 描述
这种攻击目标web服务的WSDL接口可用。攻击者可能扫描的WSDL接口调用模式的敏感信息,底层技术实现和相关的漏洞。这种类型的探测进行执行更严重的攻击(如参数篡改,恶意内容注入,命令注入,等等)。WSDL文件提供有关服务端口的详细信息和绑定到消费者身上。例如,攻击者可以提交特殊字符或恶意内容的Web服务和可能导致拒绝服务条件或非法访问数据库记录。此外,攻击者可能会试图猜测其他私有方法通过使用WSDL文件中提供的信息。
攻击的可能性
典型的严重性
执行流程
探索
WSDL文档的扫描:WSDL文档的对手扫描。WDSL文档编写的XML就像是手册如何与web服务通信提供的目标主机。它提供了一个开放的应用程序(功能细节、目的、功能分解、入口点,消息类型,等等)。这是非常有用的信息的对手。
实验
分析WSDL文件:敌人会分析WSDL文件,并试图通过发送消息匹配找到潜在的弱点在WSDL文件中描述的模式。敌人可能会通过与不同的消息请求模式的所有操作,直到确定违约。
利用
工艺恶意内容:一旦敌人发现了一个潜在的弱点,他们可以工艺系统发送恶意内容。比如对手可能试图提交特殊字符和观察系统如何反应一个无效的请求。发送的消息的对手可能不是XML验证和导致不可预测的行为。
先决条件
| 客户端程序连接到web服务可以读取WSDL来确定哪些功能是可用的服务器上。 |
| 目标主机暴露脆弱的函数在其WSDL接口。 |
技能要求
|
(等级:低) 这种攻击可以简单阅读WSDL和开始发送无效的请求。 |
|
(级别:中等) 这种攻击可以用来执行更复杂的攻击(SQL注入等。) |
后果
 这个表指定不同的个体与攻击模式相关的后果。范围确定违反了安全属性,而影响了负面的技术影响,如果敌人成功的攻击。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能有高可能性模式将被用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
缓解措施
| 重要的是保护WSDL文件或提供有限的访问。 |
| WSDL接口公开的评论功能(特别是如果你有使用工具来生成)。确保没有一个是容易注入。 |
| 保证不公开的WSDL功能和api,并没有公开。 |
| 注意这个函数的命名约定(在WSDL接口)。容易猜函数名可能是一个入口点攻击。 |
| 根据WSDL验证接收到的消息模式。不完整的解决方案。 |
例子,实例
| WSDL接口可能暴露一个函数容易受到SQL注入。 |
Web服务描述语言(WSDL)允许Web服务宣传其功能通过描述操作和参数需要访问服务。正如在本系列的第5步中所讨论的,WSDL通常是自动生成,使用Java2WSDL等公用事业,需要一个类或接口和接口方法的构建一个WSDL文件作为web服务公开。 因为WSDL生成通常是自动的,进取的敌人可以使用WSDL来洞察公共和私人服务。例如,一个组织将遗留应用程序的功能转换为一个web服务框架可能不经意间通过接口不用于公共消费WSDL生成工具。结果将是SOAP接口给私有方法访问。 另一个更微妙的WSDL袭击发生在一个有事业心的攻击者使用命名约定来猜的名字未发表的方法,可以在服务器上。例如,一个服务,它提供了一个股票报价和交易服务可能发布查询方法如requestStockQuote WSDL。然而,类似的未发表的方法可以在服务器上但WSDL中未列出,如executeStockQuote。随时间持续的对手和图书馆的单词和短语可以循环通过常见的命名约定(获取、设置、更新、修改等等)发现未发布的应用程序编程接口,打开大门进入私人数据和功能。 来源:“七个步骤到XML掌握,第七步:确保XML安全”,弗兰克·科伊尔。参见参考资料部分。 |
引用
 内容的历史
| 提交 |
| 提交日期 |
提交者 |
组织 |
| 2014-06-23
(版本2.6) |
CAPEC内容团队 |
manbetx客户端首页 |
|
| 修改 |
| 修改日期 |
修饰符 |
组织 |
| 2015-12-07
(版本2.8) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Related_Attack_Patterns |
| 2018-07-31
(版本2.12) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新的引用 |
| 2021-10-21
(版本3.6) |
CAPEC内容团队 |
manbetx客户端首页 |
| 更新Execution_Flow |
|
描述
此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。
内容的历史
