当前位置:首页 >  站长 >  建站经验 >  正文

网站安全认证登录渗透测试检测要点

 2019-12-23 10:33  来源:A5用户投稿  我来投稿   websafe的个人主页 撤稿纠错

  短视频,自媒体,达人种草一站服务

圣诞节很快就要到了,对渗透测试的热情仍然有增无减。我们SINE安全在此为用户认证登录安全制定一个全面的检测方法和要点Json web token (JWT), 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准((RFC 7519).该token被设计为紧凑且安全的,特别适用于分布式站点的单点登录(SSO)场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息,以便于从资源服务器获取资源,也可以增加一些额外的其它业务逻辑所必须的声明信息,该token也可直接被用于认证,也可被加密。

7.2.2. 构成

分为三个部分,分别为header/payload/signature。其中header是声明的类型和加密使用的算法。payload是载荷,最后是加上 HMAC((header)+(payload), secret)

7.2.3. 安全问题

7.2.3.1. Header部分

是否支持修改算法为none

kid字段是否有注入

jwk元素是否可信

是否强制使用白名单上的加密算法

7.2.3.2. Payload部分

其中是否存在敏感信息

检查过期策略,比如 exp , iat

7.2.3.3. Signature部分

检查是否强制检查签名

密钥是否可以被强行登录

是否可以通过其他方式拿到密钥

7.2.3.4. 其他

修改算法RS256为HS256

弱密钥破解

Kerberos

7.3.1. 简介

简单地说,Kerberos提供了一种单点登录(SSO)的方法。考虑这样一个场景,在一个网络中有不同的服务器,比如,打印服务器、邮件服务器和文件服务器。这些服务器都有认证的需求。很自然的,不可能让每个服务器自己实现一套认证系统,而是提供一个中心认证服务器(AS-Authentication Server)供这些服务器使用。这样任何客户端就只需维护一个密码就能登录所有服务器。

因此,在Kerberos系统中至少有三个角色:认证服务器(AS),客户端(Client)和普通服务器(Server)。客户端和服务器将在AS的帮助下完成相互认证。在Kerberos系统中,客户端和服务器都有一个唯一的名字,叫做Principal。同时,客户端和服务器都有自己的密码,并且它们的密码只有自己和认证服务器AS知道。

7.3.2. 简化的认证过程

客户端向服务器发起请求,请求内容是:客户端的principal,服务器的principal

AS收到请求之后,随机生成一个密码Kc, s(session key), 并生成以下两个票据返回给客户端

1.给客户端的票据,用客户端的密码加密,内容为随机密码,session,server_principal

2.给服务器端的票据,用服务器的密码加密,内容为随机密码,session,client_principal

客户端拿到了第二步中的两个票据后,首先用自己的密码解开票据,得到Kc、s,然后生成一个Authenticator,其中主要包括当前时间和Ts,c的校验码,并且用SessionKey Kc,s加密。之后客户端将Authenticator和给server的票据同时发给服务器

服务器首先用自己的密码解开票据,拿到SessionKey Kc,s,然后用Kc,s解开Authenticator,并做如下检查

1.检查Authenticator中的时间戳是不是在当前时间上下5分钟以内,并且检查该时间戳是否首次出现。如果该时间戳不是第一次出现,那说明有人截获了之前客户端发送的内容,进行Replay攻击。

2.检查checksum是否正确

3.如果都正确,客户端就通过了认证

服务器段可选择性地给客户端回复一条消息来完成双向认证,内容为用session key加密的时间戳

客户端通过解开消息,比较发回的时间戳和自己发送的时间戳是否一致,来验证服务器

7.3.3. 完整的认证过程

上方介绍的流程已经能够完成客户端和服务器的相互认证。但是,比较不方便的是每次认证都需要客户端输入自己的密码。

因此在Kerberos系统中,引入了一个新的角色叫做:票据授权服务(TGS - Ticket Granting Service),它的地位类似于一个普通的服务器,只是它提供的服务是为客户端发放用于和其他服务器认证的票据。

这样,Kerberos系统中就有四个角色:认证服务器(AS),客户端(Client),普通服务器(Server)和票据授权服务(TGS)。这样客户端初次和服务器通信的认证流程分成了以下6个步骤:

客户端向AS发起请求,请求内容是:客户端的principal,票据授权服务器的rincipal

AS收到请求之后,随机生成一个密码Kc, s(session key), 并生成以下两个票据返回给客户端:

