🥇 ওয়েবসাইট নিরাপত্তার মারাত্মক পাপ: আমরা বছরের জন্য দুর্বলতা স্ক্যানার পরিসংখ্যান থেকে যা শিখেছি

প্রায় এক বছর আগে, আমরা ডেটালাইনে চালু করেছি সেবা আইটি অ্যাপ্লিকেশনে দুর্বলতা অনুসন্ধান এবং বিশ্লেষণ করতে। পরিষেবাটি কোয়ালিস ক্লাউড সমাধানের উপর ভিত্তি করে, যার অপারেশন সম্পর্কে আমরা ইতিমধ্যে বলেছি. সমাধানটির সাথে কাজ করার এক বছর ধরে, আমরা বিভিন্ন সাইটের জন্য 291টি স্ক্যান করেছি এবং ওয়েব অ্যাপ্লিকেশনগুলিতে সাধারণ দুর্বলতার বিষয়ে পরিসংখ্যান সংগ্রহ করেছি।

নীচের প্রবন্ধে আমি আপনাকে দেখাব ঠিক কী কী গর্ত ওয়েবসাইট নিরাপত্তার বিভিন্ন স্তরের সমালোচনার পিছনে লুকিয়ে আছে। আসুন দেখি স্ক্যানারটি বিশেষত প্রায়শই কী কী দুর্বলতা খুঁজে পায়, কেন সেগুলি ঘটতে পারে এবং কীভাবে নিজেকে রক্ষা করবেন৷

কোয়ালিস সমস্ত ওয়েব অ্যাপ্লিকেশান দুর্বলতাগুলিকে সমালোচনার তিনটি স্তরে ভাগ করে: নিম্ন, মাঝারি এবং উচ্চ। আপনি যদি "তীব্রতা" দ্বারা বন্টনটি দেখেন তবে মনে হচ্ছে সবকিছু এত খারাপ নয়। উচ্চ স্তরের সমালোচনা সহ কয়েকটি দুর্বলতা রয়েছে, বেশিরভাগই অ-সমালোচনামূলক:

কিন্তু সমালোচনামূলক মানে নিরীহ নয়। তারা মারাত্মক ক্ষতিও করতে পারে।

শীর্ষ "নন-ক্রিটিকাল" দুর্বলতা

মিশ্র বিষয়বস্তুর দুর্বলতা।
ওয়েবসাইট নিরাপত্তার মান হল HTTPS প্রোটোকলের মাধ্যমে ক্লায়েন্ট এবং সার্ভারের মধ্যে ডেটা স্থানান্তর, যা এনক্রিপশন সমর্থন করে এবং তথ্যকে বাধা থেকে রক্ষা করে।

কিছু সাইট ব্যবহার করে মিশ্র বিষয়বস্তু: কিছু ডেটা অনিরাপদ HTTP প্রোটোকলের মাধ্যমে স্থানান্তরিত হয়। এইভাবে এটি প্রায়শই বোঝানো হয় প্যাসিভ কন্টেন্ট - তথ্য যা শুধুমাত্র সাইটের প্রদর্শনকে প্রভাবিত করে: ছবি, CSS শৈলী। তবে কখনও কখনও এটি কীভাবে সঞ্চারিত হয় সক্রিয় বিষয়বস্তু: স্ক্রিপ্ট যা সাইটের আচরণ নিয়ন্ত্রণ করে। এই ক্ষেত্রে, বিশেষ সফ্টওয়্যার ব্যবহার করে, আপনি সার্ভার থেকে আসা সক্রিয় বিষয়বস্তু সহ তথ্য বিশ্লেষণ করতে পারেন, ফ্লাইতে আপনার প্রতিক্রিয়াগুলি পরিবর্তন করতে পারেন এবং মেশিনটিকে এমনভাবে কাজ করতে পারেন যা এর নির্মাতাদের দ্বারা উদ্দেশ্য ছিল না।

ব্রাউজারগুলির নতুন সংস্করণগুলি ব্যবহারকারীদের সতর্ক করে যে মিশ্র সামগ্রী সহ সাইটগুলি অনিরাপদ এবং বিষয়বস্তু ব্লক করে৷ ওয়েবসাইট ডেভেলপাররাও কনসোলে ব্রাউজার সতর্কতা গ্রহণ করে। উদাহরণস্বরূপ, এটি দেখতে এইভাবে ফায়ারফক্স:

