WL 6.0.0.1 Security Server: es el servidor seguro de la inyección de código de scripting / JavaScript en el sitio

Question

Esta pregunta surgió en nuestro proyecto:

La seguridad ahora funciona bajo HTTPS con una prueba de cobro móvil (XSRF, etc.) que incluye la autenticidad de la aplicación para Android. Nuestros adaptadores no requieren ninguna autenticación de usuario / pase, por lo que no hay otros reinos, autenticación o módulos de inicio de sesión configurados. La aplicación puede llamar a los procedimientos del adaptador de inmediato después de wl.client.connect.

¿Qué está haciendo la luz de trabajo en el lado del servidor para evitar que los ataques de inyección de códigos de código de servidor?

Detalles sobre este tipo de ataque: http://media.blackhat .com / BH-US-11 / Sullivan / BH_US_11_SULLIVAN_SERVER_SION_WP.PDF

En otras palabras, (aunque difíciles) Asumir que alguien pudo usar nuestro APK para crear una nueva APK que pudo engañar al mecanismo de autenticación / seguridad de la luz de trabajo, ¿somos vulnerables a un ataque de inyección de códigos de JavaScript?

Se reduce bastante a la pregunta si todos los parámetros para todas las llamadas del servidor WL se evalúan y analizan del texto a los objetos de JavaScript de una manera máxima de seguridad y, si nunca existe la posibilidad de que el texto del parámetro pueda ejecutarse como el código de JavaScript en el servidor?

Si es así, ¿existen algún tipo de ataque adicional de los posibles ataques que la implementación de JavaScript del servidor WL está protegida contra la que podríamos no ser conscientes de?

Answer 1

Los parámetros son recibidos por los adaptadores como cadena / INT / BOOL / ARRAY, etc. El marco del adaptador nunca evaluará y ejecute sus parames, por lo que a menos que use explícitamente Eval (Param) en algún lugar de su código.

Otra pieza de protección WL Adaptter Framework tiene la respuesta del adaptador de envolver en comentario.P.ej.Si su adaptador devuelve {Val: 1}, el cuerpo de respuesta real contendrá

/* secure {val:1} */

Esto evita que se ejecute JS incluso si es evaluado automáticamente por un cliente, por ejemplo,Cuando se carga desde un <script src="...">