1.给客户端的票据,用客户端的密码加密,内容为随机密码,session,tgs_principal

2.给tgs的票据,用tgs的密码加密,内容为随机密码,session,client_principal

客户端拿到了第二步中的两个票据后,首先用自己的密码解开票据,得到Kc、s,然后生成一个Authenticator,其中主要包括当前时间和Ts,c的校验码,并且用SessionKey Kc,s加密。之后客户端向tgs发起请求,内容包括:

1.Authenticator

2.给tgs的票据同时发给服务器

3.server_principal

TGS首先用自己的密码解开票据,拿到SessionKey Kc,s,然后用Kc,s解开Authenticator,并做如下检查

1.检查Authenticator中的时间戳是不是在当前时间上下5分钟以内,并且检查该时间戳是否首次出现。如果该时间戳不是第一次出现,那说明有人截获了之前客户端发送的内容,进行Replay攻击。

2.检查checksum是否正确

3.如果都正确,客户端就通过了认证

tgs生成一个session key组装两个票据给客户端

1.用客户端和tgs的session key加密的票据,包含新生成的session key和server_principal

2.用服务器的密码加密的票据,包括新生成的session key和client principal

客户端收到两个票据后,解开自己的,然后生成一个Authenticator,发请求给服务器,内容包括

1.Authenticator

2.给服务器的票据

服务器收到请求后,用自己的密码解开票据,得到session key,然后用session key解开authenticator对可无端进行验证

服务器可以选择返回一个用session key加密的之前的是时间戳来完成双向验证

客户端通过解开消息,比较发回的时间戳和自己发送的时间戳是否一致,来验证服务器

SAML

7.4.1. 简介

SAML (Security Assertion Markup Language) 译为安全断言标记语言,是一种xXML格式的语言,使用XML格式交互,来完成SSO的功能。 SAML存在1.1和2.0两个版本,这两个版本不兼容,不过在逻辑概念或者对象结构上大致相当,只是在一些细节上有所差异。

7.4.2. 认证过程

SAML的认证涉及到三个角色,分别为服务提供者(SP)、认证服务(IDP)、用户(Client)。一个比较典型认证过程如下:

Client访问受保护的资源

SP生成认证请求SAML返回给Client

Client提交请求到IDP

IDP返回认证请求

Client登陆IDP

认证成功后,IDP生成私钥签名标识了权限的SAML,返回给Client

Client提交SAML给SP

SP读取SAML,确定请求合法,返回资源

7.4.3. 安全问题

源于ssl模式下的认证可选性,可以删除签名方式标签绕过认证,如果SAML中缺少了expiration,并且断言ID不是唯一的,那么就可能被重放攻击影响,越来越多的网站安全问题日益出现,如果想要对网站或平台进行全面的安全检测以及渗透测试,可以咨询下专业的网站安全公司来进行安全加固渗透测试,国内做的比较好的推荐Sinesafe,绿盟,启明星辰,深信服等等都是比较大的安全公司。

作者: websafe    /    文章:100篇

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

相关文章

  • 网站渗透测试 日志溯源技术与密码授权机制分析

    在众多渗透测试中客户想要了解攻击溯源查找问题,我们Sine安全在日常网站安全检测过程中了解知道黑客是如何攻击和上传木马并进行篡改,以及如何查找日志分析攻击者是通过哪些脚本入口文件进行入侵的,那么本节由我们资深的渗透测试主管技术来为大家讲解。

  • 如何防止网站被劫持 反复跳转到其他网站

    临近2019年底,网站安全事件频发,攻击者加大了对网站的攻击力度,一定是在为过年钱做准备,大捞一把过个好年。就在最近,某客户网站被入侵并被篡改了首页代码,网站从搜索引擎打开直接跳转到了彩//piao网站上去了,通过朋友介绍找到我们SINESAFE做网站安全服务,防止网站被攻击,恢复网站的正常访问,关

  • 网站安全防护 该如何加固网站的session安全

    对用户的权限做安全过滤,相当于逻辑漏洞范畴里的,当session访问一些有管理权限的页面时,对其当前管理员账户的session进行比对,如果session值不是管理员的,那么就直接退出页面并返回错误.如果您对网站安全不是太懂的话,建议找专业的网站安全公司来处理,国内SINESAFE,启明星辰,深信服

  • 网站漏洞渗透测试 应急修复防护方案

    由于时间比较紧,年底业务比较多在此很多朋友想要了解我们Sine安全对于渗透测试安全检测以及应急响应的具体操作实践过程,对于漏洞发生问题的根源和即时的处理解决修补网站漏洞的响应时间进行全面的了解和预防,使公司组建一个更加专业的安全部门来阻挡黑客的攻击和入侵!

