Superglobal ها، تهدید امنیتی !

[abolfazl-z]

سلام دوستان :لبخندساده:

دوستان چطوریه ؟
چطوری این متغیر عمومی (جهانی) را هک می کنند ؟

http://www.v3.co.uk/v3-uk/news/2293455/facebook-yahoo-and-wikipedia-users-vulnerable-to-attack-thanks-to-php-flaw

http://www.farsnews.com/newstext.php?nn=13920619000506
-------------------------------

خوب حالا میگیم این به کنار !

میگیم برای بعدا (حالا یک 1 درصد احتمال) در PHP در قسمت $_GET نفوذ پذیری پیدا میشه که مثلا با وارد کردن کاراکتر %$%^ (برای مثال هااااا) میگیم یک عمل مخربی (کوچک یا بزرگ) انجام میشه !

خوب اینجا باید چکار کنیم ؟
آیا اسکریپتی که ما نوشتیم که دارای این آسیب پذیری باشه و هک بشه مسئولیت با کیست ؟

[MMSHFE]

اگه توی سایتتون ورودیهای کاربر رو به خوبی Escape نکنید، حالا از هر راهی اومده باشه، میتونه باعث نفوذپذیری بشه. مسئولیت هم بعهده خودتونه. حالا این وسط SuperGlobal چه تقصیری داره مشخص نیست. مثلاً همین بحث سشن، مدتهاست میگن و میگیم سشن رو توی دیتابیس بگذارین یا سرورها باید درست تنظیم بشن تا دسترسی به فایلهای سشن سایر سایتها امکان پذیر نباشه. جلوی Session Hijacking رو توی سایتتون، خودتون باید بگیرین نه طراحان PHP. همین SuperGlobal میدونید چه مزیت بزرگیه؟ خیلی جاها امتیازهای باورنکردنی داره و خوب طبیعتاً اگه به درستی و به شیوه امن ازش استفاده نشه، آسیب هم ممکنه ایجاد کنه. مثلاً بعضی اسکریپتها رو دیدم که خیلی راحت هرچی جلوی =action? نوشته شده باشه رو include میکنن. خوب هکر محترم هم میاد جلوش مینویسه etc/passwd/ و محتوای فایل تنظیمات رمز عبور کاربران سرور رو مشاهده میکنه. اینجا PHP مقصره یا کسی که اسکریپت رو ناشیانه نوشته؟ نمیخوام بگم PHP باگ یا مشکلات امنیتی نداره ولی درمقابل راهکارهای مقابله رو هم داخلش گذاشته و مسئولیت اینگونه اشتباهات بعهده کسی هست که امنیت اسکریپت رو دست کم میگیره. بحث آپلود امن فایلها هم که مدتیه توی تالار مطرحه و موارد مربوط به تنظیم کردن سرور (مثل عدم استفاده از PHP بصورت mod_php در Apache) و اسکریپتهای نمونه و نسبتاً امنی هم براش ارائه شده.

[abolfazl-z]

اینجا PHP مقصره یا کسی که اسکریپت رو ناشیانه نوشته؟ نمیخوام بگم PHP باگ یا مشکلات امنیتی نداره ولی درمقابل راهکارهای مقابله رو هم داخلش گذاشته و مسئولیت اینگونه اشتباهات بعهده کسی هست که امنیت اسکریپت رو دست کم میگیرهکاملا با گفته هایتان موافقم.


میگیم برای بعدا (حالا یک 1 درصد احتمال) در PHP در قسمت $_GET نفوذ پذیری پیدا میشه که مثلا با وارد کردن کاراکتر %$%^ (برای مثال هااااا) میگیم یک عمل مخربی (کوچک یا بزرگ) انجام میشه !ولی بنده عرض کردم که اگر برای مثال باگی پیدا بشه که خطر ناک باشه چی ؟

ولی در کل ما بیشتر از ورودی ها رو دست میخوریم.
البته بعضی مواقع عدم استفاده از اعتبار سنجی ها نیز خطرناک می شود.
برای مثال ما میاییم انتخاب تعداد محصولات را بر عهده خود کاربر میگذاریم سپس هر عددی که انتخاب کرد را ضرب قیمت محصول می کنیم تا ببینیم قیمت کل چقدر میشه و میاییم به بانک وصل اش می کنیم در صورتی که هکِر میاد 0.999 و یا 0.5 وارد میکنه که از قیمت کاسته میشه و راحت قیمت محصول رو میاره پایین.
ولی باز هم کمی دردسر ساز هست دیگه !
در مورد mod_php یکم بیشتر توضیح دهید.

[abolfazl-z]

جلوی Session Hijacking رو توی سایتتون،

بیاییم کلا شیوه رو تغییر بدیم و بیاییم به روش خودمون سشن ایجاد کنیم ؟
روشی کاملا متفاوت و پیچیده که هکِر نتونه کاری کنه !

آیا خوب نیست ؟