如何对网站登陆进行漏洞测试以及漏洞修复

从业渗透测试服务已经有十几年了，在对客户网站进行漏洞检测，安全渗透时，尤为网站用户登陆功能上发现的漏洞不少，想总结一下在渗透测试过程当中，网站登陆功能上都存在哪些网站安全隐患，下面就有请咱们SINE安全的工程师老陈来给你们总结一下，让你们都有更好的了解网站，在对本身网站进行开发的过程当中，尤为用户登陆功能上作好网站安全防御，防止网站被攻击。

网站登陆有安全验证与效验，从分支上又能够分出其余代码功能，包括用户注册，忘记密码，用户登陆框，修改密码，验证码（图片以及短信验证码，邮箱验证码等功能），用户登陆信息安全提示，密码错误仍是输入的帐号不对，以及帐号频繁登陆的锁定安全机制功能，大大小小的功能组成了网站的登陆功能。那么咱们SINE安全在对客户网站进行渗透测试服务的时候，在网站登陆功能里到底发现那些致命的漏洞？下面咱们来详细的举例说明：

第一咱们从最简单的一个用户登陆框上来讲，不少客户网站并无对用户前端输入的参数值进行安全过滤，致使帐户名字与密码里能够插入恶意的参数值，致使SQL注入漏洞的发生，再一个就是使用万能的密码进行登陆，能够绕过数据库，直接登陆网站。SINE安全是如何帮用户修复这个SQL注入漏洞呢？针对SQL注入的修复办法是：对用户登陆的帐号密码字段的参数值进行预编译，不容许特殊字符的输入与传输，在代码里写入get,post,cookies提交方式的安全拦截，发现恶意的字符包括<,>,\,/,，,",select,update,@,等等进行拦截，并返回错误提示，对特定的sql语句在代码里进行预编译，禁止多余的参数插入到帐号与密码字段中。

用户ID与密码被暴力破解，不少客户网站并无对网站的登陆进行安全判断，致使攻击者能够随意的对其进行任意的帐号密码尝试登陆，有些甚至有密码字典，能够不断去猜解用户的ID与密码，致使网站用户被恶意登陆，资料恶意篡改等状况发生。对这种渗透中发现的漏洞咱们SINE安全的修复办法是：增长验证码功能（图片验证码，或者是短信验证码），每次登陆都必须输入对的验证码，若是验证码不对那就不容许登陆，也能够将验证码作时间的限制，30秒才能从新获取。 再一个对用户ID输入错误的提示，能够混淆攻击者的视线，提示是密码错误。在用户登陆次数达到6次以上直接锁定该帐户的登陆。

XSS跨站攻击漏洞也会在用户登陆框中发生，比较常见的就是用户名的参数值中，有些客户网站没有对XSS恶意代码进行安全效验，致使能够输入错误的帐号进行登陆，当错误登陆的时候，后台有可能会有错误的用户登陆记录，包括post数据包里网站来源都会插入XSS攻击代码，致使管理员在查看用户登陆错误日志的时候触发XSS漏洞。XSS跨站漏洞能够获取用户的cookies值，以及网站后台的地址，并能够将浏览器打开后台进行截图等功能，如何修复XSS跨站漏洞？对get,post,cookies的提交方式进行安全过滤，拦截掉<,>，,img,"",等字符。

任意用户注册漏洞也会在网站登陆功能上发生，能够用来猜想网站是否有注册过该用户名，进行批量的暴力枚举。对注册使用的验证码进行绕过，使用正确的短信验证码提交注册便可绕过注册，手机以及邮箱的验证码过于过短，致使暴力破解，针对于这样的网站漏洞咱们SINE安全的修复建议是对验证码和注册信息进行同步请求，对验证码进行验证是否正确，而后再来肯定注册的信息是否与验证码是一体的。

还有不少网站功能在渗透测试过程当中出现的漏洞，这里总结的是上部分，下一部分咱们将会在下一篇文章中跟你们揭晓，也但愿这些的渗透测试分享能让你们对网站的安全有所了解，只有真正的了解了本身的网站，才能把安全作好，知彼知己百战不殆。在网站上线以及发生安全问题后，必定要作渗透测试服务，提早检测网站存在的漏洞，以及模拟攻击者的手法去查找漏洞根源，防患于未然,国内作的比较专业网站渗透测试公司推荐Sinesafe,绿盟,启明星辰等等专业的安全公司都是比较不错的。