安全配置错误

---

当安全设置被定义、实施和维护为默认值时，就会出现安全配置错误。良好的安全性需要为应用程序、Web 服务器、数据库服务器和平台定义和部署安全配置。使软件保持最新状态也同样重要。

例子

安全配置错误的一些经典示例如下：

• 如果服务器上未禁用目录列表，并且攻击者发现相同的内容，则攻击者可以简单地列出目录以查找任何文件并执行它。还可以获取包含所有自定义代码的实际代码库，然后找到应用程序中的严重缺陷。

• 应用程序服务器配置允许将堆栈跟踪返回给用户，这可能会暴露潜在的缺陷。攻击者获取错误消息提供的额外信息，这些信息足以让他们渗透。

• 应用程序服务器通常附带安全性不佳的示例应用程序。如果不从生产服务器中删除，将导致您的服务器受到损害。

动手

步骤 1 - 启动 Webgoat 并导航到不安全的配置部分，让我们尝试解决该挑战。下面提供了相同的快照 -

步骤 2 - 我们可以尝试尽可能多的选择。我们只需要找到配置文件的 URL，并且我们知道开发人员遵循配置文件的命名约定。它可以是下面列出的任何内容。它通常是通过暴力技术来完成的。

• 网络配置
• 配置
• 应用程序名称.config
• 会议

步骤 3 - 尝试各种选项后，我们发现“ http://localhost:8080/WebGoat/conf ”成功。如果尝试成功，将显示以下页面 -

预防机制

• 所有环境（例如开发、QA 和生产环境）都应使用每个环境中使用的不同密码进行相同的配置，以免轻易被黑客攻击。

• 确保采用强大的应用程序架构，在组件之间提供有效、安全的分离。

• 它还可以通过运行自动扫描和定期进行审核来最大限度地减少这种攻击的可能性。