Printable View
با سلام
دوستان من میخوام توی این تاپیک با بحثو گفتگو با برنامه نویس های دیگه که توی این انجمن فعالیت دارن روش های جلوگیری از هک شدن و بالا بردن امنیت وب سایت رو به صورت کامل یاد بگیرم خواهشمندم اساتید محترم هر روشی به ذهنشون میرسه توی این تاپیک توضیح بدن.
کمال تشکر از شما اساتید محترم.
تصور شما چندان درست نیست.نقل قول:
با بحثو گفتگو با برنامه نویس های دیگه که توی این انجمن فعالیت دارن روش های جلوگیری از هک شدن و بالا بردن امنیت وب سایت رو به صورت کامل یاد بگیرم
چون امنیت یک حیطهء گسترده و پیچیده ای هست که نباید انتظار داشته باشی با این بحث و گفتگوهای مختصر صرفا با پاره ای افراد در یک انجمن بتونی امنیت رو کامل یاد بگیری. البته این ایده و درخواست و فعالیتی که مطرح کردی بد نیست و اگر شرایط و شانس یاری کنه میتونه خیلی مفید و پربار هم باشه، ولی اینکه گفتی «کامل» باید بگم در سطح پیشرفته و کامل (بهتره بصورت نسبی از این اصطلاح استفاده کنیم تا یک معنای مطلق) نیاز به مطالعات و تحقیقات خیلی گسترده تر و زمان خیلی بیشتری داره و باید شخصا زحمت بیشتری کشید و زمان بیشتری گذاشت.
بهرحال اون کسی هم که چیزهای زیادی بلده نمیتونه به این سادگی همهء اون رو در یک تاپیک و یک بحث بذاره و انتقال بده. بخاطر حجم و پیچیدگی و گستردگی مطالب و اینکه کسی این همه وقت و انرژی آزاد نداره. از طرف دیگه یه آدم مبتدی هم لزوما نمیتونه خیلی مباحث پیشرفته و پیچیده رو به همین راحتی و با یک اشاره و کمی حرف درک کنه. حتی بگیم توضیح بیشتری داده بشه و کمی هم کد و مثال، بازم مباحثی هست که نیاز به پایه و کار بیشتری داره تا کسی بتونه مطمئن باشه که بهش احاطه پیدا کرده. بطور مثال مباحث پیشرفته رمزنگاری که در برنامه نویسی و امنیت هم کاربردهای مهمی دارن. مثل اینکه شما بری یه جایی بگی هرکس از ریاضیات که در برنامه نویسی کاربرد داره هرچی میدونه بگه چون من میخوام کامل یاد بگیرم! به این سادگی نیست. هست؟
برای یادگیری و درک عمیق و توان واقعی گسترده باید منابع متعدد باکیفیتی رو بخونی و یاد بگیری. حجمش کم نیست. کار یک هفته و یک ماه نیست. کتاب داستان هم نیست که به این سادگی بشه همه چیز رو صرفا با روخوانی سریع فهمید. نیاز به زمان و حوصله داره.
دربارهء بعضی متدهایی که برای امنیت بکار میرن میشه برای هرکدام یک کتاب نوشت. اونوقت شما میخوای در یک تاپیک و با صحبت با چند نفر محدود همهء این چیزا رو یاد بگیری؟ مسلم هم بدون که اصولا افرادی که به همهء اینها واقعا احاطه داشته باشن خیلی کم هستن و خیلی از اونا به این راحتی پیدا نمیشن یا وقت ندارن بیان همه چیز رو برای شما توضیح بدن. خودشون زحمت کشیدن و رفتن در طول سالها انبوهی رفرنس و مقاله خوندن و هضم کردن و از جاهای مختلف تحقیق و پرسش کردن. کسی بدون طی کردن این راه نمیتونه کامل یاد بگیره.
بحث امنیت شبیه بحث الگوریتمه. الگوریتم فقط دوتا حلقه و چاپ چندتا شکل با ستاره نیست که توی دوره ها و کتابهای مبتدی آموزش داده میشه. الگوریتم هایی داریم که خیلی پیچیده تر هستن و مثلا با مباحث پیشرفته علمی و ریاضی هم ارتباط دارن. پس اینطور نیست که فکر کنی اون چیزایی که چند نفر بلدن و میان فهرست وار میگن دیگه بحث الگوریتم تمام میشه. نه شما تا سالها ممکنه هنوز در توانایی طراحی و تحلیل الگوریتم ها پیشرفت مستمر داشته باشی. هرچی بیشتر یاد بگیری کارهای بیشتر و پیشرفته تری رو میتونی انجام بدی. یک وقت ممکنه بخاطرش مجبور بشی چیزهای دیگری مثل مباحث ریاضیات رو هم مطالعه کنی.
