{"id":84184,"date":"2020-06-05T19:42:31","date_gmt":"2020-06-05T17:42:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god"},"modified":"2020-06-05T19:42:31","modified_gmt":"2020-06-05T17:42:31","slug":"smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","title":{"rendered":"A webhely biztons\u00e1g\u00e1nak hal\u00e1los b\u0171nei: mit tanultunk az egy \u00e9ves sebezhet\u0151s\u00e9g-ellen\u0151rz\u0151 statisztik\u00e1ib\u00f3l","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

K\u00f6r\u00fclbel\u00fcl egy \u00e9vvel ezel\u0151tt a DataLine ind\u00edtott szolg\u00e1ltat\u00e1s<\/a><\/noindex> az IT-alkalmaz\u00e1sok sebezhet\u0151s\u00e9geinek keres\u00e9s\u00e9re \u00e9s elemz\u00e9s\u00e9re. A szolg\u00e1ltat\u00e1s alapja a Qualys felh\u0151alap\u00fa megold\u00e1s, amelynek m\u0171k\u00f6d\u00e9s\u00e9r\u0151l m\u00e1r besz\u00e9lt\u00fcnk<\/a><\/noindex>. Az egy \u00e9vnyi m\u0171k\u00f6d\u00e9s alatt 291 vizsg\u00e1latot v\u00e9gezt\u00fcnk k\u00fcl\u00f6nb\u00f6z\u0151 weboldalak sz\u00e1m\u00e1ra, \u00e9s statisztik\u00e1t gy\u0171jt\u00f6tt\u00fcnk a webalkalmaz\u00e1sokban el\u0151fordul\u00f3 gyakori sebezhet\u0151s\u00e9gekr\u0151l.\u00a0<\/p>\n

Az al\u00e1bbi cikkben bemutatom, hogy milyen biztons\u00e1gi hi\u00e1nyoss\u00e1gok rejt\u0151znek a k\u00fcl\u00f6nb\u00f6z\u0151 kritikus szint\u0171 weboldalak m\u00f6g\u00f6tt. Megn\u00e9zz\u00fck, hogy a scanner milyen sebezhet\u0151s\u00e9geket tal\u00e1lt k\u00fcl\u00f6n\u00f6sen gyakran, mi\u00e9rt fordulhatnak el\u0151, \u00e9s hogyan v\u00e9dhetj\u00fck meg magunkat.\u00a0<\/p>\n

\"A
\n<\/a><\/noindex>
\nA Qualys az webalkalmaz\u00e1sok minden sebezhet\u0151s\u00e9g\u00e9t h\u00e1rom kritikai szintre osztja: alacsony, k\u00f6zepes \u00e9s magas. Ha a 's\u00falyoss\u00e1g' alapj\u00e1n n\u00e9zz\u00fck, \u00fagy t\u0171nik, hogy a helyzet nem olyan rossz. Magas kritikai szint\u0171 sebezhet\u0151s\u00e9gb\u0151l kev\u00e9s van, f\u0151k\u00e9nt minden nem kritikus:\u00a0<\/p>\n

\"A
\n
\nDe a nem kritikus nem jelenti azt, hogy \u00e1rtalmatlan. Ezek is komoly k\u00e1rt okozhatnak.\u00a0<\/p>\n

A leggyakoribb \u201enem kritikus\u201d sebezhet\u0151s\u00e9gek<\/h2>\n

<\/p>\n

    \n
  1. A kevert tartalomhoz kapcsol\u00f3d\u00f3 sebezhet\u0151s\u00e9gek.<\/b>\n

    A weboldalak biztons\u00e1g\u00e1nak szabv\u00e1nya a kliens \u00e9s a szerver k\u00f6z\u00f6tti adat\u00e1tvitel HTTPS protokollon kereszt\u00fcl, amely titkos\u00edt\u00e1st biztos\u00edt \u00e9s v\u00e9di az inform\u00e1ci\u00f3kat a lehallgat\u00e1st\u00f3l.\u00a0<\/p>\n

