ول 6.0.0.1 أمن الخادم - هو الخادم في مأمن من البرمجة عبر الموقع / حقن شفرة جافا سكريبت

Question

جاء هذا السؤال في مشروعنا:

الأمن يعمل الآن تحت هتبس مع اختبار موبيليسيكوريتي (شسرف الخ) الذي يتضمن أصالة التطبيق لالروبوت.لا تتطلب محولاتنا أي مصادقة مستخدم / تمرير ، لذلك لا توجد عوالم أخرى أو وحدات مصادقة أو تسجيل دخول تم تكوينها.التطبيق يمكن استدعاء إجراءات محول على الفور بعد ول.العميل.الاتصال.

ما هو وركليت به على جانب الخادم لمنع هجمات حقن شفرة جافا سكريبت جانب الخادم?

تفاصيل عن هذا النوع من الهجوم: http://media.blackhat.com/bh-us-11/Sullivan/BH_US_11_Sullivan_Server_Side_WP.pdf

وبعبارة أخرى, (على الرغم من صعوبة) دعونا نفترض شخص ما كان قادرا على استخدام أبك لدينا لإنشاء أبك الجديدة التي كانت قادرة على خداع وركليت المصادقة / آلية الأمن, نحن ثم عرضة لهجوم حقن شفرة جافا سكريبت جانب الخادم?

انها الى حد كبير يتلخص في السؤال إذا تم تقييم جميع المعلمات لجميع المكالمات خادم ول وتحليلها من النص إلى كائنات جافا سكريبت بطريقة آمنة القصوى وإذا لم يكن هناك فرصة أن نص المعلمة يمكن تنفيذها كما شفرة جافا سكريبت على الخادم?

لو ذلك, هل هناك أي أنواع إضافية من الهجمات المحتملة التي يتم تأمين تنفيذ جافا سكريبت خادم ول ضد أننا قد لا تكون على علم حتى?

Answer 1

يتم تلقي المعلمات من قبل محولات كما سلسلة/إنت/بول/صفيف الخ.سوف إطار محول أبدا تقييم وتنفيذ المعلمات الخاصة بك ، لذلك إلا إذا كنت تستخدم صراحة التقييم(المعلمة) في مكان ما في التعليمات البرمجية الخاصة بك كنت جيدة.

قطعة أخرى من إطار محول ول الحماية لديها التفاف استجابة محول في التعليق.على سبيل المثال.إذا عاد المحول الخاص بك {فال: 1} سيحتوي جسم الاستجابة الفعلي على

/* secure {val:1} */

هذا يمنع جس ليتم تنفيذها حتى لو تقييمها تلقائيا من قبل العميل ، على سبيل المثال.عند تحميلها من <script src="...">