نه امنیت نه ریاضی نه الگوریتم هیچکدام اینقدر ساده و محدود و کلیشه ای نیستن و آدم نمیتونه به همین راحتی با چندتا حرف و اشاره و نمونه کد از جانب چند نفر در یک فروم همه چیزشون رو یاد بگیره.
اون چیزهایی هم که اغلب در اینطور تاپیک ها بیان میشه یکسری موارد محدود نسبتا ساده هستن درمقابل کل مباحث و مواردی که هست و ضمنا مطالب ارائه شده هم خیلی وقتها از کیفیت و اطمینان مناسب برخوردار نیستن. مثلا بعضی افراد چیزهایی میگن و کدهایی میذارن که معلوم نیست واقعا منبع و دلایل محکمی برای اونا چیه و ممکنه اشتباهات و نقصهای مهمی در اونها باشه یا اونقدری که بنظر میاد/ادعا میشه ارزش و کاربرد عملی نداشته باشن. اغلب بصورت خیلی مختصر و ناقص و مبهم ارائه میشن و از خود طرف میپرسی چرا و منبع و دلیلش چیه، جواب بدردبخوری دریافت نمیکنی.
احاطه به امنیت با حدس و کلیشه ای و تقلید و ابهام جور درنمیاد. باید هرچیزی رو بقدر کافی با تمام جزییاتش بدونی و درک کنی و مطمئن باشی. با کد کپی پیست کردن و حفظ کردن طوطی وار نمیشه و حالت چندتا ترفند و نکته محدود نداره که اونا رو استفاده کنی و همه چیز حل بشه.
ضمنا حتی توی نت هم خیلی مطالب کم کیفیت و ناقص یا حتی اشتباه هست درمورد امنیت. چون خیلی وقتا افرادی که دانش و بینش کافی نداشتن از خودشون چیزهایی درآوردن بر اساس تصور و اطلاعات محدود خودشون. بنابراین آدم باید پایه ها و مفاهیم علمی و اصولی رو بدونه و منابع متعددی رو بخونه و تحلیل و بررسی و مقایسه کنه تا دست آخر موارد صحیح تر و مطمئن تر و بهترین و کاملترین ها رو تشخیص بده.
شما که اینقدر زحمت کشیدید اینهمه توضیحات دادید لطف کنید بگید برای بالا بردن امنیت وب سایت باید چه مقالاتی و چه راه هایی رو برم تا یاد بگیرم.نقل قول:
نوشته شده توسط eshpilen
هدف من یاد گیری کامل نیست بلکه پیدا کردن کامل راه امنیت. حجم برام ملاک نیست چون میتونم وقت بزارم و مقالاتو بخونم فقط برای شروع به راهنمایی نیاز دارم.
خوب چندتا کتاب و منبع خوب معرفی کنید تا از انها شرو ع کنند. من چند تا کتاب سراغ دارم که خودم خوندم را معرفی می کنم:
1- Pro PHP Security - Apress
2 - Wiley Secure Php Development
3- Securing PHP Web Applications From (Tricia Ballad William Ballad)
---------------
دیگر دوستان هم اگر منبع خوب و قابل اطمینان سراغ دارند بگند.
دنبال کتاب امیر حسین استخریان بگرد . نفوذ در php
این کتاب هم هست که خودم وقت نکردم بخونم:
Essential PHP Security
---------------------
این سایت هم ببینید:
http://phpsec.org/
نمیدونم تا چه حد میتونی منابع زبان اصلی رو بخونی. چون این خیلی مهمه. بدون انگلیسی اصلا نمیشه. منابع فارسی خیلی کم و ضعیف هستن.نقل قول:
نوشته شده توسط khanlo.javid
اگر نمیتونی از منابع اصلی براحتی استفاده کنی پس برو زبان انگلیسی خودت رو قوی کن. لغت زیاد حفظ کن. همون منابع زبان اصلی رو بگیر و از هر خطش هر لغتی که معنیش رو نمیدونی دربیار و حفظ کن. همون موقع! بعدهم باید لغتها رو جایی یادداشت کنی و هرچند وقت یک بار دوره و حفظ کنی تا اینکه دیگه تقریبا وارد حافظهء بلندمدت بشن.
