 描述
简单对象访问协议(SOAP)作为客户端和服务器之间的通信协议来调用服务器上的web服务。它是一个基于xml的协议,因此受到许多相同的缺点和其他基于xml的协议。对手可以利用这些缺点和操作SOAP的目的的内容,导致服务器上的不良行为,让对手进行进一步的攻击。
攻击的可能性
典型的严重性
的关系
 此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 标准的攻击模式-一个标准的级别CAPEC中攻击模式是集中在一个特定的方法或技术用于攻击。它通常被视为一个单一的完全执行攻击。标准的攻击模式是为了提供足够的细节来理解特定的技术,以及它如何试图完成预期的目标。标准水平的攻击模式是一种特定类型的一个更抽象的元级别的攻击模式。 |
278年 |
Web服务协议操作 |
| CanPrecede |
 详细的攻击模式-一个详细级别攻击模式CAPEC提供了一个低水平的细节,通常利用一个特定的技术和针对特定的技术,并表达一个完整的执行流程。详细的攻击模式比元更具体的攻击模式和标准的攻击模式,通常需要一个特定的保护机制来减轻实际攻击。详细的级别攻击模式通常会利用许多不同的标准水平攻击模式链接在一起来完成一个目标。 |
110年 |
SQL注入通过SOAP参数篡改 |
| CanPrecede |
详细的攻击模式-一个详细级别攻击模式CAPEC提供了一个低水平的细节,通常利用一个特定的技术和针对特定的技术,并表达一个完整的执行流程。详细的攻击模式比元更具体的攻击模式和标准的攻击模式,通常需要一个特定的保护机制来减轻实际攻击。详细的级别攻击模式通常会利用许多不同的标准水平攻击模式链接在一起来完成一个目标。 |
228年 |
DTD注入 |
此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。
执行流程
实验
检测错误的SOAP参数处理:敌人篡改SOAP消息参数和寻找迹象表明篡改目标应用程序的行为的改变引起的。
| 技术 |
| 发送更多的数据比似乎合理的领域,看看服务器抱怨道。 |
| 发送无意义的数据字段,预计某一子集,如产品名称或序列号,看看如果服务器抱怨道。 |
| 发送XML元字符数据,看看服务器响应。 |
利用
找到目标应用程序:敌人需要确定一个应用程序,该应用程序使用SOAP作为通信协议。
| 技术 |
| 观察HTTP流量应用程序并寻找SOAP header。 |
SOAP操作参数:敌人操纵SOAP参数,导致不良行为为服务器。这可能导致拒绝服务、信息披露、任意代码exection等等。
| 技术 |
| 创建一个递归的XML有效负载,将所有的记忆在服务器解析时,导致拒绝服务。这就是所谓的十亿笑攻击。 |
| 插入XML元字符数据字段,可能导致服务器解析时进入一个错误状态。这可能导致拒绝服务。 |
| 将大量的数据插入的字段应该有一个字符的限制,导致缓冲区溢出。 |
先决条件
| 应用程序使用基于soap的web服务api。 |
| 应用程序不执行足够的输入验证,以确保用户可控数据是安全的XML解析器。 |
| 目标服务器要么无法验证SOAP消息中的数据符合适当的XML模式,或不能正确处理数据的完整的范围所允许的模式。 |
后果
这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
|
可用性 |
资源消耗 |
|
|
保密 |
读取数据 |
|
|
保密
完整性
可用性 |
执行未经授权的命令 |
|
引用
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2018-07-31
(版本2.12) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Attack_Motivation-Consequences Attack_Prerequisites,描述,描述总结,Examples-Instances,引用,Related_Weaknesses, Typical_Likelihood_of_Exploit Typical_Severity |
| 2019-04-04
(版本3.1) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Weaknesses |
| 2020-12-17
(版本3.4) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2021-10-21
(版本3.6) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新描述、Example_Instances Execution_Flow |
| 以前的条目名称 |
| 改变日期 |
以前的条目名称 |
| 2018-07-31
(版本2.12) |
Soap操作 |
|
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
