【应急能力提升4】实战应急响应经验
原创
aerfa21
aerfa21
我的安全视界观
2022年6月19日 18:09
北京
去阅读
本文为整个专题的第四篇，中间跳过了原计划的“内网横向移动攻击模拟（下）”。原因是下与上的类型一致，均为攻击模拟的记录，可分享和讨论的意义不大，只要按照这种模式可以设计出更多的场景。继而，继续编写本专题后续的内容。
'''
3.6 漏洞修复与加固
业务系统在上线之前，需要将已经被利用的漏洞进行修复与加固。关于漏洞修复有以下几条建议：
- 能选择根除，就尽量不选缓解：根除指从代码或架构上进行彻底解决，不要在外面包很多个安全检测/防护层，说不定哪天就会出现绕过的路子。比如由于未作后缀名校验导致的文件上传漏洞，在前端代码中加入了文件格式校验，但殊不知前端可以使用抓包工具进行绕过，继而产生另一种方式的文件上传漏洞；
- 避免指哪儿打哪儿的修复方式：这里至少有三层意思，若A接口的第一个参数存在sqli，一是需要修复第一个参数；二是需要去源代码层面定位到拼接的地方，排查这个可控传参是否还有其他入口；三是还要排查这个系统的其他功能是否存在sqli漏洞，甚至是其他类型的注入漏洞；
- 避免引入新的安全漏洞或风险：安全人员除了要验证已知漏洞修复情况，还要关注修复方式是否带来新的风险。
看了各组应急响应报告中的修复建议，思路比较固定，基本都分为技术和管理方面。技术方面，推荐的修复方法太干，只传达了意思，需要具体做的人去理解并且较难理解，比如：网站后台和数据库均应该设置强密码、制定定期修改密码的计划；部署服务器安全管理软件，实现从应用层到主机层的纵深防御；管理方面，无外乎就是说开发人员缺少安全编码思维，需要加强培训。
不过这倒是不奇怪，顾及不到业务场景、安全业务场景，这也是甲方非业务安全团队与乙方安全服务中存在的普遍现象。这在专题的总结汇报中，也向参与应急的同学进行说明，有机会还是需要深入了解业务，提出针对性强、有效果、能落地的建议，因为这十分考验安全基本功。
长按识别二维码，和我交流
More...
实战应急响应能力提升
SDL最初实践
安全漏洞治理
技术原理浅析
企业安全建设
- 企业安全建设需求
- 企业安全威胁简述
- 企业安全架构建设
- 企业安全项目-测试环境内网化
- 企业安全项目-Github信息泄露
- 企业安全项目-短信验证码安全
- 企业安全项目-前端绕过专项整改
- 业务安全之另类隐患
- 应用发布之安全隐患
- *甲方眼里的安全测试*
基础安全建设
安全漏洞赏析
渗透测试技巧
一起玩蛇系列
个人成长体会
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论