বিপজ্জনক কি: আক্রমণকারীরা ব্যবহারকারীর তথ্য আটকাতে, স্ক্রিপ্ট প্রতিস্থাপন করতে এবং তার পক্ষে সাইটে অনুরোধ পাঠাতে একটি অনিরাপদ প্রোটোকল ব্যবহার করে। এমনকি যদি কোনও সাইট ভিজিটর ডেটা প্রবেশ না করে তবে এটি তাকে রক্ষা করে না ফিশিং - প্রতারণামূলক পদ্ধতি ব্যবহার করে গোপনীয় তথ্য প্রাপ্ত করা। উদাহরণস্বরূপ, একটি স্ক্রিপ্ট ব্যবহার করে, আপনি ব্যবহারকারীকে একটি অনিরাপদ সাইটে পুনঃনির্দেশ করতে পারেন যা ব্যবহারকারীর কাছে পরিচিত একজন হিসাবে মাস্করাড করে৷ কিছু ক্ষেত্রে, দূষিত সাইটটি আসল থেকে আরও ভাল দেখায় এবং ব্যবহারকারী নিজেই ফর্মটি পূরণ করতে এবং গোপনীয় ডেটা জমা দিতে পারে।

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: এমনকি যদি সাইট অ্যাডমিনিস্ট্রেটর একটি SSL/TLS শংসাপত্র ইনস্টল এবং কনফিগার করে থাকে, মানব ত্রুটির কারণে একটি দুর্বলতা দেখা দিতে পারে৷ উদাহরণস্বরূপ, যদি আপনি একটি পৃষ্ঠায় একটি আপেক্ষিক লিঙ্ক না, কিন্তু http থেকে একটি পরম লিঙ্ক রাখেন, এবং উপরন্তু আপনি HTTP থেকে https এ পুনঃনির্দেশ সেট আপ করেননি।

আপনি একটি ব্রাউজার ব্যবহার করে একটি সাইটে মিশ্র সামগ্রী সনাক্ত করতে পারেন: পৃষ্ঠার উত্স কোড অনুসন্ধান করুন, বিকাশকারী কনসোলে বিজ্ঞপ্তিগুলি পড়ুন৷ যাইহোক, বিকাশকারীকে দীর্ঘ সময়ের জন্য এবং ক্লান্তিকরভাবে কোডের সাথে টিঙ্কার করতে হবে। আপনি স্বয়ংক্রিয় বিশ্লেষণ সরঞ্জামগুলির সাথে প্রক্রিয়াটিকে দ্রুত করতে পারেন, উদাহরণস্বরূপ: SSL চেক, বিনামূল্যে বাতিঘর সফ্টওয়্যার বা প্রদত্ত সফ্টওয়্যার স্ক্রিমিং ফ্রগ এসইও স্পাইডার৷

এছাড়াও, উত্তরাধিকার-কোড - উত্তরাধিকারসূত্রে প্রাপ্ত কোডের সমস্যার কারণে দুর্বলতা দেখা দিতে পারে। উদাহরণস্বরূপ, যদি কিছু পৃষ্ঠা একটি পুরানো টেমপ্লেট ব্যবহার করে তৈরি করা হয়, যা https-এ সাইটের স্থানান্তরকে বিবেচনা করে না।
"HTTPOnly" এবং "নিরাপদ" পতাকা ছাড়া কুকিজ।
"HTTPOnly" অ্যাট্রিবিউট কুকিজকে স্ক্রিপ্ট দ্বারা প্রক্রিয়া করা থেকে রক্ষা করে যা আক্রমণকারীরা ব্যবহারকারীর ডেটা চুরি করতে ব্যবহার করে। "সুরক্ষিত" পতাকা পরিষ্কার পাঠ্যে কুকি পাঠানোর অনুমতি দেয় না। কুকি পাঠানোর জন্য নিরাপদ HTTPS প্রোটোকল ব্যবহার করা হলেই যোগাযোগের অনুমতি দেওয়া হবে।

