的DOS攻擊,可造成系統(tǒng)癱瘓。攻擊者通過構(gòu)造大量的無效請(qǐng)求或利用系統(tǒng)漏洞構(gòu)造非法請(qǐng)求,耗盡Web服務(wù)器或帶寬的資源,導(dǎo)致Web服務(wù)器崩潰,使Web服務(wù)器不能響應(yīng)正常用戶的訪問。

 ?、赟QL注入:由于應(yīng)用程序?qū)νㄟ^SQL語句提交的用戶輸入內(nèi)容缺乏必要的過濾機(jī)制,攻擊者可以在輸入的內(nèi)容中加入SQL語句及參數(shù),從而實(shí)現(xiàn)數(shù)據(jù)庫操作,如查詢、插入、修改等,從而獲得一些敏感的信息或者控制整個(gè)服務(wù)器。

 ?、劭缯竟簦河捎陂_發(fā)人員在編程時(shí)對(duì)一些變量沒有做充分的過濾,或者沒做任何的過濾就直接在服務(wù)器上執(zhí)行用戶提交數(shù)據(jù)(如Java Script等腳本代碼),導(dǎo)致跨站攻擊,進(jìn)而泄露敏感信息,被人控制系統(tǒng),病毒入侵訪問者系統(tǒng)等。

  ·方式一:在Web應(yīng)用中,當(dāng)用戶提交數(shù)據(jù)與服務(wù)器進(jìn)行交互時(shí),攻擊者將惡意腳本隱藏在用戶提交的數(shù)據(jù)中,破壞服務(wù)器正常的響應(yīng)頁面。

  ·方式二:通過社會(huì)工程學(xué)等方法,誘騙用戶單擊和訪問虛假的頁面,達(dá)到偷竊用戶信息、下載惡意腳本等目的。

 ?、芫W(wǎng)站掛馬:攻擊者在服務(wù)器端插入惡意代碼,用戶訪問惡意頁面時(shí),網(wǎng)頁中植入的惡意代碼觸發(fā)客戶端的漏洞,從而自動(dòng)下載并執(zhí)行惡意程序,使網(wǎng)站感染木馬,對(duì)訪問者系統(tǒng)進(jìn)行入侵。

  ⑤獲取對(duì)Web服務(wù)的控制權(quán)限:攻擊者利用安全漏洞訪問受限制的目錄,并在Web服務(wù)器的根目錄以外執(zhí)行命令??蛇M(jìn)一步利用漏洞,控制服務(wù)器,從而進(jìn)一步對(duì)系統(tǒng)進(jìn)行控制。

 ?、抻脩粽J(rèn)證暴力破解:因認(rèn)證強(qiáng)度低于業(yè)務(wù)安全要求,攻擊者可以通過窮舉方式自動(dòng)猜測(cè)用戶登錄身份標(biāo)識(shí)(Credentials)、會(huì)話標(biāo)識(shí)(Session Identifiers),以及未公開的目錄和文件名(如臨時(shí)文件、備份文件、日志、配置文件)。

 ?。?)內(nèi)容安全

  ·網(wǎng)頁篡改:利用應(yīng)用層漏洞等進(jìn)行網(wǎng)頁篡改攻擊的行為,網(wǎng)頁內(nèi)容被非法篡改為其他甚至是產(chǎn)生嚴(yán)重社會(huì)影響的非法內(nèi)容。

  ·非法內(nèi)容:如網(wǎng)站論壇中發(fā)布了內(nèi)容不良、攻擊他人的違法信息或者惡意程序。

  7、內(nèi)容安全威脅


 ?。?)內(nèi)容不合規(guī)和不良信息的傳播。內(nèi)容提供商、服務(wù)商提供利用平臺(tái)提供的Web用戶交互界面?zhèn)鞑ゲ涣夹畔?、非法信息、低俗信息及垃圾信息等,面向公眾發(fā)布,從而違反國家法律或引起用戶投訴。