پیدا کردن اینکه چی باید بخونی بنظرم کار سختی نیست. چون راجع به خیلی چیزها باید تحقیق و یادگیری داشت که توی اینترنت همه جا درموردشون صحبت شده. هر جستجویی بزنی برای امنیت/security و web/php security و attack و vulnerability و غیره بالاخره کلی مطلب و سرنخ درمیاد. در هرکجا درمورد هرچیزی اشاره کردن، هر حمله ای، هر اصطلاحی، هر عبارت و کلمهء کلیدی، اگر نمیدونی و بنظرت مهم میاد باید دنبال اون بری. دوباره جستجو میکنی و میرسی به مطالب دقیقتر و بیشتر و معتبرتر. و دوباره توی اون منابع ممکنه به چندتا چیز مهم دیگه اشاره شده باشه. خلاصه همینطوری یه شبکهء پیچیده و حجیم متصل به هم هست که باید از یک گره شروع کنی و همینطور پیش بری و اینقدر بری که از بیشتر یا تمام گره ها عبور کرده باشی.
میخوام بگم پیدا کردن منبع سخت نیست. چون یک منبع و دو منبع نیست.
ولی خب اگر وقت و حوصلهء محدودتری داری میتونی اول سراغ بعضی کتابها و منابعی بری که دیگران معرفی کردن. بعدش ممکنه توی اونا باز سوال برات پیش بیاد یا به اصطلاحات و مواردی اشاره شده باشه که در اون کتاب بهشون فقط اشاره شده یا توضیح کمی داده شده. میتونی دوباره برای اونا جستجو کنی و بری دنبالشون. مهم نیست حتما کتاب باشه. ممکنه دربارهء یک مطلب در یک وبلاگ چیز خیلی خوبی نوشته باشه و مقالهء عالی ای باشه. معمولا هم باید چند منبع رو خوند و نه فقط یکی. چون با خوندن یکی معمولا نمیشه مطمئن بود که مطلب کامل و دقیق و باکیفیت بیان خوب و اصلا بدون اشتباه بوده. و با یک منبع ممکنه دوزاری آدم خوب نیفته و متوجه نشه و یا ابهام داشته باشه. باید چندتا بخونی و مقایسه و تحلیل و استنباط کنی تا جاییکه خودت به بینش و اطمینان برسی. حتی بگم کتابهای اختصاصی امنیت هم فکر نمیکنم بقدر کافی کامل باشن. حتی معروف ترین اونا. حتی اونایی که 500 صفحه و بیشتر باشن.
چون فرضا اگر آدم بخواد در زمینهء امنیت واقعا توانمند باشه باید سراغ علم رمزنگاری (cryptography) هم بره که این خودش یک شاخهء واقعا تخصصیه و کلی وسعت و پیچیدگی داره. شاید حداقل یک سال خود این کار میبره. تازه باید پایه داشته باشی. بنده در این زمینه حداقل یک کتاب تخصصی خوندم، و مقاله هم زیاد خوندم، شاید صدها مقاله فقط در سایت ویکیپدیا مطالعه کردم. اصلا حسابش دستم نیست. شاید خیلی بیشتر بوده درکل. چون زمان و حجم و تعداد رو هیچوقت بخاطر نسپردم و حساب نکردم واقعا یک برآورد هم ندارم که چقدر مطلب مطالعه کردم. فقط همینطور خوندم و خوندم و پیش رفتم. در 24 ساعت بطور متوسط چند ساعت و شاید بیشتر. از یک مقالهء ویکیپدیا گاهی 20 تا مقالهء دیگه رو باز کردم و خوندم و بعد تازه بعد از چند ساعت و حتی یکی دو روز دوباره برگشتم سر مقالهء اولی که میخواستم بخونم! خلاصه محدودیت زمان و حوصله نداشتم. هرچیزی که نمیدونستم چیه رفتم دنبالش.
مثلا یک زمانی یکی یه اشاره به این منبع کرد: owasp.org
من دیدم منبع خوبی هست که سعی کرده جامع و مرجع باشه. گذاشتم توی لیست. و بعد از چند وقت تمام بخشهای مهمش رو خوندم (عمدتا بخش attacks و controls رو).
البته الان ظاهرا باز نمیشه (فکر کنم بخاطر تحریم). ولی میتونید با هیتلرشکن وارد بشید. ضمنا حتی اینم بعضی بخشهاش رو خالی گذاشته بودن و هنوز مطلب نداشت.
تازه این فقط یک منبع کلی هست و بیشتر برای کسی که از قبل پایه و مطالعه و توان خوبی داشته باشه. ضمنا اینم به تنهایی کامل نیست.
اینم یه نگاهی بکن: انواع حمله های نفوذ و سوءاستفاده از صفحات وب
یکسری از حمله های مهم و متداول رو لیست کردم که میتونی برای هرکدام از اونا جستجو کنی و مطلب بخونی.