উভয় বৈশিষ্ট্যই কুকি বৈশিষ্ট্যে নির্দিষ্ট করা হয়েছে:
```
Set-Cookie: Secure; HttpOnly
```
বিপজ্জনক কি: যদি সাইট ডেভেলপার এই বৈশিষ্ট্যগুলি নির্দিষ্ট না করে থাকে, তাহলে একজন আক্রমণকারী কুকি থেকে ব্যবহারকারীর তথ্য আটকাতে পারে এবং এটি শোষণ করতে পারে। যদি প্রমাণীকরণ এবং অনুমোদনের জন্য কুকিজ ব্যবহার করা হয়, তবে তিনি ব্যবহারকারীর সেশন হাইজ্যাক করতে এবং তার পক্ষে সাইটে ক্রিয়া সম্পাদন করতে সক্ষম হবেন৷

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: একটি নিয়ম হিসাবে, জনপ্রিয় ফ্রেমওয়ার্কগুলিতে এই বৈশিষ্ট্যগুলি স্বয়ংক্রিয়ভাবে সেট করা হয়৷ কিন্তু তবুও ওয়েব সার্ভার কনফিগারেশন চেক করুন এবং পতাকা সেট করুন: সেট-কুকি HttpOnly; নিরাপদ.

এই ক্ষেত্রে, "HTTPOnly" অ্যাট্রিবিউট কুকিজকে আপনার নিজের জাভাস্ক্রিপ্টে অদৃশ্য করে তুলবে৷
পথ-ভিত্তিক দুর্বলতা।
স্ক্যানার সম্ভাব্য গোপনীয় তথ্য সহ একটি সর্বজনীনভাবে অ্যাক্সেসযোগ্য ফাইল বা ওয়েবসাইট ডিরেক্টরি খুঁজে পেলে এই ধরনের দুর্বলতার প্রতিবেদন করে। উদাহরণস্বরূপ, এটি পৃথক সিস্টেম কনফিগারেশন ফাইল বা সম্পূর্ণ ফাইল সিস্টেমে অ্যাক্সেস সনাক্ত করে। এই পরিস্থিতি সম্ভব যদি সাইটে অ্যাক্সেস অধিকার ভুলভাবে সেট করা হয়।

বিপজ্জনক কি: যদি ফাইল সিস্টেম "স্টিক আউট" হয়, তাহলে একজন আক্রমণকারী অপারেটিং সিস্টেম ইন্টারফেসের মধ্যে পড়তে পারে এবং পাসওয়ার্ড সহ ফোল্ডারগুলি খুঁজে বের করার চেষ্টা করতে পারে যদি সেগুলি পরিষ্কার পাঠ্যে সংরক্ষিত থাকে (এটি করবেন না!)। অথবা আপনি পাসওয়ার্ড হ্যাশ চুরি করতে পারেন এবং পাসওয়ার্ডটি জবরদস্তি করতে পারেন, এবং সিস্টেমে বিশেষাধিকার বাড়াতে এবং পরিকাঠামোর গভীরে যাওয়ার চেষ্টা করতে পারেন।

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: অ্যাক্সেসের অধিকার সম্পর্কে ভুলবেন না এবং প্ল্যাটফর্ম, ওয়েব সার্ভার, ওয়েব অ্যাপ্লিকেশন কনফিগার করুন যাতে ওয়েব ডিরেক্টরি থেকে "পালানো" অসম্ভব।
অটো-ফিল সক্ষম সহ সংবেদনশীল ডেটা প্রবেশের জন্য ফর্ম।
যদি কোনও ব্যবহারকারী ঘন ঘন ওয়েবসাইটগুলিতে ফর্মগুলি পূরণ করে, তবে তাদের ব্রাউজার অটোফিল বৈশিষ্ট্যটি ব্যবহার করে এই তথ্য সংরক্ষণ করে।

ওয়েবসাইটগুলির ফর্মগুলিতে সংবেদনশীল তথ্য সহ ক্ষেত্রগুলি অন্তর্ভুক্ত থাকতে পারে, যেমন পাসওয়ার্ড বা ক্রেডিট কার্ড নম্বর৷ এই ধরনের ক্ষেত্রগুলির জন্য, সাইটে নিজেই ফর্ম অটোফিল ফাংশন অক্ষম করা মূল্যবান।

