資料結構
網路
關係型資料庫管理系統
作業系統
Java
MS Excel
iOS
HTML
CSS
Android
Python
C 程式設計
C++
C#
MongoDB
MySQL
Javascript
PHP
物理學
化學
生物學
數學
英語
經濟學
心理學
社會學
服裝設計
法律研究什麼是引數篡改網路攻擊？
<p>引數篡改是對應用程式業務邏輯的一種簡單攻擊。這種攻擊利用了許多程式設計師如何使用隱藏或固定欄位作為特定操作的唯一安全保護（例如表單中的隱藏標籤或 URL 中的引數）。攻擊者可以輕鬆更改這些設定以繞過依賴於它們的安全性系統。</p><h2>Web 引數篡改</h2><p>Web 引數篡改漏洞可能是最常見的已知威脅。篡改引數通常可以透過以下方式進行：</p><ul class="list"><li><p>URL 中的查詢字串</p></li><li><p>HTTP 中的標頭</p></li><li><p>表單中的欄位</p></li><li><p>Cookie</p></li></ul><p>Web 引數篡改攻擊基於透過操縱客戶端和伺服器之間傳輸的引數來修改應用程式資料，例如使用者憑據和許可權、商品價格和數量等。這些資料通常儲存在 Cookie、隱藏表單欄位或 URL 查詢字串中，並用於增強程式功能和控制。</p><p>這種攻擊可以由希望利用程式為自己謀利的惡意使用者執行，也可以由希望對第三方發起中間人攻擊的攻擊者執行。Webscarab 和 Paros 代理通常在這兩種情況下使用。攻擊的成功取決於完整性和邏輯驗證機制的失敗，並且其利用可能導致 XSS、SQL 注入和其他問題。</p><p>如果滿足以下條件，引數篡改攻擊應該是可行的：</p><ul class="list"><li><p>可以控制查詢字串中的引數。</p></li><li><p>使用外掛檢視資料。</p></li><li><p>嘗試攻擊代理。</p></li><li><p>使用 Burp 套件阻止資料。</p></li></ul><h2>引數篡改是如何工作的？</h2><p>Web 伺服器的主要功能是提供檔案服務。在 Web 會話期間，Web 瀏覽器和 Web 應用程式之間傳輸引數以跟蹤客戶端的會話，從而避免在伺服器端使用複雜的資料庫。URL 查詢字串、表單欄位和 Cookie 都用於傳遞引數。</p><p>更改表單欄位中的引數是引數篡改的一個經典示例。當用戶在 HTML 頁面上進行選擇時，表單欄位的值通常會儲存並作為 HTTP 請求傳遞給 Web 應用程式。這些選項包括預選選項（組合框、複選框、單選按鈕等）、自由文字和隱藏。攻擊者可以修改任何這些值。</p><h2>如何防止引數篡改攻擊？</h2><p>以下是一些可以採取的措施來避免篡改攻擊的可能性：</p><p><strong>實施資料靜態加密和資料傳輸加密</strong></p><p>資料篡改是透過未經授權的方法對資料進行故意更改（編輯、修改或刪除）。資料有兩種型別：<em>靜態資料</em>和<em>傳輸資料</em>。這兩種情況下，資料都可能被篡改，並透過數字通訊被攔截。</p><p>無論是在傳輸中還是在靜態狀態下，未經保護的資料都會使公司面臨資料篡改和其他風險。加密是確保資料在傳輸和靜態狀態下安全的最有效方法之一。簡單來說，資料加密是將資料從一種形式轉換為另一種形式的過程，未經授權的使用者無法對其進行解密。</p><p>如果您將客戶的信用卡資訊儲存在資料庫中，則對靜態資料進行加密可以有效地將客戶的敏感資訊轉換為加密格式，而無需解密金鑰就無法對其進行解碼或讀取。攻擊者可能會以某些方式篡改加密資料，但無法以有意義的方式篡改。</p><p><strong>使用寫時複製檔案系統 (COPW)</strong></p><p>COPW 是一種檔案系統，允許資料庫伺服器維護即時快照。它還可以幫助防止資料篡改。COW 也有助於保護資料免受勒索軟體加密嘗試等攻擊。因此，將檔案系統恢復到攻擊前的狀態，並將資料恢復到其原始狀態、檢索丟失的資料以及避免任何停機時間變得更容易。</p><p><strong>使用基於雜湊的訊息認證碼 (HMAC)</strong></p><p>HMAC 用於確保資料完整性。它由一個密碼雜湊函式和一個秘密密碼金鑰組成。在使用安全檔案傳輸協議在兩個或多個參與方之間傳送資料時，資料會附帶 HMAC，而不是基本雜湊。</p><p>此外，可以使用以下方法來避免參數篡改：</p><ul class="list"><li><p>對應用程式的輸入使用白名單格式。</p></li><li><p>使用 Web 應用防火牆以獲得最大安全性。</p></li><li><p>加密會話 Cookie 以防止篡改。</p></li><li><p>不應使用來自客戶端的 Cookie（例如推薦來源）來進行安全決策。</p></li><li><p>引數不應包含在查詢字串中。</p></li><li><p>網站的表單應具有一些內建安全性。</p></li><li><p>使用正則表示式驗證或限制資料。</p></li><li><p>所有輸入都與伺服器端驗證進行比較。</p></li><li><p>遠離任何隱藏或不需要的資料。</p></li><li><p>儘可能避免干擾。</p></li></ul><p>篡改檢測是指裝置能夠識別正在嘗試破壞其安全性的工作嘗試。檢測到威脅可能使裝置能夠啟動適當的保護措施。</p>
240 次瀏覽
