Сатҳи эфирии СИП боиси хавфҳои зиёд ба барномаҳои веб, ки аз базаи маълумотҳо вобаста аст, барои эҷоди мундариҷаи динамикӣ. Дар ин намуди ҳамла, блокномаҳо аризаи вебиро дар кӯшиши интиқоли фармонҳои худ ба онҳое, ки аз тарафи додаҳо дода шудаанд, манъ мекунанд. Барои мисол, ба мақолаи SQL Attack Attacks оид ба пойгоҳи додаҳо нигаред. Дар ин мақола, мо якчанд роҳҳоро дида метавонем, ки шумо метавонед барномаҳои вебии худро санҷед, ки оё онҳо ба ҳамлаҳои эфирии СИМА осебпазиранд.
Сканкунии вируси Системаи Системавӣ
Як имконият аст, ки сканераи осебпазирии барномаи вебро истифода барад, ба монанди WebInspect HP, AppScan IBM ё Cossic Hailstorm. Ин воситаҳо ҳама гуна роҳҳои осон ва автоматӣ барои таҳлили барномаҳои вебии худро барои осебпазирии Системаҳои Стансия пешниҳод мекунанд. Бо вуҷуди ин, онҳо хеле гарон ҳастанд, ки то 25,000 $ дар як ҷой нишастаанд.
Санҷишҳои дастӣ Системаи SQL
Роҳнамои барномасозони камбизоат чӣ гуна аст? Шумо дар ҳақиқат якчанд санҷишҳои асосӣ барои арзёбӣ кардани барномаҳои вебии худ барои осебпазирии SQL Система бо истифодаи беш аз як браузер. Аввал, калимаи огоҳӣ: санҷишҳоеро, ки ман тавсиф мекунам, танҳо ба камбудиҳои асосии SQL Система нигаред. Онҳо методҳои пешқадамро намебинанд ва барои истифодаи онҳо хеле заиф ҳастанд. Агар шумо онро пардохт карда бошед, бо сканераи автоматикӣ равед. Бо вуҷуди ин, агар шумо ба ин нарх такя накунед, санҷиши дастӣ қадами аввалин мебошад.
Усули осонтарини арзёбӣ кардани он ки аризаи осебпазир аст, ба озмоиш бо ҳуҷайраҳои тазриқи зӯроварӣ, ки онҳо дар ҳақиқат ба пойгоҳи худ зарар намерасонанд, вале ба шумо нишон медиҳанд, ки шумо бояд мушкилоти худро ислоҳ кунед. Масалан, фикр кунед, ки барномаи вебии оддӣ буд, ки шахсро дар пойгоҳи додаи худ ба назар гирифта, дар натиҷа маълумот дар бораи алоқа таъмин мекунад. Ин саҳифа метавонад формати зеринро истифода барад:
Мо метавонем чунин фикр кунем, ки ин саҳифа як пурсиши базаи маълумотро иҷро мекунад, бо саволе, ки ба ин монанд монанд аст:
SELECT phone FROM directory WHERE lastname = 'chapple' ва firstname = 'mike'Биёед бо ин каме кӯшиш кунем. Бо назардошти афзалиятҳои мо, мо метавонем тағйироти оддӣ ба URL, ки санҷишҳо барои ҳамлаҳои тазриқи SQL:
Нашрияҳо.Агар барномаи веб бо муқовимати SQL боэътибор монеа нашавад, он танҳо номи ин номро ифода мекунад, ки он бар муқобили Системаи SQL, ки он бар зидди пойгоҳи додаҳо амал мекунад, меорад:
Lastname = 'chapple' ва firstname = 'mike' ва (шумора (*) аз қалбакӣ интихоб кунед)> 0 OR '1' = '1'Шумо мефаҳмед, ки синтези дар боло зикршуда аз URL дар асл хеле фарқ мекунад. Ман озодии тағир додани варианти URL-кодро барои ASCII муқоисашавандаи худ гирифтам, то онро осон гардонад. Масалан,% 3d URL-рамзгузорӣ барои 'character' мебошад. Ман ҳам як қатор хати ранг барои мақсадҳои монанд илова кардам.
Арзёбии натиҷаҳо
Санҷиши шумо ҳангоми кӯшиш кардан ба вебсайт бо URL дар боло номбар шудааст. Агар барномаи веб хубтар бошад, он аз ҳисоби нусхаҳои ягона аз воридшавӣ пеш аз гузарондани пурсиш ба пойгоҳи додашударо холӣ мекунад. Ин танҳо ба як варианти аҷибе барои касе, ки як номи ном дорад, ба даст меорад, ки хӯшаи SQL-ро дар бар мегирад! Шумо метавонед аз як замима ба яке аз паёмҳои хатогие, ки дар поён оварда шудааст, бинед:
Хато: Не истифодабаранда бо номи Mike + ва + (интихоби + рақами (*) + аз + қалбакӣ + +% 3e0 + Ё + 1% 3d1 Шаффоф!Аз тарафи дигар, агар ин барнома ба пластикаи осебпазир осебпазир бошад, он бевосита ба базаи маълумотҳо мегузарад, ки яке аз ду имконият мебошад. Аввалан, агар сервер шумо дорои паёмҳои хатоҳои муфассалтаре дошта бошед (ки шумо лозим нест!), Шумо чунин чизро мебинед:
Microsoft OLE DB Provider for ODBC 'Driver' error '80040e37' [Microsoft] [ODBC SQL Server Driver] [SQL Server] Номи номаълуми "қалбакӣ". /directory.asp, сатри 13Аз тарафи дигар, агар сервери вебсайт шумо паёмҳои муфассалро нишон надодед, шумо хатогиҳои умумиро ба даст меоред:
Сервери дохилии хато Сервер хатоги дохилӣ ё нодурустро ҳал кард ва дархост накардани дархости шумо набуд. Лутфан администратори серверро тамос гиред, то ки дар вақти хатогӣ ва ҳар чизе, ки шумо анҷом медодед, ки хатогиҳо ба миён омаданд, хабар диҳед. Маълумоти иловагиро дар бораи ин хатогӣ дар log log error.Агар шумо яке аз ду хатои дар боло зикршударо гиред, барномаи шумо ба ҳамлаҳои тазриқи SQL осебпазир аст! Баъзе қадамҳое, ки шумо метавонед барои муҳофизат кардани барномаҳои худ зидди ҳамлаҳои Интернетии Скоро дохил кунед:
- Гузаронидани санҷиши параметрӣ дар ҳамаи замимаҳо. Масалан, агар шумо хоҳед, ки касе ба рақами муштарӣ ворид шавад, боварӣ ҳосил кунед, ки воридот пеш аз иҷрои пурсиш иҷро карда мешавад .
- Ҳуқуқҳои ҳисобро, ки дархостҳои SQL иҷро мекунанд, маҳдуд месозанд. Қоидаҳои ҳадди аксар татбиқ мешаванд. Агар ҳисоби коркарди дархост барои иҷро кардан иҷозат надошта бошад, онро иҷро кардан ғайриимкон аст!
- Тартиби нигоҳдорӣ (ё техникаи монандро) барои пешгирӣ кардани истифодабарандагон бевосита бо рамзи Системаи SQL истифода баред.