本单元从威胁、对策、缺陷、攻击的角度来分析 Web 应用程序安全。当结合安全性特性设计、实现和部署应用程序时，这有助于更好地理解攻击者的想法。从攻击者的角度考虑问题，并了解他们的可能手段，在采取对策时会更有效。本单元介绍传统的攻击者采用的方法，并对典型的攻击进行剖析。

本单元开始介绍了攻击者使用的常见方法，以危及 Web 应用程序的安全，并建议采用 STRIDE 方法对威胁进行分类。然后，介绍了可能危及网络、主机基础结构和应用程序安全的主要威胁。了解这些威胁和适当的对策，为威胁建模过程提供了重要的信息。

本单元使您可以找出在特定情况下的具体威胁，并根据它们对系统构成的危险程度区分优先次序。

目标

使用本单元：

应用于

Web 应用程序

如何使用本单元

本单元找出了一组常用的网络、主机和应用程序级威胁，并找出了应对每种威胁建议采取的对策。

本单元没有对威胁进行详细列表，但重点介绍了多种主要威胁。有了这些攻击者如何进行操作的信息和知识，您就可以识别其他的威胁。

您需要了解最可能影响系统的威胁，这样就可以构建有效的威胁模型。这些威胁模型是“威胁建模”单元的主题。

要想充分利用本单元：

当设计、构建并保护新的系统时，要考虑本单元概述的威胁。这些威胁的存在与平台或者使用的技术无关。

开始之前

开始威胁建模过程之前，了解下面的基本术语非常重要：

通过了解以 Web 应用程序为目标时攻击者使用的基本方法，您将可以更好地配备防护措施，因为您知道您的对手是什么。攻击者方法的基本步骤总结如下，并用图 1 进行说明：

调查与评估

按顺序进行调查与评估潜在的目标。通常，攻击者采取的第一步就是调查潜在的目标，以确定和评估它的特点。这些特点可能包括，它支持的服务和协议，以及潜在的缺陷和入口点。攻击者利用在调查与评估阶段收集的信息来规划首次攻击。

例如，通过测试来查看 Web 页中的任何控件是否会对输出进行回应，攻击者可能检测到一个跨站点脚本编写 (XSS) 缺陷。

利用与渗透

调查完潜在的目标后，下一步就是利用与渗透。如果网络和主机已经完全地保护起来，您的应用程序（前门）就成为下一个攻击渠道。

对于攻击者，进入应用程序的最简单方法就是通过合法用户使用的同一入口 — 例如，通过应用程序的登录页或者不需要身份验证的网页。

提高特权

攻击者设法危害应用程序或者网络之后，他们会立即尝试通过将代码注入应用程序或者利用 Windows® 2000 操作系统创建一个身份验证会话，以提高特权。特别是，他们会寻求帐户提供管理特权，这些帐户是管理员组的成员。他们还寻求本地系统帐户提供的高级特权。

在整个应用程序中使用最小特权服务帐户是防护特权提高攻击的主要手段。同时，许多网络级提高特权攻击需要一个交互登录会话。

维护访问

可以访问系统后，攻击者还要采取措施以使将来访问时更轻松，并可以掩饰他的或她的踪迹。使将来可以更轻松访问的常见方法包括，安置后门程序或者利用缺乏严格保护的现有帐户。掩饰踪迹通常包括清除日志和隐藏工具。这样，审核日志就是攻击者的一个主要目标。

应当保护日志文件，还应定期分析日志文件。分析日志文件经常可以在损失造成之前发现早期的尝试闯入的迹象。

拒绝服务

不能进行访问的攻击者经常会安置一个拒绝服务攻击，阻止其他人使用这个应用程序。对于其他攻击者，从一开始拒绝服务选择就是他们的目标。SYN Flood 攻击就是一个例子，攻击者利用一个程序来发送大量的 TCP SYN 请求，以填充服务器上挂起的连接队列。这就阻止了其他用户建立网络连接。

了解威胁分类

由于具体的攻击和攻击技术有许多变体，因此根据攻击者试图实现的目标来考虑威胁是十分有用的。这就将注意的焦点从识别每一种具体的攻击 — 这确实是达到目标的一种手段，改变为注意可能攻击的目标结果。

STRIDE

可以根据攻击的目标和目的对应用程序面临的威胁进行分类。有关威胁分类的应用知识有助于您组织安全策略，这样您就可以有计划地对威胁进行回应。STRIDE 是 Microsoft 使用的对不同威胁类型进行分类的首字母缩写词。STRIDE 代表：

STRIDE 威胁与对策

STRIDE 所描述的每一类威胁都具有一套对应的对抗技术，应当使用这些技术来降低危险。表 1 对这些技术进行了小结。对策适当与否取决于特定的攻击。稍后，本单元将对网络、主机以及应用程序级的更多威胁、攻击和采用的对策进行介绍。

||||||网络威胁与对策

构成网络基础结构的主要组件有路由器、防火墙和交换机。它们担当网关守卫的角色，保护您的服务器和应用程序不受攻击与入侵。攻击者可能使用配置很差的网络设备。常见的缺陷包括脆弱的默认安装设置、对外开放的访问控制以及缺少最新安全补丁的设备。主要的网络级威胁包括：

信息收集

可以用与其他类型系统相同的方法发现网络设备并对其进行剖析。通常，攻击者最初是扫描端口。识别出开放端口后，他们利用标题抓取与枚举的方法检测设备类型，并确定操作系统和应用程序的版本。具有这些信息后，攻击者可以攻击已知的缺陷，这些缺陷可能没有更新安全补丁。

