パスワードを忘れた場合、ユーザー確認コードにはホスト ヘッダーの脆弱性があります。
攻撃者は、自身のドメインを含むサーバーからユーザー認証とパスワード リセット リクエストを生成できます。
彼らはより良い方法ですか??
2 に答える
0
問題の解決策は、マルチティア セキュリティ アプローチであると考えています。
Apache はゲートキーパーとして機能します。適切に構成されていれば、アプリケーションにルーティングされる匿名ホスト ヘッダーを制限できます。（キャッシュインジェクションについてはまだわかりません）
ただし、https シナリオでは、オンラインの匿名ドメイン ホスト ヘッダーがアプリケーションに脅威を与えることはありません。
しかし、パスワードを忘れた場合の電子メール リセット リクエストのようなオフライン リクエストには大きな脅威があります。悪意のある攻撃者は、匿名のドメイン ホスト ヘッダーを介して、パスワードを忘れた場合の電子メールのリセットを要求できるためです。次に、実際のユーザーがパスワード リセット リンクをクリックした場合。悪意のある攻撃者がリセット コードを入手します。
ここで、アプリケーションはオフライン応答を作成するために、Apache によってルーティングされたホスト ヘッダーに依存しています。それは起こらないはずです (Apache はオンライン トラフィックに責任を持つべきです)。したがって、アプリケーションには、ドメイン名の構成とオフライン応答の作成のための独自のメカニズムが必要です。
于 2016-03-03T04:48:57.067 に答える