security - Web サイトプログラミングの脆弱性のチェックリスト

Question

SOがオンラインになるのを見るのは、私にとってかなりの教育でした. Web サイトに対して使用されるさまざまな脆弱性とエクスプロイトのチェックリストを作成したいと思います。また、それらを防御するために使用できるプログラミング手法は何ですか。

score 12 · Accepted Answer

トップ10は次のとおりです。

score 6 · Accepted Answer

私は OWASP 情報を貴重なリソースとして支持します。以下も同様に興味深い可能性があります。特に、攻撃パターンは次のとおりです。

score 2 · Accepted Answer

いくつかの予防法:

XSS

ユーザーからパラメーター/入力を取得し、それをログまたは Web ページに出力する予定がある場合は、それをサニタイズします (HTML、引用符、javascript に似たものをすべて削除/エスケープします...)それ自体のページ、サニタイズ！たとえば、PHP_SELF を印刷することさえ安全ではありません。サニタイズ！反射型 XSS は、ほとんどの場合、サニタイズされていないページパラメータから発生します。
ユーザーからの入力を取得して保存または印刷する場合は、危険/無効なものが検出された場合に警告し、再入力してもらいます。IDS は検出に適しています (PHPIDS など)。次に、保存/印刷の前にサニタイズします。次に、ストレージ/データベースから何かを印刷するときは、もう一度サニタイズしてください! 入力 -> IDS/サニタイズ -> 保存 -> サニタイズ -> 出力
開発中にコードスキャナーを使用して、潜在的に脆弱なコードを特定します。

XSRF

破壊的な機能 (投稿の削除など) に GET リクエストを使用しないでください。代わりに、POST 要求のみを受け入れます。GET を使用すると、ハッキングが非常に簡単になります。
リファラーをチェックして、リクエストがあなたのサイトからのものであることを確認してもうまくいきません。リファラーを偽装するのは難しくありません。
すべてのリクエストで存在し、有効である必要があり、しばらくすると有効期限が切れるトークンとして、ランダムハッシュを使用します。非表示のフォームフィールドにトークンを出力し、フォームが投稿されたときにサーバー側で確認します。悪意のある人物は、リクエストを偽造するために正しいトークンを提供する必要があり、実際のトークンを取得することができたとしても、有効期限が切れる前である必要があります。

SQL インジェクション

ORM または db 抽象化クラスにはサニタイズメソッドが必要です - 常に使用してください。ORM または db 抽象化クラスを使用していない場合は、使用する必要があります。

score 2 · Accepted Answer

脆弱性についてすべてのフィールドを明らかにテストします。

無限ループを検索します (実際にサーバーを停止させる可能性のある唯一の間接的なもの (多くの人が偶然見つけた場合))。

score 1 · Accepted Answer

こんばんは

セキュリティのための優れた静的分析ツールは、David Wheeler によって書かれたFlawFinderです。さまざまなセキュリティエクスプロイトを探すのに適しています。

ただし、知識のある人にコードを読んでもらうことに代わるものではありません。デビッドが彼のウェブページで言っているように、「ツールを持った愚か者は依然として愚か者です!」

HTH。

乾杯、ロブ

score 1 · Accepted Answer

1

SQL インジェクション

于 2008-08-26T19:52:18.693 に答える

score 1 · Accepted Answer

Security Compassから xss や sql インジェクションなどの複数の欠陥や脆弱性をテストするための優れた Firefox アドオンを入手できます。残念ながら、Firefox 3.0 では動作しません。それらがすぐに更新されることを願っています。

score 1 · Accepted Answer

1

XSS (クロスサイトスクリプティング) 攻撃

于 2008-08-26T19:54:12.447 に答える

score 1 · Accepted Answer

監視しやすく、修正しやすい: クライアント側から受け取ったデータのサニタイズ。「;」などのチェック悪意のあるコードがアプリケーションに挿入されるのを防ぐのに役立ちます。

security - Web サイト プログラミングの脆弱性のチェックリスト