结合传统与新型：WEB漏洞扫描与防火墙创新策略

本文档深入探讨了"传统WEB漏洞扫描工具-WEB常见漏洞与挖掘技巧研究"的主题，由广东动易网络的吴建亮（Jannock@wooyun）撰写。文章主要关注于WEB环境中的常见漏洞及其案例分析，以及新型WEB防火墙的设计和可行性讨论。 首先，作者列举了WEB的几种常见漏洞，包括： 1. SQL注入：这是最常见的漏洞类型，由于开发人员对SQL语句处理不当或缺乏安全意识，导致恶意用户通过输入恶意SQL代码进行攻击。例如，作者提到的“万能密码”漏洞，展示了开发者在安全性上的忽视。SQL注入的关键防御措施有参数化查询、过滤（白名单）和编码（如绕过防注入和过滤）等。 2. XSS/CSRF（跨站脚本和跨站请求伪造）：这两种攻击手段极具破坏性，常常作为攻击的切入点。XSS攻击可以通过篡改网页内容或利用用户的浏览器执行恶意代码，而CSRF则利用已认证的会话发起未经授权的操作。案例中，通过XSS攻击拿下某团购网，显示了这种漏洞在实际攻击中的威力。 文章还涉及新型WEB防火墙的构想，提出了将传统WEB漏洞扫描工具与新型防火墙结合的可能性，以期提高网络安全防护能力。作者质疑当前的安全措施是否足够，特别是单一的防火墙并不能全面防止所有类型的注入攻击，指出防注入和绕过防火墙策略之间的矛盾，并强调了参数化查询和代码过滤的重要性。 此外，文中提到了一些高级技巧，如在Firebug下利用textarea绕过输入限制，以及利用MySQL宽字节编码和二次注入来规避安全控制。对于容错处理，作者指出过度的错误容忍可能导致恶意注入，而最小权限原则在许多情况下并未得到充分实施，很多系统仍存在root级别的权限漏洞。 本文是一篇深入剖析WEB漏洞及其防御策略的研究，旨在提升Web应用的安全性和开发者对常见漏洞的认识，同时引发了关于新型防火墙设计的思考。