护卫你的第一道防线：登录界面渗透测试(六)

“本文仅用于技术讨论与学习，利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者及本公众号不为此承担任何责任。”

问题

   ———————

在渗透测试过程中,什么是最常见?最常见的莫过于登录框界面了,在每一个网络资产中,登录界面是最先面对所有用户的,也是网络安全防守阵线的第一道防线。那么在面对登录界面应该怎么做?

关键点

  ———————

在本次的文章中,对于登录界面的渗透,我们讲述的方法为js中存在敏感信息

0x1 为什么存在js中存在敏感信息漏洞?

开发这个网站的时候，因为安全意识疏忽，常常会把OSS的ak,sk以及password放入到里面

0x2 通用检测方法

先简单说一下在进行js存在敏感信息的时候好用的一些工具:

1.HaE(burp插件):这个有规则，只要加载规则一般就能扫描，并且还可以自己写规则。

2.Findsomething:与HaE在查找敏感信息的地方有点差劲，工具不能二开，是通过查找关键字来确定的。这种方式相对来说，没有HaE好一点

3.js中直接搜索，通过Js中搜索敏感关键字符，如Accesskey,Secretkey......

 案例结合

    ——————————————

我们下来结合一个案例进行分析,加深理解

0x1.1 案例

进入一个网站的登录界面,可以看到最熟悉的登录框

在js中搜索了accessKey就找到了相关的OSS利用

0x1.2 密码自动填充

在进入登录页面后，密码经过了自动填充。F12中可以看到密码为112233

0x2 Last

最后,这篇文章总结了另外两种对登录框测试的手法。

漏洞修复建议:

1.避免在客户端存储敏感数据：尽量不要在JavaScript中存储敏感信息，如密码、密钥等。如果需要，应使用安全的方法进行加密。

2.使用HTTPS传输数据：在Web应用中，使用HTTPS可以保护数据在传输过程中的安全，避免被窃听。

3.后端验证：任何重要的数据验证都应在服务器端进行。不要仅依赖前端验证，因为前端代码容易被修改。

4.限制跨域请求：通过设置CORS（跨源资源共享）策略，限制未经授权的域对你的API的访问。

5.使用内容安全策略（CSP）：CSP可以帮助减少跨站脚本（XSS）攻击的风险，通过限制网页可以加载的资源。

6.不在日志中记录敏感信息：确保应用程序的日志不会记录敏感信息。

7.最小权限原则：确保只有需要知道敏感信息的人员和系统才能访问这些信息。

8.定期审计和更新：定期审计代码，查找可能的安全漏洞，并及时更新应用程序以修复这些漏洞。