电子商务网站安全测试项目-应用

电子商务网站安全测试项目-应用漏洞名称漏洞类型漏洞危害描述解决方案或建议交易撤销缺陷功能缺陷某些机构系统没有交易撤销功能，会导致用户误操作后，在日结之前，无法将操作取消。建议加上交易撤销功能。界面数据项校验缺陷功能缺陷某些机构系统对一些界面数据项没有做长度和字符的严格校验，可能会导致用户输入错误。建议对界面数据项做严格校验。未设置交易限额风险监控漏洞未设置单笔、单日的交易限额，可能支付平台被利用进行套现、洗钱等违法金融活动。建议设置与交易限额、日交易量相关的风控规则。登录提示信息中可能泄露信息网络设备安全漏洞登录提示信息中可能泄露信息。建议修改登录提示信息，避免信息泄露。连续错误登陆多次未自动锁定帐号码主流操作系统漏洞当某用户账号连续三次(或有限的次数)登录失败，系统安全策略应锁定此账号，以防止该用户账号的密码被暴力猜解。设置登录失败自动锁定策略。ActiveX控件漏洞主流操作系统漏洞入侵者利用应用系统存在的ActiveX控件漏洞，可能造成入侵者利用ActiveX进行网页挂马、读取注册表，访问本地文件系统等。1、对ActiveX控件进行源代码审查与渗透测试，以避免缓冲区溢出之类的漏洞。

2、要求提交给ActiveX控件的所有参数使用加密签名验证，避免未授权的域尝试调用这些控件。本地缓存攻击主流操作系统漏洞入侵者利用应用系统存在的本地缓存攻击漏洞，可能造成入侵者绕过安全限制，获得敏感信息或破坏WEB缓存文件。1、通过在HTTP报头或HTML标签中添加Cache-Control等参数阻止浏览器缓存页面。

2、在表单标签或输入字段的标签中设置autocomplete="off"属性。样例数据库没有删除主流操作系统漏洞MySQL存在样例数据库，用于示范功能和测试服务器。在上线系统中建议删除样例数据库，这样，可以减少新弱点被利用的风险。例如：一个新的弱点要求必须有对视图作查询的能力，则样例数据库中的任一个视图都能被用户利用。如果删除了样例数据库，攻击者需查询其它的视图，这将增加攻击的难度。从产品系统中删除两个样本数据库。未设置使用SSL主流操作系统漏洞当敏感信息在非信任网络传输时，建议使用SSL保护其一致性和完整性。建议使用SSL保证传输内容安全。重复支付应用安全漏洞由于支付系统的设计缺陷，导致可对同一商品订单采用同一卡/帐户或不同的卡/帐户重复进行支付，包括客户无意的或者代理操作人员恶意的，对客户造成经济利益损害。对每笔订单进行控制，在进行支付操作时，检查该订单的支付情况，对于支付异常的情况进行回退操作；如己支付成功，进行支付成功提示并拒绝再次支付。不安全的直接对象访问应用安全漏洞服务器上具体文件名、路径或数据库关键字等内部资源被暴露在URL或网页中，攻击者可以此来尝试直接访问其他资源。主要防范措施：

1.避免在URL或网页中直接引用内部文件名或数据库关键字；

2.可使用自定义的映射名称来取代直接对象名；

3.锁定网站服务器上的所有目录和文件夹，设置访问权限；

4.验证用户输入和URL请求，拒绝包含./或../的请求。URL访问限制缺陷应用安全漏洞某些Web应用包含一些“隐藏”的URL，这些URL不显示在网页链接中，但管理员可以直接输入URL访问到这些“隐藏”页面.如果我们不对这些URL做访问限制，攻击者仍然有机会打开它们。主要防范措施：

对于网站内的所有内容(不论公开的还是未公开的)，都要进行访问控制检查;

只允许用户访问特定的文件类型，比如html,asp,php等，禁止对其他文件类型的访问。网站管理后台地址应用安全漏洞站点信息的更新通常通过后台管理来实现的，web应用程序开发者或者站点维护者可能使用常用的后台地址名称来管理，比如admin,manager等。攻击者可能通过使用上述常用的地址尝试访问目标站点，获取站点的后台管理地址：攻击者可能对后台管理页面进行口令猜测：如果后台管理系统存在其他弱点，被攻击者利用，可能导致攻击者获取管理员权限甚至服务1、使用非常规的后台管理地址名称。

2、对访问网站后台地址的IP进行限定或仅限内网用户访问。

3、网站前端程序和后合管理程序分离，比如为后台管理地址设置一个二级域名。上传程序漏洞应用安全漏洞应用系统提供的上传程序未对文件的大小、类到进行校验，攻击者可以上传asp.jsp.exe等脚本文件，从而获得webshell。对上传程序的大小、类型等进行校验，只允许用户上传固定类型的文件。恶意提交页面应用安全漏洞应用系统的部分用户交互模块无验证码、提交次数限定等机制，攻击者可能利用该页面进行恶意提交，产生大量垃圾数据，造成服务器性能下降。用户交互模块增加验证码、提交次数限定等恶意提交防范机制。暴力破解应用安全漏洞入侵者利用应用系统存在的暴力破解漏洞，可能造成入侵者猜测出用户名和密码，从而获得未授权访问应用系统的权力。1,在登录机制中添加图形验证码。

2.增强用户名和密码复杂度，给暴力破解攻击设置障碍。

3.设置登录出错次数，超过设置值则临时冻结帐号一定时问。验证机制漏洞应用安全漏洞入侵者利用验证机制漏洞，能够获得未经授权的访问应用程序以及其中保存的数据。而且验证机制漏洞也可能导致其他核心安全机制(如会话管理和访间控制)都无法有效实施。1、使用POST请求向服务器传输密码等验证信息，避免将验证信息放在URL参数或cookie中。

2、使用统一的安全提示语，防止提示语造成信息泄露，如“登录失败，请重新登录”等，而不应提示“登录失败，账号错误”等。

3、使用密码修改功能时只能从已通过验证的会话中访问该功能。会话管理漏洞应用安全漏洞入侵者利用会话管理漏洞，能够轻易的绕开应用系统上已部署的安全验证机制，甚至不需要用户证书即可伪装成其他用户。1、确保在连续请求中生成的标志用户身份的令牌，是随机的，不可预测的。

2、禁止以明文形式或在URL中传送生成的安全令牌

3、退出系统时应删除服务器上的所有会话资源并终止会话令牌。

4、用户会话处于非活动状态一段时间(如10分钟)后，应终止会话。访问控制漏洞应用安全漏洞入侵者利用会话管理漏洞，能够执行某种入侵者没有资格执行的操