常见的攻击模式枚举和分类

其他应用的前提是,他们利用现有的基础设施来提供web服务的功能。这是一个其他应用程序的一个例子,它使用HTTP Get方法和接收XML文档的HTTP响应。这些Rest风格的web服务部署在现有的基础设施,如Apache和IIS web服务器,而不需要任何SOAP堆栈。

不幸的从安全的角度来看,经常没有可互操作的身份安全机制部署,所以其他开发人员经常回到SSL提供安全性。在大型数据中心,SSL是通常终止在网络的边缘——防火墙、负载平衡器或路由器。一旦终止SSL的HTTP请求明确(除非开发人员散列或加密的值,但这是罕见的)。对手可以利用嗅探器如Wireshark快照的凭证,如用户名和密码传递清楚一旦终止SSL。一旦对手收集这些证书,他们可以提交请求到web服务提供者和授权用户一样。没有通常在客户端身份验证,超出请求中传递本身一旦妥协,那么这通常是足以危及服务的身份验证方案。