针对某个WEB渗透的整套修复建议（更新部分）

素颜马尾好姑娘i 2023-07-18 06:54 1阅读 0赞

一个WEB渗透包括：

1. 系统级别漏洞

2. 静态代码审计

3. 应用本身安全

文章会针对上面三个方面可能出现的问题进行说明，同时提出个人的修复建议。

--------------------

> 测试网址：https://\*\*\*\*\*\*(IP地址)/login.html
> 
> 测试工具：Fortify, Nmap，OpenVas，Appscan，Burp，Sqlmap, sslscan，Metasploit。

--------------------

# 1. 系统级别漏洞 #

**声明：**只针对web对应的ip地址，对于该ip地址在一个网段上面的其他ip地址不做渗透。

测试工具：Openvas（当然用nessus或其他的工具也可以，这边介绍我使用的工具）

测试步骤：

1. Opevas搭建和使用步骤可参照：[https://blog.51cto.com/linhong/2134910?source=drh][https_blog.51cto.com_linhong_2134910_source_drh]

2. 正常情况下，我们扫了一遍以后会得到如下图的报告：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70][]

3. 针对报告中的漏洞，进一步渗透可以参考往期博客：[渗透测试靶机实战。][Link 1]

遇到的问题不同，进一步渗透的也不同，上面可能有的你没有，但处理思路应该是相同。

4. 针对报告中的漏洞，一般的修复方案：

a. 系统级别的：升级打补丁

b. 中间件级别的：首先确认是否是确认必须的中间件，如果不是，直接卸掉；如果是，对中间件进行升级。

--------------------

# 2. 静态代码审计 #

测试工具：Fortify ，目前我接触最多的是java代码，所以一般都会用这款工具做代码审计

测试问题：Fortify测出来的常见高中危问题如下

>  *  Password Management: Hardcoded Password
>  *  Password Management: Null Password
>  *  Password Management: Password in Comment
>  *  Password Management: Password in Configuration File
>  *  Log Forging
>  *  Null Dereference
>  *  Unreleased Resource: Streams
>  *  Portability Flaw: File Separator
>  *  Portability Flaw: Locale Dependent Comparison
>  *  Access Specifier Manipulation
>  *  J2EE Bad Practices: Non-Serializable Object Stored in Session
>  *  Insecure Randomness
>  *  XML External Entity Injection
>  *  Dynamic Code Evaluation: Unsafe Deserialization
>  *  System Information Leak: External
>  *  Path Manipulation
>  *  Often Misused: Authentication
>  *  Insecure Transport: Mail Transmission
>  *  SQL Injection

1. 针对上面紫色部分关于密码的修复，基本上处理的方法就是删除（推荐）或者强加密。  
2. 其他部分的修复方案，可参考[Fortify扫描漏洞解决方案][Fortify]

--------------------

# 3. 应用本身安全 #

测试工具：Appscan和Burp

测试步骤：通常web页面弄到手，不管有没有账号都会先用AppScan扫一遍。

测试结果大致如图：

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 1][]

针对上面的问题大概分2种处理：

1. 中高危的漏洞，需要代码里面认证去看的，下面会细说。

2. 低危漏洞，处理方式：

a. 关于较老的TLS和密码套件的

>>运维配置，需要将TLS升级到TLS1.2版本以上，同时密码套件也升级，DES的去掉

b. **隐藏目录**：这边虽然写的是低危险的漏洞，但有时候这些隐藏目录会暴露超级大的漏洞，需要特别的对待。

如果确实是不需要的，要将这些隐藏目录给去掉。

c.临时文件下载：我这边涉及到的大部分是模板的东西，所以这些模板如果确实不需要的，也需要移除。

[https_blog.51cto.com_linhong_2134910_source_drh]: https://blog.51cto.com/linhong/2134910?source=drh
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70]: /images/20230528/17b6ac71a1e4462d9f15637b82e98315.png
[Link 1]: https://blog.csdn.net/m0_37268841/article/details/102517281
[Fortify]: https://blog.csdn.net/m0_37268841/article/details/105049251
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L20wXzM3MjY4ODQx_size_16_color_FFFFFF_t_70 1]: /images/20230528/4f9a55bc649546c2aa5a21131b023fbf.png