ورود

View Full Version : حرفه ای: جلوگیری از هک سایت با ارسال پارامتر از طریق نوار آدرس


milad.biroonvand
چهارشنبه 30 اردیبهشت 1394, 12:21 عصر
سلام
بیشتر هکران از طریق روش ارسال پارامتر از نوار آدرس سایت ها رو هک می کنن، برای مثال وقتی لینک زیر رو داریم
www.mysite.ir/default.aspx?page=1&noe=cat
داریم با دستکاری کردن پارامترها یک فایل رو به درون هاست ما آپلود می کنند
چطور باید جلوی چنین کاری رو بگیریم؟
notlikeothers
چهارشنبه 30 اردیبهشت 1394, 13:06 عصر
فک کنم url routing این مشکل رو رفع کنه
milad.biroonvand
چهارشنبه 30 اردیبهشت 1394, 14:01 عصر
url routing مربوط به mvc هست ولی سایت من مربوط وب فرم هست.
ahmad156
چهارشنبه 30 اردیبهشت 1394, 20:10 عصر
Url Routing به صورت پیش فرض در ASP.NET MVC وجود داره ولی توی ASP.NET Web Form هم میتونین این کار رو انجام بدین.قبلاً توی تالار بحث شده.
برای اطمینان نوع و تعداد Query String ها رو چک کنین کافی هست
milad.biroonvand
چهارشنبه 30 اردیبهشت 1394, 23:10 عصر
Url Routing به صورت پیش فرض در ASP.NET MVC وجود داره ولی توی ASP.NET Web Form هم میتونین این کار رو انجام بدین.قبلاً توی تالار بحث شده.
برای اطمینان نوع و تعداد Query String ها رو چک کنین کافی هست

بعضی موقع ها دیدم کوری استرینگ ها رو رمزگذاری می کنن.
ahmad156
پنج شنبه 31 اردیبهشت 1394, 07:53 صبح
معمولاً اطلاعات حساس رو با Query String نمیفرستن ولی اگر مجبور به این کار شدین باید اون رو رمزنگاری کنین
milad.biroonvand
پنج شنبه 31 اردیبهشت 1394, 08:42 صبح
معمولاً اطلاعات حساس رو با Query String نمیفرستن ولی اگر مجبور به این کار شدین باید اون رو رمزنگاری کنین

درسته، ولی من تو آموزش های هک دیدم، وقتی میخان یک سایت رو هک کنن، یک لینک رو بجای مقدار متغیر میفرستن، بعد با اینکار باعث میشه یک فایل توی سایت آپلود بشه و بعد از این مسیر سایت رو اجرا می کنند و کل هاست تحت کنترلشون در میاد، مثلا میتونن لیست پوشه ها ببینن، لیست کاربرات پایگاه داده رو ببینن و...
ahmad156
پنج شنبه 31 اردیبهشت 1394, 09:00 صبح
به این سادگی هم که شما دیدین هم نیست.بحث خیلی کلی هست ولی به طور خلاصه شما اگر نوع و اندازه پارامترهای ورودی رو چک کنین مشکلی پیش نمیاد
milad.biroonvand
پنج شنبه 31 اردیبهشت 1394, 09:08 صبح
چطوری تعداد پارامترها رو باید چک کنم؟
ahmad156
پنج شنبه 31 اردیبهشت 1394, 09:57 صبح
https://msdn.microsoft.com/en-us/library/ms524784%28v=vs.90%29.aspx
milad.biroonvand
جمعه 06 شهریور 1394, 09:59 صبح
https://msdn.microsoft.com/en-us/library/ms524784%28v=vs.90%29.aspx

لینک رو دیدیم چیز خاصی نبود.
fakhravari
جمعه 06 شهریور 1394, 14:19 عصر
اگر پارامتر ها به صورت مستقیم وارد query نشه مشکلی پیش نمیاد.
milad.biroonvand
جمعه 06 شهریور 1394, 16:19 عصر
اگر پارامتر ها به صورت مستقیم وارد query نشه مشکلی پیش نمیاد.



ممنون، اگر میشه یک مثال سریع بزنید که منظورتون دقیق چیه؟