 ?。?)敏感信息泄露。因缺乏有效的加密機(jī)制及安全存儲(chǔ),攻擊者可以獲取用戶鑒權(quán)信息、用戶隱私數(shù)據(jù)等敏感信息。

  (3)內(nèi)容完整性。

  ·攻擊者使用惡意手段對(duì)網(wǎng)頁內(nèi)容進(jìn)行篡改。

  ·攻擊者在網(wǎng)頁中植入惡意代碼。

  ·相關(guān)服務(wù)器和用戶端網(wǎng)絡(luò)設(shè)備丟失數(shù)據(jù)。

  ·存儲(chǔ)介質(zhì)老化或質(zhì)量問題等導(dǎo)致不可用,從而使數(shù)據(jù)丟失。

  8、平臺(tái)運(yùn)營管理安全威脅


 ?。?)管理權(quán)限濫用。管理權(quán)限定義不合理,例如,管理員同時(shí)具備管理權(quán)限與業(yè)務(wù)審計(jì)權(quán)限,權(quán)限定義過大超過所負(fù)責(zé)工作需要;系統(tǒng)操作(如審批管理員)權(quán)限定義過低,濫用權(quán)限進(jìn)行高安全級(jí)的系統(tǒng)操作,導(dǎo)致濫用權(quán)限進(jìn)行業(yè)務(wù)操作,影響業(yè)務(wù)正常開展,獲取重要信息。

 ?。?)偽造賬號(hào)身份。惡意第三方可以利用業(yè)務(wù)系統(tǒng)從外部直接登錄的端口,或外部登錄存在的安全隱患(如盜用Cookies),盜用系統(tǒng)用戶、業(yè)務(wù)用戶的身份進(jìn)行登錄。

 ?。?)賬號(hào)暴力破解。針對(duì)管理員賬號(hào),惡意管理人員可利用認(rèn)證機(jī)制缺乏錯(cuò)誤次數(shù)限制等的漏洞,通過暴力破解、字典攻擊的方式猜測(cè)用戶的口令,非法使用用戶賬號(hào)登錄并進(jìn)行系統(tǒng)操作。

  (4)業(yè)務(wù)數(shù)據(jù)泄露。業(yè)務(wù)管理終端上的間諜軟件通過監(jiān)聽鍵盤輸入、端口監(jiān)聽、讀取特定文件等方式獲取用戶或服務(wù)器端的機(jī)密信息,并發(fā)送給攻擊者,進(jìn)而通過販賣數(shù)據(jù)或冒充用戶登錄等方式獲取利益。

 ?。?)系統(tǒng)軟件缺陷。攻擊者利用軟件編譯機(jī)制的漏洞,對(duì)代碼進(jìn)行逆向工程,獲取軟件保護(hù)的機(jī)密信息(如主密鑰)并破壞整個(gè)業(yè)務(wù)系統(tǒng)的安全機(jī)制;或者修改軟件代碼,通過惡意扣費(fèi)、獲取用戶機(jī)密信息等方式損害用戶合法權(quán)益,影響業(yè)務(wù)的正常開展。

 ?。?)密鑰泄露/破解。攻擊者利用管理端密鑰長期不更新的漏洞,用泄露的密鑰解密系統(tǒng)的安全數(shù)據(jù),進(jìn)而進(jìn)行違規(guī)操作或販賣業(yè)務(wù)數(shù)據(jù),損害用戶的合法權(quán)益。

  黑客或攻擊者利用密鑰生成機(jī)制過于簡單(例如密鑰為連續(xù)數(shù)字或密鑰為用戶名的簡單變換),通過可獲取的密鑰或其他信息推測(cè)用戶密鑰信息,進(jìn)而通過密鑰實(shí)施鑒權(quán)或?qū)C(jī)密數(shù)據(jù)進(jìn)行解密。
400-680-9298,0791-88117053
掃一掃關(guān)注百恒網(wǎng)絡(luò)微信公眾號(hào)
歡迎您的光顧,我們將竭誠為您服務(wù)×
售前咨詢 售前咨詢
 
售前咨詢 售前咨詢
 
售前咨詢 售前咨詢
 
售前咨詢 售前咨詢
 
售前咨詢 售前咨詢
 
售后服務(wù) 售后服務(wù)
 
售后服務(wù) 售后服務(wù)
 
×