安全配置錯誤

安全配置錯誤是指安全設定被定義、實現和維護為預設設定的情況。良好的安全性需要為應用程式、Web伺服器、資料庫伺服器和平臺定義和部署安全的配置。保持軟體更新同樣重要。

示例

一些典型的安全配置錯誤示例如下：

• 如果伺服器上未停用目錄列表，並且攻擊者發現了這一點，則攻擊者可以簡單地列出目錄以查詢任何檔案並執行它。也可以獲取包含所有自定義程式碼的實際程式碼庫，然後查詢應用程式中的嚴重缺陷。

• 應用程式伺服器配置允許將堆疊跟蹤返回給使用者，這可能會暴露底層缺陷。攻擊者獲取錯誤訊息提供的額外資訊，這足以讓他們滲透。

• 應用程式伺服器通常帶有安全性較差的示例應用程式。如果未從生產伺服器中刪除，則會導致伺服器受到威脅。

動手實踐

步驟1 - 啟動WebGoat並導航到不安全配置部分，讓我們嘗試解決該挑戰。如下所示：

步驟2 - 我們可以嘗試儘可能多的選項。我們只需要找到配置檔案的URL，並且我們知道開發人員遵循某種配置檔案命名約定。它可以是下面列出的任何內容。這通常透過暴力破解技術完成。

• web.config
• config
• appname.config
• conf

步驟3 - 在嘗試各種選項後，我們發現'https://:8080/WebGoat/conf'成功了。如果嘗試成功，將顯示以下頁面：

預防機制

• 所有環境（例如開發、QA和生產環境）都應使用每個環境中不同的、難以破解的密碼進行相同的配置。

• 確保採用強大的應用程式架構，該架構可在元件之間提供有效、安全的隔離。

• 定期執行自動化掃描和進行審計，也可以最大限度地減少這種攻擊的可能性。