বিপজ্জনক কি: ব্যবহারকারীর ব্রাউজার যদি সংবেদনশীল তথ্য সঞ্চয় করে, তাহলে একজন আক্রমণকারী পরে তা আটকাতে পারে, উদাহরণস্বরূপ ফিশিংয়ের মাধ্যমে। সংক্ষেপে, একজন ওয়েব ডেভেলপার যিনি এই সূক্ষ্মতা সম্পর্কে ভুলে গেছেন তিনি তার ব্যবহারকারীদের সেট আপ করছেন।

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: এই ক্ষেত্রে, আমাদের একটি ক্লাসিক দ্বন্দ্ব আছে: সুবিধা বনাম নিরাপত্তা। যদি একজন ওয়েব ডেভেলপার ব্যবহারকারীর অভিজ্ঞতা সম্পর্কে চিন্তা করেন, তাহলে তিনি সচেতনভাবে স্বয়ংসম্পূর্ণ বেছে নিতে পারেন। উদাহরণস্বরূপ, যদি এটি অনুসরণ করা গুরুত্বপূর্ণ ওয়েব সামগ্রীর অ্যাক্সেসযোগ্যতার নির্দেশিকা elines - প্রতিবন্ধী ব্যবহারকারীদের জন্য সামগ্রীর অ্যাক্সেসযোগ্যতার জন্য সুপারিশ।

বেশিরভাগ ব্রাউজারগুলির জন্য, আপনি autocompete="off" বৈশিষ্ট্য সহ স্বয়ংসম্পূর্ণ অক্ষম করতে পারেন, উদাহরণস্বরূপ:
```
 <body>
    <form action="/bn/form/submit" method="get" autocomplete="off">
      <div>
        <input type="text" placeholder="First Name">
      </div>
      <div>
        <input type="text" id="lname" placeholder="Last Name" autocomplete="on">
      </div>
      <div>
        <input type="number" placeholder="Credit card number">
      </div>
      <input type="submit">
    </form>
  </body>
```
কিন্তু এটি Chrome এর জন্য কাজ করবে না। এটি জাভাস্ক্রিপ্ট ব্যবহার করে বাধা দেওয়া হয়, রেসিপিটির একটি বৈকল্পিক পাওয়া যেতে পারে এখানে.
X-Frame-Options হেডার সাইট কোডে সেট করা নেই।
এই হেডারটি ফ্রেম, আইফ্রেম, এম্বেড বা অবজেক্ট ট্যাগকে প্রভাবিত করে। এটির সাহায্যে, আপনি একটি ফ্রেমের ভিতরে আপনার সাইট এম্বেড করা সম্পূর্ণরূপে নিষিদ্ধ করতে পারেন। এটি করার জন্য, আপনাকে X-Frame-Options: deny মানটি নির্দিষ্ট করতে হবে। অথবা আপনি X-Frame-Options উল্লেখ করতে পারেন: sameorigin, তারপর একটি iframe এ এম্বেড করা শুধুমাত্র আপনার ডোমেনে উপলব্ধ হবে।

বিপজ্জনক কি: যেমন একটি হেডার অনুপস্থিতি দূষিত সাইট ব্যবহার করা যেতে পারে ক্লিকজ্যাকিং. এই আক্রমণের জন্য, আক্রমণকারী বোতামগুলির উপরে একটি স্বচ্ছ ফ্রেম তৈরি করে এবং ব্যবহারকারীকে কৌশল করে। উদাহরণস্বরূপ: স্ক্যামাররা একটি ওয়েবসাইটে সামাজিক নেটওয়ার্কিং পৃষ্ঠাগুলি ফ্রেম করে। ব্যবহারকারী মনে করেন তিনি এই সাইটের একটি বোতামে ক্লিক করছেন। পরিবর্তে, ক্লিকটি আটকানো হয় এবং ব্যবহারকারীর অনুরোধ সামাজিক নেটওয়ার্কে পাঠানো হয় যেখানে একটি সক্রিয় অধিবেশন আছে। এইভাবে আক্রমণকারীরা ব্যবহারকারীর পক্ষে স্প্যাম পাঠায় বা গ্রাহক এবং পছন্দ অর্জন করে।

আপনি যদি এই বৈশিষ্ট্যটি অক্ষম না করেন তবে একজন আক্রমণকারী আপনার অ্যাপ্লিকেশন বোতামটি একটি দূষিত সাইটে রাখতে পারে৷ তিনি আপনার রেফারেল প্রোগ্রাম বা আপনার ব্যবহারকারীদের আগ্রহী হতে পারে.