اما میگم که اینا صرفا موارد مهم اولیه و متداول هست. خیلی چیزهای دیگه هست که در سطوح پیشرفته مطرح و مهم هستن. همه چیز بصورت اسم یک حمله نیست. مثلا وقتی میخوای یک رشتهء رندوم بعنوان کلید یا Token تولید کنی این خودش از نظر علم رمزنگاری محاسبه و حساب و کتاب داره، و اون تابع رندومی که باهاش اون کلید رو تولید میکنی باز خودش یک داستانه. متاسفانه زبانهای برنامه نویسی مثل PHP در این زمینه اصلا جالب نیستن و امکانات و راهنمایی خاصی ندارن و ساختارهای پیشفرض اونها بقدر کافی امن نیست. بنابراین آدم باید خودش دنبال مطلع شدن و برطرف کردن بره و چیزهای مورد نیاز رو طراحی کنه و بسازه یا از جایی گیر بیاره.
بنده فکر میکنم شما اونقدری وقت و حوصله نداشته باشی که چنین راه دراز و سختی رو بری.
و فکر میکنم همون کتابها و منابعی که با توضیحات بنده و بقیه میتونید مطالعه کنید علی الحساب براتون کافی باشن. حالا بشین بخون و ببین میتونی تمام حمله ها و مواردی رو که در این منابع بهشون اشاره شده یاد بگیری یا نه. انشاا... بعدها که کارت تموم شد برگرد برای موارد پیشرفته تر :لبخند:
فکر کنم الان برای یکی دو سال رو مطلب داشته باشی برای خوندن!!
راستی تاپیک هایی رو که بنده تاحالا ایجاد کردم جستجو کن چون توش موضوعات امنیتی و مطالب مفید زیاد هست بنظرم.
تو آشیانه و انجمن های ه.ک میتونی بهتر بحثی که میخاینو دنبال کنین
البته هر کدوم از دوستان هم هر موردی که باهاش آشنائی داره و مسلطه هرچند گسترده میتونه زحمت بکشه و باز کنه , اینطوری هر کی 2 موردم بدونه و روش کار کرده باشه و اینجا باز کنه یه منبع کامل میشه
قبلا یه مقدار در مورد injection ; overflow و چند مورد دیگه تا حدی کار کردم بقیه هم اگه بیان هرچی کار کردن مطرح کنن میشه یه تاپیک پر , جناب اشپیلن به نظر میاد تو بحث امنیت کار کرده باشن , خوب به شرطی بخان اطلاعاتشونو به اشتراک بذارن میتونن با مطرح کردن هر بحث مستقل و به شکل منظم و خلاصه هر بحثیو باز و به نتیجه برسونن و در ادامه بحث های مستقل بحث های وابسته به قبلی هارو مطرح کنن و با همون روال بازم به نتیجه برسن..
اول که به قول vajmad همه چیز را نمی شه گفت و خیلی طولانی می شه و طرفت هم باید امادهگی داشته باشه. اما اگر در سطح متوسط می خواهیم کار کنیم باز هم کتاب هست. اینکه بیاییم تاپیک راه بندازیم برای امنیت طبق معمول چتد تا مورد اولیه گفته می شه و کار ناقص رها می شه! پس به نظرم پست امنیتی اینجا زدن سودی نداره! باید تو سایت های تخصصی امنیت php انجام بشه. اینجا تخصصی فایده نداره. دلیلش را هم گفتم:
اینکه واضحه در هر موردی منبعی پیدا میشه , همه آنچه هم که در هر موردی فردی بخاد انتقال بده قابل بیانه و این اصلا غیر عادیه که چیزیو نشه گفت مگه اینکه توضیح دهنده قدرت انتقال خوبی نداشته باشه و هم بحث به حاشیه بره هم خسته کننده و طولانی شه که با شناخت موارد جزئی و کلی و الویت ها و اهمیت ها و تسلط نسبی به موضوع اینطوری نمیشه , به هر حال اگه دوستانی در این زمینه فعالیت داشتن میتونن به دونسته های اندک بنده در این زمینه ادامه بدن
---------------------------------
محافظت از پسورد در مقابل حمله های احتمالی توسط اینکریپتورهای بدون بازگشت , این اینکریپتورها از همان مسیری که میرن تا به یک اینکود امن برسن از همان مسیر اگه برگشتی صورت بگیره به دیکود نمی انجامه , مثل دیود که از سمتی به سمت دیگه الکترون ها جریان دارن اما در سمت مخالف نه , توی php توابع زیادی این کارو انجام میدن مثل MD5 که اگه شما هر رشته ای با هر اندازه ای بدین یه مدل رشته خاص با طول ثابت پس میگیرین
