細數Web2.0下的十大安全威脅

領測軟件測試網 web2.0是描述新一代網絡應用的新鮮術語。Start.com,Google maps,Writely以及MySpace.com都是使用Web2.0的典型。技術水平的不斷進步，推動了Web2.0應用的發展。在網絡服務方面，它加強了服務端的核心技術組件，而在客戶端方面，AJAX和豐富網絡應用(RIA)則改進了瀏覽器中的客戶端用戶接口。

    XML語言對表示層和傳輸層(HTTP/HTTPS)有巨大的影響。SOAP成為基于XML的傳輸機制的特別選擇后，從某種程度上說，XML在表示層上取代了HTML語言。

　　Web2.0關注點——重整行業

　　技術變革帶來了新的安全關注點和新的攻擊向量。Yamanner,Samy以及Spaceflash這些典型蠕蟲正在攻擊包含保密信息的AJAX架構的客戶端，它們提供攻擊途徑。

　　在服務器端，基于XML的網絡服務正在取代一部分的關鍵功能。它提供可通過網絡服務接口來訪問的分布式應用。用戶可以從瀏覽器端遠程激活基于 GET,POST或者SOAP的方法，這項能力給各種應用帶來新的缺陷。另一方面，使用XML,XUL,Flash,Applets和 JAVAScripts的RIA框架增加了更多可用的攻擊向量。RIA,AJAX以及網絡服務給網絡應用安全增加了新的維度。

　　下面列舉10個攻擊:

　　1.AJAX中的跨站點腳本

　　前幾個月，人們發現了多種跨站點的腳本攻擊。在此類攻擊中，受害者的包含信息的瀏覽器上會運行來自特定網站的惡意JAVA腳本代碼。 Yamanner蠕蟲就是一個最近的范例，它利用Yahoo郵件的AJAX調用中的跨站點腳本機會來攻擊受害者。另一個近期的范例就是Samy蠕蟲，它利 用MySpace.com的跨站點腳本漏洞來攻擊。AJAX在客戶端上運行，它允許錯誤書寫的腳本被攻擊者利用。攻擊者能夠編寫惡意鏈接來哄騙那些沒有準 備的用戶，讓他們用瀏覽器去訪問特定的網頁。傳統應用中也存在這樣的弱點，但AJAX給它添加了更多可能的漏洞。

　　2.XML中毒

　　很多Web2.0應用中，XML傳輸在服務器和瀏覽器之間往復。網絡應用接收來自AJAX客戶端的XML塊。這XML塊很可能染毒。多次將遞歸 負載應用到產出相似的XML節點,這樣的技術還并不普遍。如果機器的處理能力較弱，這將導致服務器拒絕服務。很多攻擊者還制作結構錯誤的XML文檔，這些 文檔會擾亂服務器上所使用的依賴剖析機制的邏輯。服務器端的剖析機制有兩種類型，它們是SAX和DOM。網絡服務也使用相同的攻擊向量，這是因為網絡服務 接收SOAP消息，而SOAP就是XML消息。在應用層大范圍地使用XMLs使攻擊者有更多的機會利用這個新的攻擊向量。

　　XML外部實體參照是能被攻擊者偽造的一個XML的屬性。這會使攻擊者能夠利用人意的文件或者TCP連接的缺陷。XML schema中毒是另一個XML中毒的攻擊向量，它能夠改變執行的流程。這個漏洞能幫助攻擊者獲得機密信息。

 

文章來源于領測軟件測試網 http://www.kjueaiud.com/