  • 渗透测试服务 前期对客户网站APP的信息收集分享

    在对客户网站以及APP进行渗透测试服务前,很重要的前期工作就是对网站,APP的信息进行全面的收集,知彼知己,才能更好的去渗透,前段时间我们SINE安全公司收到某金融客户的委托,对其旗下的网站,以及APP进行安全渗透,整个前期的信息收集过程,我们将通过文章的形式分享给大家.

  • 模板网站和定制网站哪个好

    互联网+时代,许多公司会通过建设网站,在互联网上扩展其营销渠道,找格子网络建设网站,主要有模板网站和定制网站两大类,那模板网站和定制网站哪个好?今天,格子网络给大家分析下模板网站和定制网站的优缺点,希望能帮到大家,更好的选择。

  • 网站建设前需要搞清楚这几个问题

    对于很多不了解网站的企业而言,建站其实是很简单的,会找一家合适的建站公司,然后将一切事宜都交由其处理,这样做虽然是非常省事,但是企业不去参与其中的建设,那么对网站就不会有了解,后期更多的事项都不能够把控,所以这样的方式不可取,企业建站前要学着了解一些概念性的问题。

    标签:
    网站建设
  • 如何解决网站被DDOS攻击?彻底恢复网站的正常访问

    随之移动互联网数据网络的不断进步,在给大家提供多种多样便捷的另外,DDoS攻击的经营规模也愈来愈大,如今早已进到了Tbps的DDoS攻击时代。DDoS攻击不但经营规模愈来愈大,拒绝服务攻击也愈来愈繁杂,很多传统的ddos攻击安全防护对策已没法解决日渐演变的攻击方法。

    标签:
    ddos攻击
  • 都说做网站能够赚钱?说说我的亲身经历

    常常看到各种网赚,记得以前自己就上过当,受过骗,心心念念的赚钱、赚钱,放到促成了别人赚钱,现在网络上还是充满了各种欺骗,估摸着还是有源源不断的人,会走这么一遭。直到后来,自己开始对互联网有更深的认识,总算是不会轻易的受骗(这都是钱堆出来的,哭,心疼自己3秒),能够看错它到底是不是套路,通过教你赚钱来

  • APP渗透测试流程 漏洞检测与安全加固方面介绍

    目前越来越多的APP遭受到黑客攻击,包括数据库被篡改,APP里的用户数据被泄露,手机号以及姓名,密码,资料都被盗取,很多平台的APP的银行卡,充值通道,聚合支付接口也都被黑客修改过,导致APP运营者经济损失太大,很多通过老客户的介绍找到我们SINE安全公司,寻求安全防护,防止攻击。

  • Css代码中color属性的几种常见用法及区别

    大家在制作网站和编写css代码的时候,经常都会使用到color属性,这也是一个网页在制作中非常常见的属性,但是,就是这样一个最常用的属性也有多种表达方法,可以在不同的时候派上用场。

  • 怎样的设计才能让网站logo更加出彩?

    在企业网站的建设中,logo的设计也是非常重要的一个环节,因为logo就是网站中企业形象的代表,由于人类是视觉动物,所以能让人印象深刻的往往是图案而不是文字。所以一个优秀的logo就可以体现出一个企业想要表达给用户的信息,也可以代表企业的和品牌的形象,logo是企业网站中一个非常重要,不可或缺的元素

    标签:
    网站logo设计
  • 网站上线需要做好哪些工作?

    有很多新人站长,不是很了解在网站上线之前应该做哪些事情,那么今天我们就为大家分享一下,网站在上线要做的一些事情。

  • 如何做好中小企业网站建设与管理

    如何做好中小企业网站建设与管理?网站建设完成之后,除了要进行站内信息的完善与展示,还需要进行站外的信息推广,比如论坛、贴吧、自媒体等平台进行网站信息推广,让更多地用户能够到网站浏览。

    标签:
    企业网站建设
  • 网站安全科普介绍 如何防止网站被黑被攻击

    作为一名网络安全工程师,“网站安全”这个词似乎离生活有些遥远,平日里很多人开启计算机最多就是登陆网站、浏览网站,至于网站安不安全,却从未关注过。近些年来,网络安全相关话题已经引起了社会的广泛关注,还记得去年暑期大火的偶像连续剧《亲爱的热爱的》讲述了男主希望为中国拿下CTF大赛冠军的梦想之路,CTF在

    标签:
    网站安全
榜单

热门排行

信息推荐

扫一扫关注最新创业资讯