主页 > www.09971.com >
118图库开奖结果直播主流Web模板安全漏洞导致沙箱为恶意人士所破
发布日期:2021-06-19 07:57   来源:未知   阅读:

  118图库开奖结果直播逃脱:与Andy Dufresne不同,我们可不想让真正的恶意人士脱离控制。安全研究人员警告称,一项新型高危网络安全漏洞已经出现,其拥有引发各类隐患的恐怖能力。开奖直播海南无人机科技企业“跑Web应用程序目前广泛使用模板引擎,旨在通过网页及电子邮件提供动态...

  逃脱:与Andy Dufresne不同,我们可不想让真正的恶意人士脱离控制。

  安全研究人员警告称,一项新型高危网络安全漏洞已经出现,其拥有引发各类隐患的恐怖能力。

  Web应用程序目前广泛使用模板引擎,旨在通过网页及电子邮件提供动态数据。这项技术同时采用一套服务器端沙箱环境。然而由于大部分普遍实践允许非受信用户对模板进行编辑,因此带来了一系列非常严重的安全风险,而模板系统的说明文档当中并不一定对此作出了强调,Web安全企业PortSwigger公司警告称。

  允许非受信用户向模板中输入信息这一安全漏洞有可能被恶意人士用于面向服务器的恶意代码注入活动。

  这类安全漏洞——PortSwigger公司的安全研究人员们将其称为“服务器端模板注入”——与广为人知的Web安全漏洞跨站点脚本(简称XSS)注入有所不同,但后果却更为严重。PortSwigger公司在另一篇白皮书当中解释称:

  与XSS不同,模板注入攻击能够被用于直接攻击Web服务器内部,且通常包含有远程代码执行(简称RCE),能够将每一款存在漏洞的应用转化为潜在恶意活动支点。

  模板注入攻击的形成原因包括开发人员失误以及为了提供丰富功能而造成的模板内部暴露,后一种情况经常会出现在维基词条、博客、市场营销应用以及内容管理系统当中。

  故意模板注入属于一类常见用例,大部分模板引擎都提供“沙箱”机制作为解决方案。

  “这项漏洞具备通用属性,其可能会影响到任何一款以非安全方式使用模板引擎的Web应用程序,”PortSwigger Web Security公司创始人兼老总Dafydd Stuttard在采访中指出。“我们已经在涉及多款常用应用的真实场景当中发现了大量由此引发的零日实例。这项安全漏洞的恶意利用频率目前尚不明确,但我们确实多次在无意中发现此类案例。在进行现场演示时,我们亦能轻松找到正在发生的漏洞利用行为。”

  PortSwigger公司研究员James Kettle负责在本周三于拉斯维加斯召开的黑帽安全大会上披露该项安全漏洞以及应对策略的各项细节。

  本次演讲将涵盖如何发现该漏洞及如何对其加以利用,具体包括如何在两款得到广泛使用的应用程序当中利用该零日漏洞,从而获取完整的远程代码执行能力。(这里提到的两款应用分别为Alfresco与XWiki Enterprise,为了不触犯法律条文,它们将以本地方式部署在演示当中。)

  PortSwigger公司还将发布一份白皮书,其中详尽阐述本次演讲中所提到的安全漏洞的全部具体细节。这份文献的内容包括在五款最具人气的模板引擎当中进行安全漏洞概念验证,从用于以安全方式处理用户提交模板的沙箱环境中脱离等。根据这份文献的观点(+微信关注网络世界),包括FreeMarker、Velocity 6、Smarty、Twig(经常用于同沙箱环境配合)以及Jade在内的各类模板化语言也都将遭到破解。

  作为这份文献的研究结论,PortSwigger公司解释了为何此类安全漏洞长久以来一直没能得到重视。

  “只有那些关注此类恶意活动的人才能识别出模板注入攻击,而且在我们投入大量资源评估模板引擎安全水平之前,其严重性往往会被忽略,”Kettle写道。“这也解释了为什么模板注入攻击直到最近才刚刚得到重视,而且我们尚不能确定其实际利用频率。”

  用于预防模板注入攻击的技术方案目前还不够成熟,PortSwigger方面表示。该公司计划对自己的漏洞追踪Burp Suite Web应用安全工具作出强化,使其能够检测到这类威胁。不过,PortSwigger公司的主要工作仍然是以研究为手段突出这类遭到忽视的Web安全漏洞类别,而非直接拿出用于解决问题的技术方案。

  “通过记录这一问题并通过Burp Suite发布自动检测方案,我们希望能够帮助大家提高相关安全意识并显著降低这项安全漏洞的发作机率,”PortSwigger公司解释道。

  汇编一周来国内外网络和IT行业发生的焦点新闻,精挑细选,第一时间推送独家采写的深度报道和热点专题,深入挖掘新闻事件背后的故事,剖析新闻事件的来龙去脉,让读者准确把握业界的发展态势。

  汇集存储频道每周精华内容,让您在最短的时间内,以最便捷的方式获取权威的购买指南,专家博客,皆汇聚在此。

  定期为您带来深入权威的网络,交换机,路由器,无线,通信领域信息服务,涵盖产品,技术,新闻,应用案例,评测,购买指南,专栏,技巧等多个方面的信息。与企业网络相关的一切,尽在网络通信邮件,您怎可错过?

  新一代数据中心建设管理最新信息快递聚焦新一代绿色数据中心的设计、建设、运营和管理,汇集业界专家与用户的最精粹观点,展示国内外数据中心经典案例!

  定期为您带来安全领域权威专业的产品,技术,新闻,应用案例,评测,购买指南等信息,保护您在网络畅游之时不受病毒的威胁,企业运行之际减少安全的风险。一份邮件在手,一份安全在心!

  深入、专业关注云计算相关的技术与实践,范围覆盖私有云建设、公有云服务运营、开源云平台发展、重要云服务商动态等领域,面向企业CIO和IT经理提供深度原创报道,以及云计算、云服务领域最新的市场资讯。

  汇集软件频道每周精华内容,让您在最短的时间内,以最便捷的方式获取权威的企业软件新闻,SOA,SaaS,BI,ERP,开源技术,产品,技巧等全方面的实用资讯。还犹豫什么,这就开始体验一下吧!

  深入、专业关注大数据相关的技术与实践,提供Hadoop、NoSQL等领域的最新技术资讯,定期发布由业界专家撰写的大数据专栏文章,面向企业CIO、IT经理、DBA提供深度原创报道,以及大数据领域的最新市场资讯。

  汇集服务器频道每周精华内容,让您在最短的时间内,以最便捷的方式获取权威的服务器虚拟化,刀片服务器,操作系统,大型机,服务器芯片信息,最新最全的服务器技巧,购买指南,专家博客,皆汇聚在此。

  网界网网络学院频道,内容涵盖移动互联,技术开发,Web前端,安全,网络通信,云计算,数据中心,存储,服务器,软件等内容。