Web サイトのプログラミングの脆弱性のチェックリスト

質問

SO がオンラインになるのを見るのは、私にとって非常に勉強になりました。Web サイトに対して使用されるさまざまな脆弱性とエクスプロイト、およびそれらを防御するためにどのようなプログラミング手法を使用できるかのチェックリストを作成したいと考えています。

解決

トップ10は次のとおりです。

他のヒント

OWASP 情報は貴重なリソースであると考えています。以下の点、特に攻撃パターンも興味深いかもしれません。

明らかに、すべてのフィールドで脆弱性をテストします。

無限ループを検索します (実際にサーバーを停止させる可能性がある唯一の間接的なもの (多くの人が誤って見つけた場合))。

いくつかの予防テクニック:

XSS

ユーザーからパラメータ/入力を受け取り、それをログまたは Web ページに出力する予定がある場合は、それをサニタイズします (HTML、引用符、JavaScript などに似たものはすべて削除/エスケープします)。ページ自体をサニタイズしてください。たとえば、PHP_SELF を出力するだけでも安全ではありません。消毒してください！反射型 XSS は主に、サニタイズされていないページパラメータから発生します。
ユーザーから入力を取得して保存または印刷する場合、危険または無効なものが検出された場合は警告し、再入力してもらいます。IDS は検出に適しています (PHPIDS など)。その後、保存/印刷する前にサニタイズします。次に、ストレージ/データベースから何かを印刷するときに、再度サニタイズします。入力 -> IDS/サニタイズ -> 保存 -> サニタイズ -> 出力
開発中にコードスキャナーを使用すると、潜在的に脆弱なコードを発見できます。

XSRF

破壊的な機能のためにGETリクエストを使用しないでください投稿を削除しています。代わりに、投稿リクエストのみを受け入れます。GET を使用すると、ハッキングが非常に簡単になります。
リファラーをチェックして、リクエストがサイトから来たことを確認してください 動作しません. 。紹介者を吹き込むのは難しくありません。
トークンとしてランダムハッシュを使用します。トークンはすべてのリクエストに存在し、有効である必要があり、しばらくすると期限切れになります。非表示のフォームフィールドにトークンを出力し、フォームが投稿されるときにサーバー側でそれを確認します。攻撃者はリクエストを偽造するには正しいトークンを提供する必要があり、本物のトークンを入手できたとしても、有効期限が切れる前である必要があります。

SQLインジェクション

ORM または db 抽象化クラスにはサニタイズメソッドが必要です。常にそれらを使用してください。ORM または db 抽象化クラスを使用していない場合...そうあるべきです。

SQLインジェクション

XSS (クロスサイトスクリプティング) 攻撃

監視しやすく、修正も簡単です。クライアント側から受け取ったデータのサニタイズ。';'などを確認する悪意のあるコードがアプリケーションに注入されるのを防ぐのに役立ちます。

こんにちは、

セキュリティのための優れた静的分析ツールは次のとおりです。フローファインダーデヴィッド・ウィーラー著。さまざまなセキュリティエクスプロイトを検出する優れた仕事をします。

ただし、知識のある人にコードを読んでもらうことに代わるものではありません。David が自身の Web ページで述べているように、「ツールを持った愚か者は依然として愚か者です!」

HTH。

乾杯、ロブ

xss や SQL インジェクションなどの複数の欠陥や脆弱性をテストするための優れた Firefox アドオンを入手できます。セキュリティコンパス. 。残念ながらFirefox 3.0では動作しません。すぐに更新されることを願っています。

ライセンス： CC-BY-SA と帰属

所属していません StackOverflow