    N\u00e9h\u00e1ny weboldal kevert tartalmat<\/i>: az adatokat r\u00e9szben v\u00e9dtelen HTTP protokollon kereszt\u00fcl tov\u00e1bb\u00edtj\u00e1k. Gyakran \u00edgy tov\u00e1bb\u00edtanak passz\u00edv tartalmat<\/i> : az inform\u00e1ci\u00f3kat, amelyek csak a weboldal megjelen\u00edt\u00e9s\u00e9re hatnak: k\u00e9pek, css-st\u00edlusok. De n\u00e9ha akt\u00edv tartalmat is tov\u00e1bb\u00edtanak : a szkripteket, amelyek ir\u00e1ny\u00edtj\u00e1k a weboldal m\u0171k\u00f6d\u00e9s\u00e9t. Ebben az esetben speci\u00e1lis szoftver seg\u00edts\u00e9g\u00e9vel elemezheted a szervert\u0151l \u00e9rkez\u0151, akt\u00edv tartalommal rendelkez\u0151 inform\u00e1ci\u00f3t, m\u00f3dos\u00edthatod a v\u00e1laszokat val\u00f3s id\u0151ben, \u00e9s arra k\u00e9nyszer\u00edtheted a g\u00e9pet, hogy \u00fagy viselkedjen, ahogyan azt a k\u00e9sz\u00edt\u0151i nem sz\u00e1nt\u00e1k.<\/i>Az \u00faj verzi\u00f3s b\u00f6ng\u00e9sz\u0151k figyelmeztetik a felhaszn\u00e1l\u00f3kat, hogy a kevert tartalommal rendelkez\u0151 weboldalak nem biztons\u00e1gosak, \u00e9s blokkolj\u00e1k a tartalmat. A webfejleszt\u0151k szint\u00e9n figyelmeztet\u00e9seket kapnak a b\u00f6ng\u00e9sz\u0151t\u0151l a konzolon. P\u00e9ld\u00e1ul \u00edgy n\u00e9z ki ez\u00a0<\/p>\n

    Mi\u00e9rt vesz\u00e9lyes Firefox<\/a><\/noindex>:\u00a0<\/p>\n

    \"A
    \n
    \n: A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>a phishingt\u0151l c\u00e9lzott adathal\u00e1szat <\/i>\u2013 a bizalmas inform\u00e1ci\u00f3k csal\u00e1si m\u00f3dszerekkel val\u00f3 megszerz\u00e9se. P\u00e9ld\u00e1ul egy szkript seg\u00edts\u00e9g\u00e9vel a felhaszn\u00e1l\u00f3t egy olyan biztons\u00e1gtalan oldalra lehet \u00e1tir\u00e1ny\u00edtani, amely a felhaszn\u00e1l\u00f3 sz\u00e1m\u00e1ra ismer\u0151snek t\u0171nik. Egyes esetekben a rosszindulat\u00fa oldal m\u00e9g jobbnak is t\u0171nhet, mint az eredeti, \u00e9s a felhaszn\u00e1l\u00f3 saj\u00e1t mag\u00e1t\u00f3l kit\u00f6ltheti az \u0171rlapot, \u00e9s \u00e1tadhatja a bizalmas adatokat.\u00a0<\/p>\n

    Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: M\u00e9g ha a webhely adminisztr\u00e1tora telep\u00edtette \u00e9s be\u00e1ll\u00edtotta is az SSL\/TLS tan\u00fas\u00edtv\u00e1nyt, a s\u00e9r\u00fcl\u00e9kenys\u00e9g a hum\u00e1n t\u00e9nyez\u0151 miatt felmer\u00fclhet. P\u00e9ld\u00e1ul, ha a webhely egyes lapjain nem relat\u00edv linket haszn\u00e1ltak, hanem absolute-ot http-vel, \u00e9s emellett nem \u00e1ll\u00edtott\u00e1k be az \u00e1tir\u00e1ny\u00edt\u00e1st http-r\u0151l https-re.\u00a0<\/p>\n

    A vegyes tartalom \u00e9szlelhet\u0151 a webhelyen b\u00f6ng\u00e9sz\u0151 seg\u00edts\u00e9g\u00e9vel: a lap forr\u00e1sk\u00f3dj\u00e1ban keresve, valamint a fejleszt\u0151i konzolon megjelen\u0151 \u00e9rtes\u00edt\u00e9seket olvasva. Azonban a fejleszt\u0151nek hossz\u00fa \u00e9s f\u00e1rads\u00e1gos k\u00f3dol\u00e1sban kell r\u00e9szt vennie. A folyamatot felgyors\u00edthatj\u00e1k automatiz\u00e1lt elemz\u0151 eszk\u00f6z\u00f6kkel, p\u00e9ld\u00e1ul: SSL Check<\/a><\/noindex>, ingyenes Lighthouse szoftverrel vagy a fizet\u0151s Screaming Frog SEO Spider alkalmaz\u00e1ssal.<\/p>\n

