阿里云-先知计划漏洞说明手册-D

《阿里云-先知计划漏洞说明手册-D》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、先知计划漏洞说明先知计划/漏洞说明漏洞说明奖励计划说明建议企业奖励系数不低于5，以吸引更多的白帽子发现漏洞；建议企业设置阶梯奖励系数，以鼓励白帽子关注重要漏洞。两个例子：漏洞等级说明根据漏洞的危害程度将漏洞等级分为【高】、【中】、【低】三个等级。由先知平台结合利用场景中漏洞的严重程度、利用难度等综合因素给予相应分值的贡献值和漏洞级别，每种等级包含的评分标准及漏洞类型如下：【高危】基础分60-100，本等级包括：1、直接获取系统权限的漏洞（服务器权限、PC客户端权限）。包括但不仅限于远程命令执行、任意代码执行、上传获取Webshell、SQL注入获取系统权限、缓冲区溢出（包括可利用的Act

2、iveX缓冲区溢出）。2、直接导致重要业务拒绝服务的漏洞。包括但不仅限于直接导致移动网关业务API业务拒绝服务、网站应用拒绝服务等造成严重影响的远程拒绝服务漏洞。3、重要的敏感信息泄漏。包括但不仅限于重要业务DB的SQL注入、可获取大量企业核心业务数据等接口问题引起的敏感信息泄露。4、严重的逻辑设计缺陷和流程缺陷。包括但不仅限于批量修改任意账号密码漏洞、涉及企业核心业务的逻辑漏洞等。5、敏感信息越权访问。包括但不仅限于绕过认证直接访问管理后台、重要后台弱密码、获取大量内网敏感信息的SSRF等。6、企业重要业务越权敏感操作。包括但不仅限于账号越权修改重要信息、重要业务配置修改等较为重要的越

3、权行为。7阿里云物联网套件/OPENAPI7、大范围影响用户的其他漏洞。包括但不仅限于可造成自动传播的重要页面的存储型XSS（包括存储型DOM-XSS）。【中危】基础分30-50，本等级包括：1、需交互方可影响用户的漏洞。包括但不仅限于一般页面的存储型XSS，涉及核心业务的CSRF等。2、普通越权操作。包括但不仅限于包括但不限于绕过限制修改用户资料、执行用户操作等。3、普通的逻辑设计缺陷和流程缺陷。包括但不仅限于不限次数短信发送、任意手机邮箱信息注册用户等。【低危】基础分10-20，奖励系数可为0，本等级包括：1、本地拒绝服务漏洞。包括但不仅限于客户端本地拒绝服务（解析文件格式、网络协议

4、产生的崩溃），由Android组件权限暴露、普通应用权限引起的问题等。2、普通信息泄漏。包括但不仅限于客户端明文存储密码、以及web路径遍历、系统路径遍历等。3、其他危害较低的漏洞。包括但不仅限于反射型XSS（包括反射型DOM-XSS）、普通CSRF、URL跳转漏洞等。Web服务端安全1.SQL注入攻击名词解释：SQL注入攻击（SQLInjection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。由于在设计程序时，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃

5、取、更改、删除，甚至执行系统命令等，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。常见发生位置：1）URL参数提交，主要为GET请求参数；2）表单提交，主要是POST请求，也包括GET请求；3）Cookie参数提交；4）HTTP请求头部的一些可修改的值，比如Referer、User_Agent等；5）一些边缘的输入点，比如.mp3、图片文件的一些文件信息等。防御措施：7阿里云物联网套件/OPENAPI1）使用预编译语句。一般来说，防御SQL注入的最佳方式，就是使用预编译语句，绑定变量，但对现有代码的改动量较大；2）使用存储过程。使用安全的存储过程可在一定程度上对抗SQL注入，但

6、要注意此种方法并不是100%安全；3）严格检查用户数据。对用户传入的数据类型及内容进行严格的检查。对数据类型检查，如利用ID查询时判断是否为整型，输入邮箱时判断邮箱格式，输入时间、日期等必须严格按照时间、时期格式等；对数据内容进行检查，如严格检测用户提交数据中是否包含敏感字符或字符串，是否匹配某种注入规则，严格转义特殊字符等。注意此种方法虽然便于实施，但容易产生误报和漏报，且容易被绕过；4）其他。使用安全的编码函数、统一各数据层编码格式（如统一使用UTF-8等）、严格限制数据库用户权限、定期进行代码黑盒白盒扫描、避免将错误信息显示到页面等。2.文件上传名词解释：文件上传漏洞是指由于程序代

7、码未对用户提交的文件进行严格的分析和检查，导致攻击者可以上传可执行的代码文件，从而获取Web应用的控制权限（Getshell）。常见发生位置：1）所有使用到上传功能的位置；2）用户可自定义的头像、背景图片等；3）富文本编辑器中的文件上传功能。防御措施：1）上传目录设置为不可执行；2）严格判断文件类型，使用白名单而不是黑名单（注意大小写问题）。需要注意的是一些与WebServer相关的漏洞所造成的问题，如Apache、IIS、Ngin