国内高防cdn_高防ip阿里_指南-墨者安全-墨者盾
DDOS防御_CC防护_高防CDN服务器_【墨者安全】—墨者盾墨者盾—你的网站贴身保镖!

QQ:800185041
高防免费接入:400-0797-119

渠道合作:156 2527 6999

主页 > 网站防护 > 国内高防cdn_高防ip阿里_指南

国内高防cdn_高防ip阿里_指南

小墨安全管家 2021-08-31 13:51 网站防护 89 ℃
DDoS防御

国内高防cdn_高防ip阿里_指南

平均堆栈应用程序(MongoDB,快递.js,安格拉,和节点.js)由于中间件插件和依靠项的巨大生态系统,作为轻量级的、易于部署的框架正在变得越来越流行。但这些技术到底有多安全?让我们检查一些常见的漏洞,这些漏洞要么是由于在默认配置中使用这些组件,要么是由于开辟人员的常见错误造成的。在本系列文章中,我们将使用一具有意易受攻击的MEAN-Bug应用程序来演示这些咨询题,并提供一些缓解技术,开辟人员能够使用这些技术来爱护他们的应用程序不受这些咨询题的阻碍。这些文章集中讨论与安全相关的咨询题,并假设读者对meanstack技术有差不多的了解。查询挑选器注入(MongoDB)我们将研究的技术堆栈的第一部分是MongoDB数据库。此NoSQL数据库不受常规SQL注入攻击的阻碍,但容易受到一种类似的攻击,即查询挑选器注入或NoSQL注入,后者使用内置逻辑运算符来更改查询。为了演示,让我们看看示例应用程序的登录表单。图1:平均错误登录表单使用Burp Suite web代理,CC防御,我们截获了登录请求,并将POST pass参数更改为pass[$ne]=其中$ne是MongoDB查询运算符"not equal to"。图2:使用HTTP代理工具Burp Suite修改表单参数当Express处理x-www-form-urlencoded请求主体时,它将被解析为对象{user:'admin',pass:{$ne:null}并传递给下面代码块中的MongoDB查询。使用上述有效负载,CC防御,查询将匹配"admin"的第一具用户名与不等于null的密码相匹配,从而允许我们以治理员身份向应用程序举行身份验证,而无需提供有效的密码。图3:绕过身份验证并访咨询应用程序欢迎页面假如我们尝试对/secure/query API举行相同的注入攻击,我们会发觉请求包含一具JSON主体,与简单的POST主体不同,当Express解析时,它不大概受到属性污染的阻碍。图4:初始请求包含JSON主体然而,假如我们将Content-Type头更改为x-www-form-urlencoded并修改主体以包含我们的负载,我们能够然后使用Express解析器将查询挑选器插入到请求对象中。这允许我们执行另一具查询挑选器注入攻击,并猎取数据库中的所有发票。图5:修改Content-Type头和请求体以利用Express解析器减轻查询挑选器注入的最简单想法大概是在运行查询之前将值强制转换为字符串。第一具示例中的易受攻击的身份验证查询已使用下面的代码块举行了修改。假如我们重新提交恶意请求,密码将与字符串"$ne:null"匹配,而不是计算实际查询运算符"not equal to"。所以,身份验证绕过攻击不再有效。图6:将输入强制转换为字符串后,查询挑选器注入攻击失败或者,CC防御,能够使用mongo sanitize之类的输入验证工具来拒绝任何以$字符开头的请求键,用于表示查询运算符。你的应用程序中的开源代码躲藏了啥?不安全配置(MongoDB)默认事情下,MongoDB不强制举行身份验证,这意味着任何人都能够连接到数据库并直截了当查询数据库。为了使那个咨询题更加复杂,2.6.0之前的MongoDB版本默认绑定到所有接口。不管是使用具有默认配置的旧实例依旧显式地将较新实例绑定到公共接口的结果,MongoDB数据库经常暴露在开放的internet上。如我们的示例应用程序所示,我们能够直截了当从外部系统连接到MongoDB用户数据库,而无需使用mongoshell有用程序举行任何身份验证。图7:使用mongoshell直截了当访咨询MongoDB用户数据库MongoDB还提供了一具可选的HTTP和REST接口,假如启用了该接口,则会公开有关数据库和底层文件系统的敏感信息。这些接口能够在如下所示的配置文件中启用,也能够在启动MongoDB实例时从命令行启用。默认事情下,它们将绑定到数据库端口加1000(即28017)。图8:HTTP接口公开系统和数据库信息图9:启用REST接口允许我们运行诸如"listDatabases"之类的命令为了爱护MongoDB实例,/etc/云数据库mongodb.conf文件的bind_ip、auth、httpinterface和rest选项应该配置为适当地限制访咨询,如下面的摘录所示。截至2017年1月,超过40000个MongoDB实例被勒索软件破坏,DDoS防御,勒索软件利用这些服务器不安全的默认配置。您应该花一些时刻来确保您的MongoDB实例被正确地加固,如此它就不大概变成一具统计数据。阅读本系列的第2部分:ExpressJS:防止平均堆栈中的常见漏洞附加阅读MongoDB勒索攻击然后困扰治理员MongoDB配置强化


DDoS防御

当前位置:主页 > 网站防护 > 国内高防cdn_高防ip阿里_指南

标签列表
DDoS防御
网站分类
X
 

QQ客服

400-0797-119