    S\u00e9r\u00fcl\u00e9kenys\u00e9g l\u00e9phet fel \u00f6r\u00f6kl\u00f6tt k\u00f3d miatt is, azaz legacy-code miatt. P\u00e9ld\u00e1ul ha a lapok egy r\u00e9sze r\u00e9gi mint\u00e1t k\u00f6vet, amely nem veszi figyelembe a webhelyek HTTPS-re val\u00f3 \u00e1tt\u00e9r\u00e9s\u00e9t.\u00a0\u00a0\u00a0\u00a0\n<\/li>\n

  2. Keny\u00e9rs\u00fct\u0151 s\u00fctik HTTPOnly \u00e9s secure z\u00e1szl\u00f3 n\u00e9lk\u00fcl.<\/b>\n

    A HTTPOnly attrib\u00fatum megv\u00e9di a s\u00fctif\u00e1jlokat a rosszindulat\u00fa szkriptek \u00e1ltali feldolgoz\u00e1st\u00f3l, amelyeket a t\u00e1mad\u00f3k haszn\u00e1lnak a felhaszn\u00e1l\u00f3i adatok ellop\u00e1s\u00e1hoz. A secure z\u00e1szl\u00f3 megakad\u00e1lyozza a s\u00fctik ny\u00edlt k\u00fcld\u00e9s\u00e9t. Az adatok \u00e1tvitele csak akkor enged\u00e9lyezett, ha a s\u00fctik k\u00fcld\u00e9s\u00e9hez v\u00e9dett HTTPS protokolt haszn\u00e1lnak.\u00a0<\/p>\n

    Mindk\u00e9t attrib\u00fatum a s\u00fctik tulajdons\u00e1gaiban van megadva:<\/p>\n

