Bezpečnost webových aplikací Web Inkognito VŠE 05/2013

transcript

Michal Špaček, @iz228 VŠE, květen 2013www.michalspacek.cz @spazef0rze

Slajdy jsou bez mých poznámek,nedávají tedy moc smysl pro toho, kdo na semináři nebyl.

Michal Špaček @spazef0rze www.michalspacek.cz

Útoky na web

SQL Injection

Cross-Site Scripting

Full Path Disclosure…

a stovky dalších

Full Path Disclosure (FPD)

Vyzrazení plné cesty ke skriptuhttp://devblog.cz/2012/04/fpd-aneb-full-path-disclosure/

Řešení?

display_errors = Off

log_errors = On

Cross-Site Scripting (XSS)

Útočník vloží na naši stránkuvlastní HTML nebo JS kód

hledej?search=a“><img src=“…

HTML Injection (Hi)

value=“a“><img src=“…“>

Řešení?

htmlspecialchars($string)

htmlspecialchars($string, ENT_QUOTES)

Nepoužívat

strip_tags()

proti XSS

SQL Injection

Útočník modifikuje SQL dotaz

"… WHERE znacka = '{$_GET['znacka']}'"

'… WHERE id = ' . $_GET['id']

' OR 1=1; --

SELECT jmeno, adresa FROM vozidla

WHERE rz =

'$prectena';

SELECT jmeno, adresa FROM vozidla

WHERE rz = '1AM 1337';

1AM 1337

SELECT jmeno, adresa

FROM vozidla

WHERE rz = '' OR 1=1;

' OR 1=1; --

Řešení?

Prepared statements (PDO)

SELECT jmeno, adresa

FROM vozidla

WHERE rz = ?;

' OR 1=1; --

mysql_set_charset()

mysql_real_escape_string()

Nepoužívat

addslashes()

proti SQLIA

2012 …

2012 … 56

2011 … 51

2010 … 59

2009 … 82

Cross-SitePort Attack

(XSPA)

DistributedDenial-of-Service

(DDoS)

Hashování hesel

Nepoužívat MD5

Ani SHA-1

Řešení?

SHA-512 a salt?

hash_hmac()

oclHashcat

md5($pass.$salt)

md5($salt.$pass)

sha1($pass.$salt)

sha1($salt.$pass)

Lepší řešení?

scrypt

bcryptBlowfish hashing

crypt() salt=$2y$…

password_hash()password_verify()

robots.txt

/.svn/entries

http://hostname/.svn/text-base/index.php.svn-base

That's it. That's me.

Michal Špačekwww.michalspacek.cz

@spazef0rze

Přijďte na školeníhttp://www.michalspacek.cz/skoleni

Bezpečnost webových aplikací Web Inkognito VŠE 05/2013

Documents