常见的弱点枚举

许多产品提供基于web的应用程序或其他接口来管理底层操作系统。这是与云一样,网络访问设备,家庭网络,和其他系统。当管理工具不准确地代表是什么操作系统,如用户帐户,然后管理员可能不会看到可疑活动,否则会被注意到。

例如,许多系统利用行政控制的web前端。他们也提供能够添加、修改和删除用户与各种特权,因为它关系到系统的功能。用户信息的潜在建筑弱点可能存在反映在web界面没有镜子底层操作系统的用户。许多web UI或REST api使用底层操作系统进行身份验证;系统的逻辑也可以跟踪一组额外的用户配置文件中功能和数据集授权功能。当有用户信息之间的差异在UI或REST API的接口系统和底层操作系统的用户清单,这可能系统中引入一个弱点。例如,如果一个攻击者妥协OS和添加一个新用户帐户——一个“鬼”账户,那么攻击者可以逃避检测如果管理工具没有新增账户列表。

这种差异可以利用在几个方面:

• 流氓管理员可以插入一个新的帐户系统,将持续下去,如果他们被终止或希望采取行动系统,不能直接与他们联系。
• 攻击者可以利用一个单独的命令注入攻击可以通过web接口插入一个攻壳与ssh等特权。
• 攻击者可以利用现有的web接口api,操纵,这样一个新的用户插入操作系统、网络和用户帐户部分创建或不是。
• 攻击者可以创建一个管理员帐户由管理员,可以使用这个账户创建鬼账户,删除日志和删除第一个创建管理员帐户。

许多这样的攻击场景可以实现利用单独的XSS漏洞相关,命令注入,认证绕过,在各种系统或逻辑缺陷。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

操作系统

技术

示例1

假设攻击者成功地获得根权限在Linux系统和添加一个新的user2的账户:

这个新的user2帐户将不会注意到web界面,如果不刷新数据可用的用户界面。

可以这样说,对于这个特定的例子中,攻击者使用root特权可能会妥协的管理工具与虚假数据或喂它。然而,这个例子展示了如何关键数据的差异可以帮助攻击者逃避检测。