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: ওয়েব সার্ভারে বা লোড ব্যালেন্সারে বিরোধপূর্ণ মান সহ এক্স-ফ্রেম-বিকল্পগুলি সেট করা থাকলে দুর্বলতা ঘটতে পারে। এই ক্ষেত্রে, সার্ভার এবং ব্যালেন্সার কেবল হেডারটি পুনরায় লিখবে, যেহেতু তাদের ব্যাকএন্ড কোডের তুলনায় উচ্চ অগ্রাধিকার রয়েছে।

X-Frame-Options হেডারের অস্বীকার এবং একই মূল মান Yandex ওয়েব ভিউয়ারের অপারেশনে হস্তক্ষেপ করবে। ওয়েব ভিউয়ারের জন্য iframes ব্যবহারের অনুমতি দিতে, আপনাকে সেটিংসে একটি পৃথক নিয়ম লিখতে হবে। উদাহরণস্বরূপ, nginx এর জন্য আপনি এটিকে এভাবে কনফিগার করতে পারেন:
```
http{
...
 map $http_referer $frame_options {
 "~webvisor.com" "ALLOW-FROM http://webvisor.com";
 default "SAMEORIGIN";
 }
 add_header X-Frame-Options $frame_options;
...
}
```
PRSSI (পাথ-রিলেটিভ স্টাইলশীট ইম্পোর্ট) দুর্বলতা।
এটি সাইটের স্টাইলিংয়ের একটি দুর্বলতা। এটি ঘটে যদি আপেক্ষিক লিঙ্ক যেমন href="/bn/somefolder/styles.css/" ব্যবহার করা হয় স্টাইল ফাইলগুলি অ্যাক্সেস করতে। একজন আক্রমণকারী এটির সুবিধা নেবে যদি তারা ব্যবহারকারীকে একটি দূষিত পৃষ্ঠায় পুনঃনির্দেশিত করার উপায় খুঁজে পায়। পৃষ্ঠাটি তার url-এ একটি আপেক্ষিক লিঙ্ক সন্নিবেশ করবে এবং একটি স্টাইল কল অনুকরণ করবে। আপনি badsite.ru/…/somefolder/styles.css/ এর মতো একটি অনুরোধ পাবেন, যা একটি শৈলীর আড়ালে দূষিত ক্রিয়া সম্পাদন করতে পারে।

বিপজ্জনক কি: একজন প্রতারক এই দুর্বলতাকে কাজে লাগাতে পারে যদি তারা অন্য একটি নিরাপত্তা গর্ত খুঁজে পায়। ফলস্বরূপ, কুকি বা টোকেন থেকে ব্যবহারকারীর ডেটা চুরি করা সম্ভব।

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: X-Content-Type-Options শিরোনাম সেট করুন: nosniff. এই ক্ষেত্রে, ব্রাউজার শৈলীগুলির জন্য বিষয়বস্তুর প্রকার পরীক্ষা করবে। টাইপ টেক্সট/সিএসএস ছাড়া অন্য হলে, ব্রাউজার অনুরোধটি ব্লক করবে।

সমালোচনামূলক দুর্বলতা

একটি পাসওয়ার্ড ক্ষেত্র সহ একটি পৃষ্ঠা সার্ভার থেকে একটি অনিরাপদ চ্যানেলের মাধ্যমে প্রেরণ করা হয় (এইচটিএমএল ফর্ম যেখানে পাসওয়ার্ড ক্ষেত্র(গুলি) HTTP-তে পরিবেশিত হয়)।
একটি এনক্রিপ্ট করা চ্যানেলের উপর সার্ভার থেকে প্রতিক্রিয়া "মাঝখানের মানুষ" আক্রমণের জন্য ঝুঁকিপূর্ণ। একজন আক্রমণকারী ট্রাফিককে আটকাতে পারে এবং ক্লায়েন্ট এবং সার্ভারের মধ্যে ওয়েজ করতে পারে কারণ পৃষ্ঠাটি সার্ভার থেকে ক্লায়েন্টে যায়।