نحوه استفاده :
$str = "a";
echo md5($str);
کاربرد :
مثلا میتونین موقه ثبت نام کاربر پسورد اونو به شکل کد شده تو دیتا بیس بریزین
البته MD5 دیکشنری هائی از پسوردهای معمول دیکود شده براش تو سایت های هک موجوده توابع دیگه ای هم تو php هست مثل زیری
$str = "a";
echo crypt($str);
جلوگیری از تزریق کد , برای تست ورود یه کوئری انجام میشه که بره مقدار ورودی با چیزی که توی دیتا بیسه چک شه , اگه مقدار مفهومی بجای ورودی وارد کنیم قاطی کوئری اونم اثر میکنه که چگونگیش مربوط به نحوه هکش میشه که اینجا کارش نداریم اما برای اینکه بتونیم جلوی ورود اون دستورات بجای یه پسورد معمولی که مورد انتظار ماست بگیریم باید علائم و نشانه هارو از رشته ورودی کاربر حذف و بی اثر کنیم
که برای این منظور توابعی هست که یه معمولش mysql_real_escape_string هست
نحوه استفاده :
echo mysql_real_escape_string("k'k<a>");
کاربرد :
میشه کلیه ورودی هائی که میتونه وارد کوئری شن یا به هر دلیل خطر زا شن اینجوری دریافت کرد
جلوگیری از اجرا شدن فایل هائی که include میکنیم , برای اینکه فایل هائی که میخایم داخل یه فایل دیگه فراخونده شن به شکل مستقل کار نکنن میشه از شیوه های مختلفی استفاده کرد که یکی از اونا تعریف یه چیزی تو فایل ثانویه و تو فایل اولیه بررسی شه اگه تعریف نشده ریدایرکتش کنیم به ناکجا
نحوه استفاده :
define("Hello you", true);
فراخوندن فایل اولیه
if(!defined ('Hello you')){
header("HTTP/1.1 404");}
کاربرد :
هر فایلی که میتونه اجرای مستقلش ایجاد اختلال یا نا امنی کنه میشه اینکارش کرد
در مورد امنیت دانلود فایل در php و روش هاش هم صحبت کنبد استفاده می کنیم.
عزیز خوب شما هم خودتون سرچ کنید مطالعه کنید و همکاری کنید و مطلب بگذارید. فقط که نباید مصرف کننده باشید.نقل قول:
نوشته شده توسط soroush.r70
من در مورد سوال شما چند تا لینک می گذارم. (خودم نخوندم ببنم چیه). فقط منظورم بود با یه سرچ ساده می تونید خیلی از مطالب را یاد بگیرید.
http://codecanyon.net/item/secure-fi...d-class/273511
http://www.devshed.com/c/a/PHP/Simpl...mits-Tutorial/
------
دوست داشتید بعد از اینکه تو این موضوع تحقیقاتی را انجام دادید. یه مقاله کنید، بگذارید اینجا.
دانلود فایل با مجوز , اینجا 2 تا مطلب مهمه یکی مجوز و دیگری لینک دانلود که نباید کسی بدونه وگرنه همینجوری دانلودش میکنه پس باید بذارینش تو دیتا بیس و کسی که مجوز داره از دیتا بیس بخونین لینک دانلود و بفرستینش برا دانلود
برای مجوز یکی از بحث های قدیمی و اولیه وب کلاینت سرور سشن هاست , خیلی ساده پس از لاگین سشن مورد نظر ایجاد کنین و قبل از دانلود سشن چک کنین و اگه بود لینک دانلود از دیتا بیس بخونین بفرستین برا دانلود
نحوه استفاده :
خوب کد لاگین و ایجاد سشن و چک اون قبل دانلود که عادیه پس فقط ارسال برای دانلود پس از چک سشن میشه زیری
header('Cache-control: private');
header('Content-Type: application/octet-stream');
header('Content-Length: '.filesize($filetun));
header('Content-Disposition: filename='.$esme_alaki);
flush();
$file = fopen($filetun, "r");
while(!feof($file))
{
print fread($file,filesize($filetun));
flush();
sleep(1);
}
کاربرد :
مثل لینک های انجمن که تا لاگین نشه نمیشه دانلود کرد
نقل قول:
نوشته شده توسط benyamin_pc
با تشکر از شما این روش با دانلود فایل های حجیم مشکلی نداره...؟
امتحان نکردم شما امتحان کنین به ماهم بگین
کتاب امیر حسین استخریان . نفوذ در php
http://dlbook.net/?p=6671