寻找Web服务安全性的真实故事漏洞

Question

我是一个全职的软件开发人员，但就在身边我教Web服务的大学课程。我现在正在审查安全问题，并想知道你们中的任何一个人是否都有可以告诉我的安全漏洞（细节根据需要被遮盖），以便我可以与学生分享。现实生活中的故事比构成场景更有意义...

Answer 1

这里有一个故事，从我：

我曾经是一个在线商店有声读物的客户。除了使用用户名和密码对自己进行身份验证之外，我还需要我的浏览器接受Cookie。这并不罕见。 Cookie可能需要存储会话ID。

但我糊涂了，因为会话ID是在URL也传递，我没有看到为什么有必要对饼干的理由。所以我看了一下我的饼干罐，看看有什么重要的信息必须存储在饼干中。

身旁，会话ID cookie中有一个名叫customer_id另一个饼干这显然是通过指定我的客户号，以确定我的。我想：“加油吧，没人能成为这个笨蛋！”我通过改变数一个数字（例如，从12345到12346），看看会发生什么改变为乐趣的值。

现在猜猜怎么样：我现在以不同的用户身份登录没有任何进一步的身份验证请求只需更改cookie！ customer_id cookie值很明显不仅仅用于识别（我是谁？），而且还用于验证（我真的是我假装的那个人吗？）！

这个故事的寓意：Always separate identification from authentication.

Answer 2

这可能不是你想到的，因为没有任何信息被泄露，但它仍然是非常多的 web安全问题。

http://www.crime-research.org/library/grcdos.pdf

这是如何互联网安全大师史蒂夫·吉布森的，网站是由一个僵尸网络攻击的经典故事。这是一个非常有趣的故事，并且肯定会保证课堂上的参与。我知道这个故事让我对网络安全更感兴趣。

我无法在Steve Gibson的网站（grc.com）上找到该pdf的原始文章，但我在计算机上有一个副本，并且能够搜索并在给定位置找到它。

我还建议要grc.com和听“安全吧！”播客：

http://www.grc.com/securitynow.htm

你几乎肯定会听到一些这些播客的一些故事。

希望这会有所帮助！

Answer 3

欧洲身份大会（EIC 2009）在慕尼黑都将推出SOA安全性的案例研究，将有你寻找的信息。