বিপজ্জনক কি: প্রতারক পৃষ্ঠাটি প্রতিস্থাপন করতে এবং ব্যবহারকারীকে গোপনীয় ডেটার জন্য একটি ফর্ম পাঠাতে সক্ষম হবে, যা আক্রমণকারীর সার্ভারে যাবে।

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: কিছু সাইট ব্যবহারকারীদের পাসওয়ার্ডের পরিবর্তে ইমেল/ফোনের মাধ্যমে একটি এককালীন কোড পাঠায়। এই ক্ষেত্রে, দুর্বলতা এতটা সমালোচনামূলক নয়, তবে প্রক্রিয়াটি ব্যবহারকারীদের জীবনকে জটিল করে তুলবে।
একটি অনিরাপদ চ্যানেলে লগইন এবং পাসওয়ার্ড সহ একটি ফর্ম পাঠানো (HTTPS এর মাধ্যমে লগইন ফর্ম জমা দেওয়া হয় না)।
এই ক্ষেত্রে, একটি লগইন এবং পাসওয়ার্ড সহ একটি ফর্ম ব্যবহারকারীর কাছ থেকে একটি এনক্রিপ্ট করা চ্যানেলের মাধ্যমে সার্ভারে পাঠানো হয়।

বিপজ্জনক কি: আগের ঘটনা থেকে ভিন্ন, এটি ইতিমধ্যেই একটি গুরুতর দুর্বলতা। সংবেদনশীল ডেটা আটকানো সহজ কারণ এটি করার জন্য আপনাকে কোড লিখতে হবে না।
পরিচিত দুর্বলতা সহ জাভাস্ক্রিপ্ট লাইব্রেরি ব্যবহার করা।
স্ক্যান করার সময়, সর্বাধিক ব্যবহৃত লাইব্রেরিটি ছিল jQuery যার প্রচুর সংস্করণ রয়েছে। প্রতিটি সংস্করণে অন্তত একটি, বা তারও বেশি, পরিচিত দুর্বলতা রয়েছে৷ দুর্বলতার প্রকৃতির উপর নির্ভর করে প্রভাব খুব আলাদা হতে পারে।

বিপজ্জনক কি: পরিচিত দুর্বলতার জন্য শোষণ আছে, উদাহরণস্বরূপ:

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: নিয়মিত চক্রে ফিরে যান: পরিচিত দুর্বলতার জন্য অনুসন্ধান করুন - ঠিক করুন - পরীক্ষা করুন৷ আপনি যদি লিগ্যাসি লাইব্রেরিগুলি ইচ্ছাকৃতভাবে ব্যবহার করেন, উদাহরণস্বরূপ পুরানো ব্রাউজারগুলিকে সমর্থন করার জন্য বা অর্থ সাশ্রয়ের জন্য, একটি পরিচিত দুর্বলতা ঠিক করার একটি সুযোগ সন্ধান করুন৷
ক্রস-সাইট স্ক্রিপ্টিং (XSS)।
ক্রস-সাইট স্ক্রিপ্টিং (এক্সএসএস), বা ক্রস-সাইট স্ক্রিপ্টিং হল একটি ওয়েব অ্যাপ্লিকেশনের উপর আক্রমণ যার ফলে ডাটাবেসে ম্যালওয়্যার প্রবর্তিত হয়। Qualys যদি এই ধরনের একটি দুর্বলতা খুঁজে পায়, তাহলে এর মানে হল যে একজন সম্ভাব্য আক্রমণকারী দূষিত ক্রিয়া সম্পাদনের জন্য সাইট কোডে তার নিজস্ব js স্ক্রিপ্টটি ইতিমধ্যেই প্রবর্তন করতে পারে।

সংরক্ষিত XSS আরও বিপজ্জনক, যেহেতু স্ক্রিপ্টটি সার্ভারে এম্বেড করা হয় এবং ব্রাউজারে আক্রমণ করা পৃষ্ঠাটি খোলা হলে তা কার্যকর করা হয়।

