Безопасное место в интернете

Атаки путем внедрения кода SQL включают вставку или «внедрение» SQL-запросов через клиентский ввод в приложение. Успешная атака такого типа может быть использована для считывания конфиденциальной информации из базы данных и ее изменения или удаления. В самых крайних случаях она позволяет выдавать системные команды. Ниже приведен опасный фрагмент кода, который можно… Continue reading →

XSS — это атака, которая позволяет внедрять и выполнять вредоносные HTML или JavaScript. Это может быть использовано для кражи критически важных данных (например, данных сеанса) из файлов cookie. Поскольку код выполняется в контексте уязвимого приложения, это позволяет выполнять другие атаки, такие как фишинг, вход с клавиатуры или перенаправление пользователя на… Continue reading →

Атака кросс-сайт-запроса (CSRF) использует общепринятую логику веб-браузеров для управления сеансом пользователя на открытых страницах. Стандарт заключается в том, что пользователь может иметь только один активный сеанс в веб-приложении, которое он использует в настоящее время. Любая вновь открытая вкладка в вашем браузере будет автоматически использовать файлы cookie пользователя, уже вошедшего в… Continue reading →

Уязвимость обходапути позволяет узнать, разрешает ли веб-приложение несанкционированный доступ к файлам или каталогам, в доступе к которым должно быть отказано. Этот тип атаки использует параметры, передаваемые приложению, которые показывают пути к ресурсам, на которых выполняются определенные операции, такие как чтение, запись или отображение содержимого каталога. В результате это может привести… Continue reading →

Процесс управления сеансами охватывает широкий спектр пользовательских элементов управления от проверки подлинности до выхода из приложения. HTTP является протоколом без состояния, что означает, что веб-серверы отвечают на запросы клиентов, не устанавливая непрерывного соединения с ним. Поэтому даже простое приложение требует, чтобы пользователь отправлял несколько запросов, прежде чем сеанс будет связан… Continue reading →

Процесс завершения сеанса в основном заключается в проверке того, что пользователь приложения не может быть повторно использоваться после того, как пользователь приложения выйдет из системы. Вы также должны проверить, как приложение управляет данными, хранящимися в памяти. Чтобы свести к минимуму время, в течение которого злоумышленник может атаковать активный сеанс и… Continue reading →

Изменение и сброс пароля приложения — это механизм самообслуживания для изменения или сброса пароля для пользователей без вмешательства администратора. Если он слабый, он позволяет злоумышленнику изменить пароль любого пользователя и, таким образом, захватить его учетную запись. Вы должны защитить механизм сброса пароля от несанкционированных изменений, например, с помощью одноразовых маркеров… Continue reading →

Попытки обойти механизм аутентичности направлены на проверку возможности несанкционированного доступа к ресурсам, не предназначенным для пользователя. Для тестирования этих типов ошибок можно использовать Burp Suite,а сами тесты должны включать проверку следующего: попытайтесь обойти процесс проверки подлинности, напрямую ссылаясь на тестовый ресурс. Например, при входе в систему тестируемое приложение предоставляет пользователю… Continue reading →

Большинство пользователей веб-приложений не следуют рекомендациям по использованию сложных, не словарных данных доступа. Они часто основывают свои пароли на словах и фразах, которые они легко не забудут. Это детские имена, уличные адреса, любимая футбольная команда, место рождения и т.д.Учетные записи пользователей — особенно административные учетные записи должны быть защищены трудноугадываемыми… Continue reading →

В некоммерческие воскресенья, подобные этому, я могу внести свой вклад в нашу страну в развитие технологии 3D-печати. Когда все магазины закрыты и нам нужны запчасти, с помощью приходит к нам 3d принтер. В этой записи я постараюсь представить процесс быстрого прототипирования (или, возможно, более подходящее название – быстрое создание запчастей)… Continue reading →