不妨設(shè)想一個(gè)惡意黑客能夠訪問貴公司所有客戶的賬戶細(xì)節(jié)，或者使用別人的信用卡在線購物，而這一切只需改變URL中的幾個(gè)數(shù)字。這聽起來似乎不太可能，但是如果你的Web應(yīng)用程序容易遭受不安全的直接對(duì)象引用的危害，惡意黑客要達(dá)到這個(gè)目的簡(jiǎn)直易如反掌。
不安全的直接對(duì)象引用舉例
這里的對(duì)象是指文件、目錄、數(shù)據(jù)庫記錄等內(nèi)部實(shí)施的對(duì)象，在應(yīng)用程序?qū)RL（或表單參數(shù)）中的一個(gè)引用暴露給這些對(duì)象之一時(shí)，就會(huì)發(fā)生安全問題。這是因?yàn)楹诳涂梢孕薷倪@些直接對(duì)象引用，例如，黑客可以在一個(gè)URL被提交之前進(jìn)行參數(shù)修改，企圖訪問一個(gè)不同的、未獲得授權(quán)的文件、目錄，或數(shù)據(jù)庫中的條目。如果不加強(qiáng)其它的授權(quán)檢查，這種企圖就會(huì)成功。
假設(shè)有一個(gè)Web應(yīng)用程序最終會(huì)生成下面這個(gè)URL：
http://www.yourinsecurewebapp.com/yourgetfile.cfm?filename=yoursometextfile.txt
這里有一個(gè)非常明顯的對(duì)yoursometextfile.txt文件的直接對(duì)象引用。它對(duì)黑客的誘惑在于，看到如果將這個(gè)文件名換成另外一個(gè)文件名（如yourpasswords.txt或youraccounts.txt）會(huì)發(fā)生什么。
要取得這種成功，黑客必須正確地猜測(cè)出系統(tǒng)上另外一個(gè)文件名，但一個(gè)更合理的方法，是尋找系統(tǒng)上其它位置的特定內(nèi)容，其使用的方法就是目錄遍歷攻擊（目錄遍歷是Http的一個(gè)安全漏洞，它使得攻擊者能夠訪問受限制的目錄，并能夠在Web服務(wù)器的根目錄以外執(zhí)行命令。）。從本質(zhì)上講，這意味著訪問一個(gè)完全不同的目錄，或者存在漏洞的應(yīng)用程序的開發(fā)者所構(gòu)建的任何方面。為訪問Apache Tomcat文件名和口令，黑客可能將URL的最后一部分改成：
?filename=../../tomcat/conf/tomcat-users.xml
并非所有的直接對(duì)象引用都提供對(duì)文件的訪問。還有另外一種可能激發(fā)黑客興趣的URL，其結(jié)尾格式如下：
…account.cfm?customerid=4567
這會(huì)使黑客進(jìn)一步問，如果我將客戶ID（customerid）換成4568會(huì)發(fā)生什么？
與此類似，如果一個(gè)Web應(yīng)用程序允許一個(gè)用戶根據(jù)數(shù)據(jù)庫的關(guān)鍵字引用從存儲(chǔ)在數(shù)據(jù)庫中的一個(gè)或多個(gè)信用卡中的一個(gè)，那么黑客修改此數(shù)據(jù)庫的關(guān)鍵字時(shí)，會(huì)發(fā)生什么呢？
XXXXXXXXXXXX6902
XXXXXXXXXXXX5586
在這里，用戶可以從兩個(gè)分別以6902和5586為結(jié)尾的卡中選擇一個(gè)，該卡號(hào)由數(shù)據(jù)庫的關(guān)鍵字引用，而應(yīng)用程序可以訪問此數(shù)據(jù)庫文件。因此，黑客可以將56或88改為另一個(gè)數(shù)字，如78，用來引用屬于另外一個(gè)用戶的卡號(hào)。如果沒有其它的認(rèn)證檢查來防止這種引用，攻擊將獲得成功。/
避免不安全的直接對(duì)象引用
避免不安全的直接對(duì)象引用（DOR）漏洞的最佳方法是，完全不要暴露私密的對(duì)象引用，但如果非用不可，非常重要的一點(diǎn)是確保在向任何用戶提供訪問之前對(duì)其進(jìn)行認(rèn)證和審查。全球頂級(jí)的Web應(yīng)用安全機(jī)構(gòu)OWASP建議企業(yè)建立一種引用應(yīng)用程序?qū)ο蟮臉?biāo)準(zhǔn)方法，現(xiàn)簡(jiǎn)述如下：
1、盡可能避免將私密的對(duì)象引用暴露給用戶，如重要的關(guān)鍵字或文件名。
2、運(yùn)用一種可接受的良好方法，詳細(xì)地驗(yàn)證任何私密的對(duì)象引用。決定準(zhǔn)許用戶訪問哪些文件，并僅授與這些用戶訪問這些文件的權(quán)力。
3、對(duì)所有引用的對(duì)象都要進(jìn)行驗(yàn)證。
OWASP還提供了第三個(gè)要點(diǎn)的一個(gè)例子。在此，黑客可以將電子商務(wù)網(wǎng)站的購物車ID參數(shù)改為任何值：
int cartID = Integer.parseInt( request.getParameter( “”cartID”” ) );
String query = “”SELECT * FROM table WHERE cartID=”” + cartID;
要想防止受到這種攻擊，就只能允許獲得授權(quán)的記錄可以顯示：
int cartID = Integer.parseInt( request.getParameter( “”cartID”” ) );
User user = (User)request.getSession().getAttribute( “”user”” );
String query = “”SELECT * FROM table WHERE
cartID=”” + cartID + “”AND userID=”” + user.getID();
直接對(duì)象引用的另外一種選擇是每個(gè)用戶或會(huì)話都使用非直接的對(duì)象引用。
在前面那個(gè)關(guān)于信用卡的例子中，用戶需要從兩個(gè)卡中選擇一個(gè)信用卡，這會(huì)暴露對(duì)信用卡數(shù)據(jù)庫的直接引用。一個(gè)更好的方法是將這兩個(gè)信用卡的記錄存儲(chǔ)到一個(gè)針對(duì)此用戶的特定陣列中。關(guān)于信用卡的選擇，其代碼類似于下面的內(nèi)容：
XXXXXXXXXXXX6902
XXXXXXXXXXXX5586
在這種方法中，僅有對(duì)此用戶陣列的一個(gè)直接引用，它僅包含此用戶的數(shù)據(jù)。將選項(xiàng)的值改為大于2的任何值不會(huì)導(dǎo)致其他用戶的信用卡細(xì)節(jié)被利用。然后，應(yīng)用程序?qū)延脩舻奶囟ǖ姆侵苯訉?duì)象引用（選項(xiàng)值為1或2）映射回底層的數(shù)據(jù)庫關(guān)鍵字（前面例子中的56和88）
對(duì)不安全的直接對(duì)象引用的測(cè)試
不幸的是，漏洞掃描器在發(fā)現(xiàn)不安全的直接對(duì)象引用漏洞方面并不是很高效，所以最佳的選擇是：
1、仔細(xì)檢查代碼，確認(rèn)是否有重要的參數(shù)易于遭到利用和操縱。
2、經(jīng)常實(shí)施專業(yè)的滲透測(cè)試。
”
上海廣樂網(wǎng)絡(luò)科技有限公司 
滬ICP備14038021號(hào)-2 版權(quán)所有. 上海市市轄區(qū)浦東新區(qū)盛夏路666號(hào)盛銀大廈E棟 13151091625