প্রতিফলিত XSS একটি দূষিত স্ক্রিপ্ট একটি HTTP অনুরোধে ইনজেকশনের করা যেতে পারে, কারণ বহন করা সহজ. অ্যাপ্লিকেশনটি একটি HTTP অনুরোধ পাবে, ডেটা যাচাই করবে না, এটি প্যাকেজ করবে এবং অবিলম্বে পাঠাবে। যদি একজন আক্রমণকারী ট্র্যাফিক বাধা দেয় এবং একটি স্ক্রিপ্ট সন্নিবেশ করে
```
<script>/*+что+то+плохое+*/</script> 
```
তারপর ক্লায়েন্টের পক্ষ থেকে একটি দূষিত অনুরোধ পাঠানো হবে।

XSS-এর একটি আকর্ষণীয় উদাহরণ: js sniffers যা CVC, কার্ডের মেয়াদ শেষ হওয়ার তারিখ এবং আরও অনেক কিছুতে প্রবেশের জন্য পৃষ্ঠাগুলিকে অনুকরণ করে৷

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: বিষয়বস্তু-নিরাপত্তা-নীতি শিরোনামে, ক্লায়েন্ট ব্রাউজারকে শুধুমাত্র একটি বিশ্বস্ত উত্স থেকে কোড ডাউনলোড এবং কার্যকর করতে বাধ্য করতে script-src বৈশিষ্ট্য ব্যবহার করুন৷ উদাহরণস্বরূপ, script-src 'self' শুধুমাত্র আমাদের সাইট থেকে সমস্ত স্ক্রিপ্টকে সাদা তালিকাভুক্ত করে।
সর্বোত্তম অনুশীলন হল ইনলাইন কোড: শুধুমাত্র অনিরাপদ-ইনলাইন মান ব্যবহার করে ইনলাইন জাভাস্ক্রিপ্টের অনুমতি দিন। এই মান ইনলাইন js/css ব্যবহারের অনুমতি দেয়, কিন্তু js ফাইলের অন্তর্ভুক্তি নিষিদ্ধ করে না। স্ক্রিপ্ট-src 'self'-এর সংমিশ্রণে আমরা বহিরাগত স্ক্রিপ্টগুলি কার্যকর করা থেকে নিষ্ক্রিয় করি।

রিপোর্ট-উরি ব্যবহার করে সবকিছু লগ করতে ভুলবেন না এবং সাইটে এটি বাস্তবায়নের প্রচেষ্টা দেখুন।
এসকিউএল ইনজেকশন।
দুর্বলতা একটি ওয়েবসাইটে এসকিউএল কোড ইনজেক্ট করার সম্ভাবনা নির্দেশ করে যা সরাসরি ওয়েবসাইটের ডাটাবেস অ্যাক্সেস করে। এসকিউএল ইনজেকশন সম্ভব যদি ব্যবহারকারীর ডেটা স্ক্রিন না করা হয়: এটি সঠিকতার জন্য চেক করা হয় না এবং অবিলম্বে ক্যোয়ারীতে ব্যবহার করা হয়। উদাহরণস্বরূপ, যদি একটি ওয়েবসাইটের একটি ফর্ম ইনপুট ডেটা প্রকারের সাথে মেলে কিনা তা পরীক্ষা না করলে এটি ঘটে।

বিপজ্জনক কি: যদি কোনো আক্রমণকারী এই ফর্মে একটি SQL ক্যোয়ারী প্রবেশ করে, সে ডাটাবেস ক্র্যাশ করতে পারে বা গোপন তথ্য প্রকাশ করতে পারে৷

একটি ওয়েব ডেভেলপার কি মনে রাখা উচিত: ব্রাউজার থেকে যা আসে তা বিশ্বাস করবেন না। আপনাকে ক্লায়েন্ট সাইড এবং সার্ভার উভয় দিকেই নিজেকে রক্ষা করতে হবে।

ক্লায়েন্ট সাইডে, জাভাস্ক্রিপ্ট ব্যবহার করে ফিল্ড ভ্যালিডেশন লিখুন।

জনপ্রিয় ফ্রেমওয়ার্কের অন্তর্নির্মিত ফাংশনগুলি সার্ভারে সন্দেহজনক অক্ষরগুলি এড়াতে সহায়তা করে। সার্ভারে প্যারামিটারাইজড ডাটাবেস কোয়েরি ব্যবহার করারও সুপারিশ করা হয়।

