網(wǎng)站認證登錄安全滲透測試檢測要點

時間：2020-01-05作者：青島四海通達電子科技有限公司瀏覽：80

圣誕節(jié)很快就要到了，對滲透測試的熱情仍然有增無減。我們SINE安全在此為用戶認證登錄安全制定一個全面的檢測方法和要點Json web token (JWT), 是為了在網(wǎng)絡(luò)應(yīng)用環(huán)境間傳遞聲明而執(zhí)行的一種基于JSON的開放標(biāo)準（(RFC 7519).該token被設(shè)計為緊湊且安全的，特別適用于分布式站點的單點登錄（SSO）場景。JWT的聲明一般被用來在身份提供者和服務(wù)提供者間傳遞被認證的用戶身份信息，以便于從資源服務(wù)器獲取資源，也可以增加一些額外的其它業(yè)務(wù)邏輯所必須的聲明信息，該token也可直接被用于認證，也可被加密。

7.2.2. 構(gòu)成

分為三個部分，分別為header/payload/signature。其中header是聲明的類型和加密使用的算法。payload是載荷，最后是加上 HMAC((header)+(payload), secret)

7.2.3. 安全問題

7.2.3.1. Header部分

是否支持修改算法為none

kid字段是否有注入

jwk元素是否可信

是否強制使用白名單上的加密算法

7.2.3.2. Payload部分

其中是否存在敏感信息

檢查過期策略，比如 exp , iat

7.2.3.3. Signature部分

檢查是否強制檢查簽名

密鑰是否可以被強行登錄

是否可以通過其他方式拿到密鑰

7.4.1. 簡介

SAML (Security Assertion Markup Language) 譯為安全斷言標(biāo)記語言，是一種xXML格式的語言，使用XML格式交互，來完成SSO的功能。 SAML存在1.1和2.0兩個版本，這兩個版本不兼容，不過在邏輯概念或者對象結(jié)構(gòu)上大致相當(dāng)，只是在一些細節(jié)上有所差異。

7.4.2. 認證過程

SAML的認證涉及到三個角色，分別為服務(wù)提供者(SP)、認證服務(wù)(IDP)、用戶(Client)。一個比較典型認證過程如下：

Client訪問受保護的資源

SP生成認證請求SAML返回給Client

Client提交請求到IDP

IDP返回認證請求

Client登陸IDP

認證成功后，IDP生成私鑰簽名標(biāo)識了權(quán)限的SAML，返回給Client

Client提交SAML給SP

SP讀取SAML，確定請求合法，返回資源

7.4.3. 安全問題

源于ssl模式下的認證可選性，可以刪除簽名方式標(biāo)簽繞過認證，如果SAML中缺少了expiration，并且斷言ID不是一的，那么就可能被重放攻擊影響，越來越多的網(wǎng)站安全問題日益出現(xiàn),如果想要對網(wǎng)站或平臺進行全面的安全檢測以及滲透測試,可以咨詢下專業(yè)的網(wǎng)站安全公司來進行安全加固滲透測試,國內(nèi)做的比較好的推薦Sinesafe,綠盟,啟**辰,深信服等等都是比較大的安全公司。


青島四海通達電子科技有限公司專注于服務(wù)器安全,網(wǎng)絡(luò)安全公司,網(wǎng)站安全防護,網(wǎng)站漏洞檢測,滲透測試,網(wǎng)站安全,網(wǎng)站漏洞掃描,網(wǎng)站安全檢測等, 歡迎致電 13280888826

• 詞條

  詞條說明

• 網(wǎng)絡(luò)安全公司 網(wǎng)絡(luò)安全小技巧

  網(wǎng)絡(luò)安全公司 網(wǎng)絡(luò)安全小技巧一、保持較新。不但要堅持較新操作系統(tǒng)，還要保持較新版本的殺毒軟件等常用應(yīng)用軟件。二、密碼安全。同樣的密碼不要用多處；密碼用的長一點（如：15位）；提供密碼強度，建議使用**字符+字母+數(shù)字組合；賬號密碼多的建議使用專業(yè)的密碼管理軟件。三、軟件安全。電腦病毒雖然看起來走在安全軟件前，但是安全軟件仍然可以幫你擋住大量的惡意軟件；讓你的殺毒軟件和安全軟件保持較新狀態(tài)。四、時刻

• 【網(wǎng)站安全防護】網(wǎng)站安全防護WAF有什么用

  1、網(wǎng)站安全防護的主要功能：漏洞攻擊防護:網(wǎng)站安全防護目前可攔截常見的web漏洞攻擊，例如SQL注入、XS S跨站、獲取敏感信息、利用開源組件漏洞的攻擊等常見的攻擊行為。虛擬補丁:網(wǎng)站安全防護可提供0 Day，N Day漏洞防護。當(dāng)發(fā)現(xiàn)有未公開的0 Day漏洞，或者剛公開但未修復(fù)的N Day漏洞被利用時，W AF可以在發(fā)現(xiàn)漏洞到用戶修復(fù)漏洞這段空檔期對漏洞增加虛擬補丁，抵擋黑 客的攻擊，防護網(wǎng)站安

• 網(wǎng)站被黑該如何檢查攻擊來源以及被篡改數(shù)據(jù)的痕跡

  很對客戶網(wǎng)站以及服務(wù)器被攻擊，被黑后，留下了很多webshell文件，也叫網(wǎng)站木馬文件，客戶對自己網(wǎng)站的安全也是很擔(dān)憂，擔(dān)心網(wǎng)站后期會繼續(xù)被攻擊篡改，畢竟沒有專業(yè)的安全技術(shù)去負責(zé)網(wǎng)站的安全防護工作，通過老客戶的介紹很多客戶在遇到網(wǎng)站被攻擊后找到我們SINE安全做網(wǎng)站的安全服務(wù)，防止惡意攻擊與篡改。對網(wǎng)站進行全面的防御與加固，我們在對客戶網(wǎng)站進行安全部署的同時，客戶經(jīng)常會想要了解到底網(wǎng)站，以及服務(wù)器

• 關(guān)于網(wǎng)站漏洞修復(fù)以及處理解決的相關(guān)問題解答

  Q：發(fā)覺系統(tǒng)漏洞后各企業(yè)的解決狀況，能升級的升級，不可以升級的都有哪些解決方法？A：較先對系統(tǒng)漏洞開展等級分類，不一樣的系統(tǒng)漏洞設(shè)定不一樣的安全隱患等級。系統(tǒng)漏洞的修復(fù)也是有多種多樣方法，根據(jù)形成根本原因從根本原因修復(fù)、設(shè)定主機iptables啟用策略路由、關(guān)掉有關(guān)功能模塊...總而言之，先推充分修復(fù)，緩解或避開其次。不需要去強求所有都需要充分修復(fù)，可是也須要留意防止暫時的限定對策被開放，須要認證