跳转至

Security Misconfiguration(安全配置错误)

题介绍

需要输入本系统默认的管理员口令，即可获得通关密钥，主要展示如果默认配置不进行修改，危害巨大

功能实现

在界面上输入账号和密码,点击提交

POST /lessons/fe04648f43cdf2d523ecf1675f1ade2cde04a7a2e9a7f1a80dbb6dc9f717c833

userName=admin&userPass=password

后端实现代码在 /src/main/java/servlets/module/lesson/SecurityMisconfigLesson.java 文件中

String userName = request.getParameter("userName");
log.debug("User Name - " + userName);
String userPass = request.getParameter("userPass");
log.debug("User Pass - " + userName);
boolean loggedIn = userName.contentEquals("admin") && userPass.contentEquals("password");

判断用户名和密码是否是 admin/password

解题步骤

直接在页面输入框中输入admin
密码输入框中输入password
点击提交即可

总结

在开始使用任何系统，包括但不限于操作系统、数据库、应用服务、第三方库等应该进行默认操作修改，以提高其安全性，最基础的是修改其默认的账号和密码

类似问题在构建系统时，非常容易出问题，原因:一般系统都复杂和庞大，对于使用者想完全了解系统的功能，安全配置其实是很难的，更多的研发或运维基本都是下载系统，按照网络教程或官方初始化向导进行部署，能用已经万幸，基本不会过多考虑安全性(因为要阅读大量文档)

对于这类问题要怎样解决?

  • 希望所有的开源/知名/第三方系统，默认配置都是最安全的，如:功能都是默认关闭，使用者按需开放，默认账号和口令，强制第一次登录进行修改，验证密码复杂度等
  • 使用者，需要花时间，对系统进行深入了解和配置
Back to top