Kiểm tra bảo mật - Dịch vụ web

Trong các ứng dụng dựa trên web hiện đại, việc sử dụng các dịch vụ web là không thể tránh khỏi và chúng cũng dễ bị tấn công. Vì các dịch vụ web yêu cầu tìm nạp từ nhiều trang web, các nhà phát triển phải thực hiện một số biện pháp bổ sung để tránh bất kỳ hình thức xâm nhập nào của tin tặc.

BẬT tay

Step 1- Điều hướng đến khu vực dịch vụ web của Webgoat và đi tới Quét WSDL. Bây giờ chúng ta cần lấy chi tiết thẻ tín dụng của một số số tài khoản khác. Ảnh chụp nhanh của kịch bản như được đề cập bên dưới.

Step 2 - Nếu chúng ta chọn tên đầu tiên, lệnh gọi hàm 'getFirstName' được thực hiện thông qua yêu cầu SOAP xml.

Step 3- Bằng cách mở WSDL, chúng ta có thể thấy rằng có một phương pháp để truy xuất thông tin thẻ tín dụng cũng như 'getCreditCard'. Bây giờ hãy để chúng tôi xáo trộn các đầu vào bằng bộ Burp như hình dưới đây -

Step 4 - Bây giờ chúng ta hãy sửa đổi các đầu vào bằng bộ Burp như hình dưới đây -

Step 5 - Chúng tôi có thể lấy thông tin thẻ tín dụng của những người dùng khác.

Cơ chế phòng ngừa

• Vì các thông báo SOAP dựa trên XML, nên tất cả các thông tin xác thực đã chuyển phải được chuyển đổi sang định dạng văn bản. Do đó, người ta phải rất cẩn thận trong việc chuyển các thông tin nhạy cảm luôn được mã hóa.

• Bảo vệ tính toàn vẹn của thông báo bằng cách thực hiện các cơ chế như tổng kiểm tra được áp dụng để đảm bảo tính toàn vẹn của gói tin.

• Bảo vệ tính bí mật của thư - Mã hóa không đối xứng được áp dụng để bảo vệ các khóa phiên đối xứng, trong nhiều cách triển khai chỉ hợp lệ cho một giao tiếp và sau đó sẽ bị loại bỏ.