寻找Web服务安全漏洞的真实故事

Question

我是一名全职软件开发人员，但在业余时间我正在教授一门关于web服务的大学课程。我现在正在检查安全，我想知道你们中是否有人有任何安全漏洞可以告诉我(根据需要隐藏细节)，我可以与我的学生分享。现实生活中的故事比虚构的场景更有意义。

Answer 1

这是我的一个故事：

我曾经是一家在线有声读物商店的顾客。除了使用用户名和密码进行身份验证外，我还需要我的浏览器来接受cookie。这并不罕见。cookie可能需要用来存储会话ID。

但是我很困惑，因为会话ID也是在URL中传输的，我看不出为什么需要cookie。因此，我查看了一下我的cookie jar，看看cookie中需要存储哪些非常重要的信息。

除了会话ID的cookie之外，还有另一个名为customer_id的cookie，它显然是用来通过我的客户编号来识别我的。我想：“得了吧，没人会这么傻的！”我通过更改数字的一位数(例如，从12345更改为12346)来更改有趣的值，以查看会发生什么。

现在猜猜发生了什么:我现在是以另一个用户的身份登录的，没有任何进一步的身份验证请求，只需更改cookie即可！显然，customer_id Cookie值不仅仅是为了识别(我是谁？)而且还用于身份验证(我真的是我假装的那个人吗？)！

这个故事的寓意：

Answer 2

这可能不是你所想的，因为没有信息泄露，但这仍然是一个网络安全问题。

http://www.crime-research.org/library/grcdos.pdf

这是互联网安全专家Steve Gibson的网站如何被僵尸网络攻击的经典故事。这是一个非常有趣的故事，肯定会让全班同学全神贯注。我知道这个故事让我对网络安全更感兴趣。

我在Steve Gibson的网站(grc.com)上找不到这篇pdf的原文，但我的电脑上有一份副本，我能够搜索到它，并在给定的位置找到了它。

我还建议访问grc.com并收听“立即安全！”播客：

http://www.grc.com/securitynow.htm

你几乎肯定会在其中的一些播客中听到一些故事。

希望这能有所帮助！

Answer 3

在慕尼黑举行的欧洲身份会议(EIC2009)将展示一个关于SOA安全的案例研究，其中将包含您所寻求的信息。