尋找Web服務安全性的真實故事漏洞

Question

我是一個全職的軟件開發人員，但就在身邊我教Web服務的大學課程。我現在正在審查安全問題，並想知道你們中的任何一個人是否都有可以告訴我的安全漏洞（細節根據需要被遮蓋），以便我可以與學生分享。現實生活中的故事比構成場景更有意義...

Answer 1

這裏有一個故事，從我：

我曾經是一個在線商店有聲讀物的客戶。除了使用用戶名和密碼對自己進行身份驗證之外，我還需要我的瀏覽器接受Cookie。這並不罕見。 Cookie可能需要存儲會話ID。

但我糊塗了，因爲會話ID是在URL也傳遞，我沒有看到爲什麼有必要對餅乾的理由。所以我看了一下我的餅乾罐，看看有什麼重要的信息必須存儲在餅乾中。

身旁，會話ID cookie中有一個名叫customer_id另一個餅乾這顯然是通過指定我的客戶號，以確定我的。我想：「加油吧，沒人能成爲這個笨蛋！」我通過改變數一個數字（例如，從12345到12346），看看會發生什麼改變爲樂趣的值。

現在猜猜怎麼樣：我現在以不同的用戶身份登錄沒有任何進一步的身份驗證請求只需更改cookie！ customer_id cookie值很明顯不僅僅用於識別（我是誰？），而且還用於驗證（我真的是我假裝的那個人嗎？）！

這個故事的寓意：Always separate identification from authentication.

Answer 2

這可能不是你想到的，因爲沒有任何信息被泄露，但它仍然是非常多的 web安全問題。

http://www.crime-research.org/library/grcdos.pdf

這是如何互聯網安全大師史蒂夫·吉布森的，網站是由一個僵屍網絡攻擊的經典故事。這是一個非常有趣的故事，並且肯定會保證課堂上的參與。我知道這個故事讓我對網絡安全更感興趣。

我無法在Steve Gibson的網站（grc.com）上找到該pdf的原始文章，但我在計算機上有一個副本，並且能夠搜索並在給定位置找到它。

我還建議要grc.com和聽「安全吧！」播客：

http://www.grc.com/securitynow.htm

你幾乎肯定會聽到一些這些播客的一些故事。

希望這會有所幫助！

Answer 3

歐洲身份大會（EIC 2009）在慕尼黑都將推出SOA安全性的案例研究，將有你尋找的信息。