安全配置错误

安全配置错误是指安全设置被定义、实现和维护为默认设置的情况。良好的安全性需要为应用程序、Web服务器、数据库服务器和平台定义和部署安全的配置。保持软件更新同样重要。

示例

一些典型的安全配置错误示例如下：

• 如果服务器上未禁用目录列表，并且攻击者发现了这一点，则攻击者可以简单地列出目录以查找任何文件并执行它。也可以获取包含所有自定义代码的实际代码库，然后查找应用程序中的严重缺陷。

• 应用程序服务器配置允许将堆栈跟踪返回给用户，这可能会暴露底层缺陷。攻击者获取错误消息提供的额外信息，这足以让他们渗透。

• 应用程序服务器通常带有安全性较差的示例应用程序。如果未从生产服务器中删除，则会导致服务器受到威胁。

动手实践

步骤1 - 启动WebGoat并导航到不安全配置部分，让我们尝试解决该挑战。如下所示：

步骤2 - 我们可以尝试尽可能多的选项。我们只需要找到配置文件的URL，并且我们知道开发人员遵循某种配置文件命名约定。它可以是下面列出的任何内容。这通常通过暴力破解技术完成。

• web.config
• config
• appname.config
• conf

步骤3 - 在尝试各种选项后，我们发现'https://127.0.0.1:8080/WebGoat/conf'成功了。如果尝试成功，将显示以下页面：

预防机制

• 所有环境（例如开发、QA和生产环境）都应使用每个环境中不同的、难以破解的密码进行相同的配置。

• 确保采用强大的应用程序架构，该架构可在组件之间提供有效、安全的隔离。

• 定期运行自动化扫描和进行审计，也可以最大限度地减少这种攻击的可能性。