Web服務器在CWA中外部接口的七個安全風險
原創【51CTO獨家特稿】在微軟OCS系統中，對于所有通過Web瀏覽器方式發起的會話請求，都將通過CWA作為入口點，從而發送到Front End Server進行后續的信令和媒體路由，并最終完成會話。而所有非Web瀏覽器方式發起的會話請求將以Front End Server作為入口點。那么，CWA服務器具有外部接口，將成為一個安全風險點。其安全威脅主要包括如下幾個方面：
1、會話固定
在會話固定攻擊中，攻擊者會在用戶和 Web服務器之間建立會話之前設置用戶的會話令牌。這樣一來，攻擊者就擁有了會話 ID，而無需在會話建立之后確定會話 ID。Communicator Web Access 在設計上可最大程度地減小此類威脅。
2、會話劫持
在會話劫持攻擊中，攻擊者會通過探查網絡上未經加密的通信來訪問用戶的會話。Communicator Web Access 通過將 SSL 用作客戶端與 Communicator Web Access 服務器之間的默認通信協議來最大程度地減小此類威脅。
3、跨站請求偽造
跨站請求偽造是指攻擊者偽裝成用戶并嘗試使用在用戶與基于 Web 的應用程序之間建立的會話來執行命令的行為。攻擊者通過向用戶發送電子郵件或通過其他方式誘使用戶訪問專為執行惡意代碼而開發的網站來發起此類攻擊。攻擊者可以執行的命令包括打開防火墻、刪除數據以及在內部網絡內執行其他命令。
Communicator Web Access 在設計上可阻止攻擊者使用此方法通過惡意網站來控制用戶的 Communicator Web Access 會話。
4、跨站腳本（CSS、XSS、代碼插入）
跨站腳本攻擊是指攻擊者使用 Web 應用程序向目標用戶發送惡意代碼（通常采用腳本形式）的行為（有時也稱作 CSS、XSS 或代碼插入攻擊）。目標用戶的瀏覽器無法檢測出不應信任該腳本，從而將會執行該腳本。在執行惡意腳本后，該腳本可以訪問 Cookie、會話令牌或最終用戶的瀏覽器保留的其他敏感信息。此類腳本還可以重寫 HTML 頁的內容。
可以存儲或反射跨站腳本攻擊。在存儲的攻擊中，惡意腳本會永久存儲在受到攻擊的 Web服務器（例如，數據庫、消息論壇、訪問者日志和評論欄）中。當用戶訪問 Web服務器時，用戶的瀏覽器將執行此腳本。在反射的跨站腳本攻擊中，攻擊者會誘使用戶單擊某個鏈接或提交專門設計的包含惡意代碼的表單。當用戶單擊該鏈接以提交表單數據時，包含惡意代碼的 URL 將會隨同用戶數據一起發送到 Web服務器。當網站向用戶顯示其信息時，該信息看起來源自受信任的源。然而，該信息實際上包含惡意代碼，然后在用戶計算機上會執行此惡意代碼。
僅在未正確驗證用戶輸入的網站中會存在此漏洞。Communicator Web Access 使用詳盡的用戶輸入驗證來阻止此類威脅。
5、令牌威脅
HTTP 是一種無連接協議，每個網頁需要多次服務器請求和響應才能完成。在會話期間，將使用多種方法來維護頁面請求之間的會話持久性。Web服務器使用的一種方法是向發出請求的客戶端瀏覽器頒發令牌。這也是 Communicator Web Access 采用的方法。
在 Communicator Web Access 服務器對內部用戶或外部用戶成功進行身份驗證后，它將在會話 Cookie 中頒發一個令牌，然后將該令牌返回到客戶端。此 Cookie 用于在單個會話中訪問服務器。因此，客戶端必須接受來自 Communicator Web Access 服務器的 Cookie 才能正常工作。攻擊者可能會竊取并重用此令牌。Communicator Web Access 可通過采取以下措施來減輕令牌威脅：只發出一個會話 Cookie；使用 SSL（在已啟用的情況下）傳輸令牌；在會話結束時清除令牌；以及在客戶端經過一段非活動期后使令牌過期。
6、令牌 Ping 操作
在令牌 Ping 操作（也稱作“令牌保持活動”）中，經過身份驗證的用戶會反復向 Web服務器發送請求以阻止會話，從而使會話令牌過期。由于令牌 Ping 操作攻擊可以繞過服務器內置的超時邏輯，因此可將此類攻擊視為威脅。不過，由于用戶必須先經過身份驗證，因此此類威脅的級別較低。
7、網絡釣魚
網絡釣魚攻擊采用欺騙方法，屬于一種中間人攻擊。未經授權的攻擊者嘗試通過偽裝成有權獲得信息的實體來獲取用戶的信息。通常，攻擊者會通過誘使用戶在偽造的網站、Web 窗體或電子郵件中輸入密碼或帳號來達到此目的。您應告知最終用戶有關攻擊者用來獲取個人信息的各種方法。
【51CTO獨家特稿，合作站點轉載請注明原文譯者和出處。】
【編輯推薦】