ওয়েব অ্যাপ্লিকেশনে ডাটাবেসের সাথে ঠিক কোথায় মিথস্ক্রিয়া ঘটে তা নির্ধারণ করুন।

মিথস্ক্রিয়া ঘটে যখন আমরা কোনো তথ্য পাই: একটি আইডি (আইডি পরিবর্তন), একটি নতুন ব্যবহারকারী তৈরি করা, একটি নতুন মন্তব্য, বা ডাটাবেসের নতুন এন্ট্রি সহ একটি অনুরোধ। এখানে এসকিউএল ইনজেকশন ঘটতে পারে। এমনকি আমরা ডাটাবেস থেকে একটি রেকর্ড মুছে ফেললেও, এসকিউএল ইনজেকশন সম্ভব।

সাধারণ সুপারিশ

চাকা পুনরায় উদ্ভাবন করবেন না - প্রমাণিত কাঠামো ব্যবহার করুন. একটি নিয়ম হিসাবে, জনপ্রিয় ফ্রেমওয়ার্ক আরো নিরাপদ। .NET - ASP.NET MVC এবং ASP.NET Core এর জন্য, Python - Django বা Flask এর জন্য, Ruby - Ruby on Rails, PHP - Symfony, Laravel, Yii, JavaScript এর জন্য - Node.JS-Express.js, জাভার জন্য - স্প্রিং এমভিসি।

বিক্রেতা আপডেট অনুসরণ করুন এবং নিয়মিত আপডেট করুন. তারা একটি দুর্বলতা খুঁজে পাবে, তারপর একটি শোষণ লিখবে, এটি সর্বজনীনভাবে উপলব্ধ করবে এবং সবকিছু আবার ঘটবে। সফ্টওয়্যার বিক্রেতার থেকে স্থিতিশীল সংস্করণের আপডেটগুলিতে সদস্যতা নিন।

অনুমতি পরীক্ষা করুন. সার্ভারের দিকে, সর্বদা আপনার কোডটিকে এমনভাবে ব্যবহার করুন যেন এটি, প্রথম থেকে শেষ অক্ষর পর্যন্ত, আপনার সবচেয়ে ঘৃণ্য শত্রু দ্বারা লেখা হয়েছে, যারা আপনার সাইটটি ভাঙতে চায়, আপনার ডেটার অখণ্ডতা লঙ্ঘন করে৷ তদুপরি, কখনও কখনও এটি সত্য।

ক্লোন, পরীক্ষার সাইট ব্যবহার করুন এবং তারপর উৎপাদনের জন্য ব্যবহার করুন. এটি সাহায্য করবে, প্রথমত, একটি উত্পাদনশীল পরিবেশে ভুল এবং ভুলগুলি এড়াতে: একটি উত্পাদনশীল পরিবেশ অর্থ নিয়ে আসে, একটি সাধারণ উত্পাদনশীল পরিবেশ গুরুত্বপূর্ণ। কোনো সমস্যা যোগ করার, ঠিক করা বা বন্ধ করার সময়, এটি একটি পরীক্ষার পরিবেশে কাজ করার জন্য মূল্যবান, তারপরে পাওয়া কার্যকারিতা এবং দুর্বলতাগুলি পরীক্ষা করা এবং তারপর উত্পাদন পরিবেশের সাথে কাজ করার পরিকল্পনা করা।

দিয়ে আপনার ওয়েব অ্যাপ্লিকেশন রক্ষা করুন ওয়েব অ্যাপ্লিকেশন ফায়ারওয়াল এবং এটির সাথে দুর্বলতা স্ক্যানার থেকে রিপোর্টগুলিকে একীভূত করুন৷. উদাহরণস্বরূপ, ডেটালাইন কোয়ালিস এবং ফরটিওয়েবকে পরিষেবার একটি বান্ডিল হিসাবে ব্যবহার করে।

উত্স: www.habr.com

সাইট নিরাপত্তার মারাত্মক পাপ: আমরা বছরের জন্য দুর্বলতা স্ক্যানার পরিসংখ্যান থেকে যা শিখেছি

শীর্ষ "নন-ক্রিটিকাল" দুর্বলতা

সমালোচনামূলক দুর্বলতা

সাধারণ সুপারিশ

একটি মন্তব্য জুড়ুন উত্তর বাতিল