信息安全案例：信息展示最小化原則

2015-01-28 10:26:12 大云網　點擊量：評論 (0)

在每次給CISP們進行信息安全技術培訓和意識培訓時，我一般都會強調一個理念，信息展示最小化，即給你的用戶展示的信息應該是你需要向他展示的信息，除此之外的任何信息都是需要保護的。相信很多學員在培訓時聽

在每次給CISP們進行信息安全技術培訓和意識培訓時，我一般都會強調一個理念， “信息展示最小化”，即給你的用戶展示的信息應該是你需要向他展示的信息，除此之外的任何信息都是需要保護的。相信很多學員在培訓時聽了，但是并沒有真正意識到信息最小化原則的意義，或者是覺得這樣做太麻煩。如果對此不能理解，請參見以下的真實案例。 2008年奧運會前，我實施了北京的很多政府網站滲透測試，在其中一個政府門戶網站測試中，滲透進入了網站中。采取的方法和利用都很簡單，利用了系統(tǒng)開放日志和一個腳本開發(fā)的問題。北京市各政府門戶網站，都屬于首都之窗政府網站群的一部分，但是這些網站，有些是集中托管在首信機房中，也有的是自己管理。出于安全的考慮，首都之窗網站群集中由首信公司進行安全保障，其中有一項保障機制就是各門戶網站應開放自己的網站訪問日志給首信公司進行集中采集，集中分析。我進行滲透測試的網站也不例外，由于網站是構建在IIS上的，因此管理人員采取了將日志存放目錄設置為網站的目錄，可以從web訪問（此方式可能為首信的統(tǒng)一要求），首信通過定制開發(fā)的程序，每天從互聯(lián)網上通過web下載將日志下載到日志服務器上進行保存。發(fā)現(xiàn)此問題問題后，我安排了一名測試人員將日志下載下來，讓他通過日志訪問記錄，嘗試還原出網站的目錄和文件結構基本情況。在還原的過程中，測試人員看到了以下的日志記錄：

從以上記錄中，可以看出網站上存在一個/admin/yhglqwe.asp的腳本文件，因為訪問記錄上的返回值200，表示訪問成功。隨后測試人員嘗試直接通過http://www.xxxx.gov.cn/admin/yhglqwe.asp直接從互聯(lián)網訪問此腳本,意外的發(fā)現(xiàn)訪問成功，并且打開了測試網站系統(tǒng)的用戶管理頁面，測試表明已經可以對用戶進行操作。幸好我們只是測試人員，不是一名攻擊者，否則系統(tǒng)上會多幾個后門賬戶了。總結問題的原因：網站對腳本的調用沒有進行限制，正常情況下應該登錄驗證后才能調用此腳本，而腳本并無此驗證功能，只有調用到就可以操作用戶。開發(fā)人員通過給腳本起一個無規(guī)律的名稱，因為攻擊者不知道文件的名稱，無法調用而保證安全。但是，日志系統(tǒng)把這一秘密給暴露了。問題的解決：最終在防火墻上設置策略，只允許來自首都之窗的日志采集服務器的IP地址對日志進行訪問（當時考慮到還可以采用FTP，采集日志需進行驗證，由于首都之窗的采集日志程序已經開發(fā)確定為從Web下載，無法修改，因此放棄）。案例給我們的啟示：在信息安全中，我們無法保障我們的系統(tǒng)會存在什么樣的問題，但是，我們應該保證我們的系統(tǒng)盡量減少信息的泄露，也許就是這簡單的工作，就能保障你的系統(tǒng)免受一次可能的攻擊。如果沒有這個日志開發(fā)的要求，我相信被測試網站的這個漏洞也很難被發(fā)現(xiàn)，因為我們無法知道這個調用用戶管理功能的腳本德名稱。為了你的信息系統(tǒng)安全，請記住“信息展示最小化”原則。