电商网站安全（一）

 
  电商网站安全之威胁 
 

一、越权操作

   凡是仅靠传入参数就进行数据库查询的功能即存在越权。 
 

 
  越权类型： 
 

   1、平行越权（订单，留言，送货地址，修改信息，修改密码...） 
 

   2、垂直越权（修改信息，修改密码，创建用户..） 
 

   3、越权查询 
 

   4、越权修改 
 

   5、直接越权 
 

   6、间接越权 
 

   7、... ... 
 

 
  越权操作的危害： 
 

   泄漏用户数据，非法篡改他人业务，权限提升。 
  无法通过WAF以及常规手段发现。 
 

 
  二、金额篡改 
 

 
  类型 
 

   1、交易总金额 
 

   2、单价 
 

   3、商品数量 
 

   4、分期数量 
 

   5、正负对冲 
 

   6、负值反冲 
 

 
  危害 
 

   直接造成经济损失， 
  无法通过WAF发现，但可通过二次校验及人工确认的方式发现。 
 

篡改形式	影响
篡改金额	直接篡改单价或总金额，低价完成交易。
篡改数量	篡改数量为低价或负数，可能造成负充或低价完成交易。
篡改积分	由于积分允许负值，极有可能造成负充。
篡改产品参数	可增加产品价值，如增加分期数，增加投保时间等。
多参数篡改	如存在多个价格参数，只要有一个可篡改，即可构造对充订单。

 
  三、常见逻辑缺陷 
 

   类型 
 

   1、短息验证码前端回传 
 

   2、短信验证码可预测 
 

   3、受限商品重复购买 
 

   4、单点登录篡改 
 

   5、安全限制绕过 
 

 
  四、撞库 
 

   撞库示意图 
 

 
  五、暴力破解 
 

暴力破解形式	防护现状及方法
固定用户名遍历密码	常规攻击手法，可采用用户名锁定机制，验证码机制以及控件进行防护。
固定密码遍历用户名	常见于采用交易号登陆的电商网站，可采用验证码机制以及控件进行防护。
用户名密码成对匹配	撞库采用的方法，可采用验证码机制以及控件进行防护。

 
  六、内网渗透--木桶效应的终极体现 
 

   内网渗透充分体现了木桶效应的精髓： 
 

 
  安全不在于它做得好的方面有多好，而在于做得差的方面有多差。 
 

 
  常见的脆弱入口： 
 

 
  七、内网安全缺失 
 

 
  八、社会工程-Google Hacking 
 

   1、Google Hacking：利用搜索引擎输入特定语法、关键字查找可利用的渗透点，做种完成入侵。 
 

   敏感信息包括： 
 

   2、Google Hacking防御 
 

 
  Copyright © 2018 Ansel. All rights reserved. 
 