阻止信息收集的对策包括：

探查

探查 或者窃听 就是监视网络上数据（例如明文密码或者配置信息）传输信息的行为。利用简单的数据包探测器，攻击者可以很轻松地读取所有的明文传输信息。同时，攻击者可以破解用轻量级散列算法加密的数据包，并解密您认为是安全的有用负荷。探查数据包需要在服务器/客户端通信的通道中安装数据包探测器。

帮助阻止探查的对策包括：

欺骗

欺骗就是一种隐藏某人在网上真实身份的方式。为创建一个欺骗身份，攻击者要使用一个伪造的源地址，该地址不代表数据包的真实地址。可以使用欺骗来隐藏最初的攻击源，或者绕开存在的网络访问控制列表（ACL，它根据源地址规则限制主机访问）。

虽然不可能根据精心制作的欺骗数据包追踪到原始的发送者，但是组合筛选规则可以防止欺骗数据包起源于您的网络，使您可以拦截明显的欺骗数据包。

防止欺骗的对策包括：

会话劫持

也称为中间人攻击，会话劫持欺骗服务器或者客户端接受：上游主机就是真正的合法主机。相反，上游主机是攻击者的主机，它操纵网络，这样攻击者的主机看上去就是期望的目的地。

帮助防止会话劫持的对策包括：

拒绝服务

拒绝服务就是拒绝合法用户访问服务器或者服务。SYN FLOOD 攻击就是网络级拒绝服务攻击的常见示例。该攻击容易发起并且不容易追踪。攻击的目的是给服务器发送大量的请求，从而超过它的处理能力。该攻击利用的是 TCP/IP 连接建立机制中的一个潜在缺陷，并冲击服务器的挂起连接队列。

防止拒绝服务的对策包括：

主机威胁与对策

主机威胁针对构建应用程序的系统软件。这包括 Windows 2000、Internet 信息服务 (IIS)、.NET Framework 和 SQL Server 2000，是哪一种取决于特定的服务器角色。主要的主机级威胁包括：

病毒、特洛伊木马和蠕虫

病毒就是一种设计的程序，它进行恶意的行为，并破坏操作系统或者应用程序。除了将恶意的代码包含在表面上是无害的数据文件或者可执行程序中外，特洛伊木马很像一种病毒。除了可以从一个服务器自我复制到另一个服务器，蠕虫类似于特洛伊木马。蠕虫很难检测到，因为它们不是定期创建可以看见的文件。通常只有当它们开始消耗系统资源时，才能注意到它们，因为这时系统运行缓慢或者其他执行的程序停止运行。红色代码蠕虫就是最臭名远扬、攻击 IIS 的蠕虫，它的存在依靠的是某特定 ISAPI 筛选器中的缓冲区溢出缺陷。

虽然这三种威胁是实实在在的攻击手段，同时它们会对 Web 应用程序、这些应用程序所在的主机以及用来传递这些应用程序的网络造成重大的威胁。通过许多缺陷，例如默认设置的脆弱性、软件错误、用户错误和 Internet 协议固有的缺陷，这些攻击在任何系统上都有可能取得成功。

用来对付病毒、特洛伊木马和蠕虫的对策包括：

足迹

足迹的示例有端口扫描、ping 扫描以及 NetBIOS 枚举，它可以被攻击者用来收集系统级的有价值信息，有助于准备更严重的攻击。足迹揭示的潜在信息类型包括帐户详细信息、操作系统和其他软件的版本、服务器的名称和数据库架构的详细信息。

帮助防止足迹的对策包括：

破解密码

如果攻击者不能够与服务器建立匿名连接，他或者她将尝试建立验证连接。为此，攻击者必须知道一个有效的用户名和密码组合。如果您使用默认的帐户名称，您就给攻击者提供了一个顺利的开端。然后，攻击者只需要破解帐户的密码即可。使用空白或者脆弱的密码可以使攻击者的工作更为轻松。

帮助防止破解密码的对策包括：

拒绝服务

可以通过多种方法实现拒绝服务，针对的是基础结构中的几个目标。在主机上，攻击者可以通过强力攻击应用程序而破坏服务，或者攻击者可以知道应用程序在其上寄宿的服务中或者运行服务器的操作系统中存在的缺陷。

帮助防止拒绝服务的对策包括：

任意执行代码

如果攻击者可以在您的服务器上执行恶意的代码，攻击者要么就会损害服务器资源，要么就会更进一步攻击下游系统。如果攻击者的代码所运行的服务器进程被越权执行，任意执行代码所造成的危险将会增加。常见的缺陷包括脆弱的 IID 配置以及允许遍历路径和缓冲区溢出攻击的未打补丁的服务器，这两种情况都可以导致任意执行代码。

帮助防止任意执行代码的对策包括：

未授权访问

不足的访问控制可能允许未授权的用户访问受限制信息或者执行受限制操作。常见的缺陷包括，脆弱的 IIS Web 访问控制，这又包括 Web 权限和脆弱的 NTFS 权限。

帮助防止未授权访问的对策包括：

应用程序威胁与对策

分析应用程序级威胁的较好方法就是根据应用程序缺陷类别来组织它们。本单元随后几节使用的以及贯穿本手册的不同类别威胁，与应用程序的主要威胁都小结在表 2 中。

输入验证

如果攻击者发现，您的应用程序没有设定输入数据的类型、长度、格式或者范围，输入验证就成为了一个安全问题。然后，攻击者就可以提供精心打造的输入，这会损害您的应用程序。

如果网络和主机级的入口点被完全保护起来，应用程序公开的公用接口就成为唯一的攻击源。应用程序输入既是测试系统的一种手段，也是为攻击者执行代码的一种方式。您的应用程序是否盲目地信任输入？如果是这样，您的应用程序可能会很容易受下列因素的影响：