bezpečnost webových aplikací web inkognito vŠe 05/2013

Michal Špaček, @iz228 VŠE, květen 2013www.michalspacek.cz @spazef0rze

Slajdy jsou bez mých poznámek,nedávají tedy moc smysl pro toho, kdo na semináři nebyl.

Michal Špaček @spazef0rze www.michalspacek.cz

Útoky na web

SQL Injection

Cross-Site Scripting

Full Path Disclosure…

a stovky dalších


Full Path Disclosure (FPD)

Vyzrazení plné cesty ke skriptuhttp://devblog.cz/2012/04/fpd-aneb-full-path-disclosure/

http://devblog.cz/2012/04/fpd-aneb-full-path-disclosure/


Řešení?

display_errors = Off


log_errors = On


Cross-Site Scripting (XSS)

Útočník vloží na naši stránkuvlastní HTML nebo JS kód


hledej?search=a“><img src=“…

HTML Injection (Hi)

value=“a“><img src=“…“>


Řešení?

htmlspecialchars($string)


htmlspecialchars($string, ENT_QUOTES)


Nepoužívat

strip_tags()

proti XSS


SQL Injection

Útočník modifikuje SQL dotaz


"… WHERE znacka = '{$_GET['znacka']}'"


'… WHERE id = ' . $_GET['id']


' OR 1=1; --


SELECT jmeno, adresa FROM vozidla

WHERE rz =

'$prectena';


SELECT jmeno, adresa FROM vozidla

WHERE rz = '1AM 1337';

1AM 1337


SELECT jmeno, adresa

FROM vozidla

WHERE rz = '' OR 1=1;

--';

' OR 1=1; --


Řešení?

Prepared statements (PDO)


SELECT jmeno, adresa

FROM vozidla

WHERE rz = ?;

' OR 1=1; --


mysql_set_charset()

mysql_real_escape_string()


Nepoužívat

addslashes()

proti SQLIA


2012 …


2012 … 56


2011 … 51

2010 … 59

2009 … 82


Cross-SitePort Attack

(XSPA)


DistributedDenial-of-Service

(DDoS)


Hashování hesel

Nepoužívat MD5

Ani SHA-1


Řešení?

SHA-512 a salt?

hash_hmac()


oclHashcat

md5($pass.$salt)

md5($salt.$pass)

sha1($pass.$salt)

sha1($salt.$pass)


Lepší řešení?

scrypt


bcryptBlowfish hashing


crypt() salt=$2y$…

password_hash()password_verify()


robots.txt


/.svn/entries


http://hostname/.svn/text-base/index.php.svn-base

That's it. That's me.

Michal Špačekwww.michalspacek.cz

@spazef0rze

Přijďte na školeníhttp://www.michalspacek.cz/skoleni

http://www.michalspacek.cz/skoleni

bezpečnost webových aplikací web inkognito vŠe 05/2013

Documents