Security Testing 简明教程

Security Misconfiguration

安全性错误配置会在将安全性设置定义、实施并作为默认值维护时发生。良好的安全性需要定义并为应用程序、Web 服务器、数据库服务器和平台部署安全的配置。软件保持最新状态同样重要。

security misconfiguration

Example

一些经典的安全性错误配置示例如下 −

  1. 如果目录在服务器上未被禁用，并且如果攻击者发现了这一点，那么攻击者只需列出目录即可找到任何文件并执行它。还可以获取包含所有自定义代码的实际代码库，然后在应用程序中找到严重缺陷。

  2. 应用程序服务器配置允许向用户返回堆栈轨迹，从而可能暴露底层缺陷。攻击者抓取错误消息提供的那些额外信息，这足以让他们渗透进来。

  3. 应用程序服务器通常带有安全性欠佳的示例应用程序。如果不从生产服务器中删除，会导致服务器受到危害。

Hands ON

Step 1 − 启动 Webgoat，导航到不安全的配置部分，让我们尝试解决该挑战。快照如下所示 −

security misconfiguration1

Step 2 − 我们尽可能尝试许多选项。我们需要找到配置文件的 URL，并且我们知道开发人员遵循一种配置文件命名约定。可以是下面列出的任何一项。它通常通过蛮力技术完成。

  1. web.config

  2. config

  3. appname.config

  4. conf

Step 3 − 在尝试各种选项后，我们发现“ http://localhost:8080/WebGoat/conf ”是成功的。如果尝试成功，则会显示以下页面 −

security misconfiguration2

Preventive Mechanisms

  1. 所有环境，如开发、质量保证和生产环境应使用不同的密码进行配置，且在每个环境中使用的密码都无法轻易被破解。

  2. 确保采用强大的应用程序架构，在组件之间提供有效的安全隔离。

  3. 它还可以通过定期运行自动化扫描并执行审计来最大程度减少此攻击的可能性。