    Set-Cookie: Secure; HttpOnly<\/code><\/pre>\n
    \n: A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: Ha a webhely fejleszt\u0151je nem adta meg ezeket az attrib\u00fatumokat, a t\u00e1mad\u00f3 megszerezheti a felhaszn\u00e1l\u00f3 inform\u00e1ci\u00f3it a s\u00fctib\u0151l, \u00e9s azt felhaszn\u00e1lhatja. Ha a s\u00fctik az azonos\u00edt\u00e1sra \u00e9s a hiteles\u00edt\u00e9sre szolg\u00e1lnak, ellophatja a felhaszn\u00e1l\u00f3i munkamenetet, \u00e9s a felhaszn\u00e1l\u00f3 nev\u00e9ben tev\u00e9kenykedhet a webhelyen.\u00a0<\/p>\n
    Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: \u00c1ltal\u00e1ban a n\u00e9pszer\u0171 keretrendszerekben ezeket az attrib\u00fatumokat automatikusan be\u00e1ll\u00edtj\u00e1k. De mindenk\u00e9pp ellen\u0151rizze a webszerver konfigur\u00e1ci\u00f3j\u00e1t, \u00e9s \u00e1ll\u00edtson be z\u00e1szl\u00f3t: Set-Cookie HttpOnly; Secure. <\/p>\n
    E k\u00f6zben a HTTPOnly attrib\u00fatum a s\u00fctiket l\u00e1thatatlann\u00e1 teszi a saj\u00e1t JavaScript k\u00f3dja el\u0151tt is.\u00a0\u00a0\n<\/li>\n
  3. Path-Based Vulnerabilities (\"\u00fatvonal\" s\u00e9r\u00fcl\u00e9kenys\u00e9gek).<\/b>\n
    A szkenner akkor jelenti ezt a sebezhet\u0151s\u00e9get, ha nyilv\u00e1nosan el\u00e9rhet\u0151 f\u00e1jlt vagy k\u00f6nyvt\u00e1rat tal\u00e1l az oldalon, amely potenci\u00e1lisan bizalmas inform\u00e1ci\u00f3kat tartalmaz. P\u00e9ld\u00e1ul felfedez k\u00fcl\u00f6n rendszerkonfigur\u00e1ci\u00f3s f\u00e1jlokat, vagy hozz\u00e1f\u00e9r a f\u00e1jlrendszerhez teljes eg\u00e9sz\u00e9ben. Ilyen helyzet akkor fordulhat el\u0151, ha az oldalon helytelen\u00fcl \u00e1ll\u00edtj\u00e1k be a hozz\u00e1f\u00e9r\u00e9si jogosults\u00e1gokat.<\/p>\n
    : A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: Ha a f\u00e1jlrendszer \"kib\u00fajik a k\u00fcls\u0151 vil\u00e1gra\", a t\u00e1mad\u00f3 behatolhat az oper\u00e1ci\u00f3s rendszer fel\u00fclet\u00e9re, \u00e9s megpr\u00f3b\u00e1lhat jelszavakat tartalmaz\u00f3 mapp\u00e1kat keresni, ha azok ny\u00edltan vannak t\u00e1rolva (ne csin\u00e1ld ezt!). Vagy ellophat\u00f3k a jelszavak hash-ei, \u00e9s azokat visszafejtheti a jelsz\u00f3 kital\u00e1l\u00e1s\u00e1hoz, valamint megpr\u00f3b\u00e1lhatja megemelni a jogosults\u00e1gokat a rendszerben \u00e9s tov\u00e1bbl\u00e9pni az infrastrukt\u00far\u00e1ban.\u00a0\u00a0<\/p>\n
    Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: Ne felejtsd el a hozz\u00e1f\u00e9r\u00e9si jogosults\u00e1gokat, \u00e9s konfigur\u00e1ld a platformot, a webszervert, a webalkalmaz\u00e1st \u00fagy, hogy ne lehessen \"kib\u00fajni\" a webk\u00f6nyvt\u00e1rb\u00f3l.\n<\/li>\n
  4. Olyan \u0171rlapok, amelyek bizalmas adatokat k\u00e9rnek, \u00e9s akt\u00edv az automatikus kit\u00f6lt\u00e9s funkci\u00f3.<\/b>\n
    Ha a felhaszn\u00e1l\u00f3 gyakran kit\u00f6lti az \u0171rlapokat az oldalakon, a b\u00f6ng\u00e9sz\u0151je elmenti ezeket az inform\u00e1ci\u00f3kat az automatikus kit\u00f6lt\u00e9s funkci\u00f3val.\u00a0<\/p>\n
    A weboldalakon tal\u00e1lhat\u00f3 \u0171rlapok tartalmazhatnak olyan mez\u0151ket, amelyek bizalmas inform\u00e1ci\u00f3kat, p\u00e9ld\u00e1ul jelszavakat vagy hitelk\u00e1rtyasz\u00e1mokat k\u00e9rnek. Ilyen mez\u0151k eset\u00e9n \u00e9rdemes az oldalon letiltani az automatikus kit\u00f6lt\u00e9s funkci\u00f3t.\u00a0<\/p>\n
    : A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: Ha a felhaszn\u00e1l\u00f3 b\u00f6ng\u00e9sz\u0151je elmenti a bizalmas inform\u00e1ci\u00f3kat, a t\u00e1mad\u00f3 k\u00e9s\u0151bb, p\u00e9ld\u00e1ul phishing \u00e1ltal k\u00e9pes lehet azokat megszerezni. L\u00e9nyeg\u00e9ben a webfejleszt\u0151, aki elfelejtette ezt a r\u00e9szletet, kiteszi a felhaszn\u00e1l\u00f3it.\u00a0<\/p>\n
    Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: Ilyen esetekben klasszikus konfliktus \u00e1ll fenn: k\u00e9nyelem vs. biztons\u00e1g. Ha a webfejleszt\u0151 figyelembe veszi a felhaszn\u00e1l\u00f3 k\u00e9nyelm\u00e9t, tudatosan v\u00e1laszthatja az automatikus kit\u00f6lt\u00e9st. P\u00e9ld\u00e1ul, ha fontos, hogy k\u00f6vesse Web Content Accessibility Guidelines<\/a><\/noindex> \u2013 az inform\u00e1ci\u00f3k hozz\u00e1f\u00e9rhet\u0151s\u00e9g\u00e9nek aj\u00e1nl\u00e1sai a fogyat\u00e9kkal \u00e9l\u0151 felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra.\u00a0<\/p>\n
    A legt\u00f6bb b\u00f6ng\u00e9sz\u0151ben az automatikus kit\u00f6lt\u00e9s letilt\u00e1sa az autocompete=\"off\" attrib\u00fatummal lehets\u00e9ges, p\u00e9ld\u00e1ul:<\/p>\n
    \u00a0<body>\n    <form action="\/hu\/form\/submit\/" method="get" autocomplete="off" data-trp-original-action="\/form\/submit">\n      <div>\n        <input type="text" placeholder="Keresztnév">\n      <\/div>\n      <div>\n        <input type="text" id="lname" placeholder="Vezetéknév" autocomplete="on">\n      <\/div>\n      <div>\n        <input type="number" placeholder="Hitelkártya szám">\n      <\/div>\n      <input type="submit">\n    <input type="hidden" name="trp-form-language" value="hu"\/><\/form>\n  <\/body><\/code><\/pre>\n
    \nDe a Chrome eset\u00e9ben ez nem fog m\u0171k\u00f6dni. Ezt JavaScript haszn\u00e1lat\u00e1val lehet megker\u00fclni, a recept egy v\u00e1ltozat\u00e1t itt tal\u00e1lhatod itt<\/a><\/noindex>.\u00a0\n<\/li>\n
  5. A weboldal k\u00f3dj\u00e1ban nincs megadva az X-Frame-Options fejl\u00e9c.\u00a0<\/b>\n
    Ez a c\u00edm befoly\u00e1solja a frame, iframe, embed vagy object tageket. Ezzel teljesen meg lehet akad\u00e1lyozni, hogy a webhely\u00e9t be\u00e1gyazz\u00e1k egy keretbe. Ehhez az X-Frame-Options: deny \u00e9rt\u00e9ket kell megadni. Vagy megadhatja az X-Frame-Options: sameorigin \u00e9rt\u00e9ket, amely lehet\u0151v\u00e9 teszi az iframe-be t\u00f6rt\u00e9n\u0151 be\u00e1gyaz\u00e1st csak az \u00d6n domainj\u00e9n.<\/p>\n
    : A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: Az ilyen fejl\u00e9c hi\u00e1ny\u00e1t rosszindulat\u00fa webhelyeken lehet felhaszn\u00e1lni a clickjacking<\/i>. Az ilyen t\u00e1mad\u00e1s sor\u00e1n a hacker egy \u00e1tl\u00e1tsz\u00f3 keretet hoz l\u00e9tre a gombok f\u00f6l\u00e9, megt\u00e9vesztve ezzel a felhaszn\u00e1l\u00f3t. P\u00e9ld\u00e1ul: a csal\u00f3k egy k\u00f6z\u00f6ss\u00e9gi m\u00e9dia oldal\u00e1t helyezik el a keretben a webhely\u00fck\u00f6n. A felhaszn\u00e1l\u00f3 azt hiszi, hogy az adott webhely gombj\u00e1ra kattint, de a kattint\u00e1s val\u00f3ban \u00e1t van ir\u00e1ny\u00edtva, \u00e9s egy k\u00e9r\u00e9st k\u00fcld a k\u00f6z\u00f6ss\u00e9gi oldalra, ahol akt\u00edv session van. \u00cdgy a csal\u00f3k spamet k\u00fcldenek a felhaszn\u00e1l\u00f3 nev\u00e9ben, vagy feln\u00f6velik a feliratkoz\u00f3kat \u00e9s l\u00e1jkokat.\u00a0<\/p>\n
    Ha nem tiltanak le egy ilyen lehet\u0151s\u00e9get, a hacker a j\u00f6v\u0151beli webhely\u00e9n a gombj\u00e1t helyezheti el. \u00c9rdekelt lehet az \u00d6n refer\u00e1l\u00f3 programj\u00e1ban vagy a felhaszn\u00e1l\u00f3iban.\u00a0\u00a0<\/p>\n
    Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: A sebezhet\u0151s\u00e9g akkor fordulhat el\u0151, ha a X-Frame-Options ellentmond\u00e1sos \u00e9rt\u00e9ke van megadva a webkiszolg\u00e1l\u00f3n vagy a terhel\u00e9seloszt\u00f3n. Ebben az esetben a kiszolg\u00e1l\u00f3 \u00e9s a terhel\u00e9seloszt\u00f3 egyszer\u0171en fel\u00fcl\u00edrja a fejl\u00e9ceket, mivel magasabb priorit\u00e1ssal rendelkeznek, mint a backend k\u00f3d.\u00a0\u00a0<\/p>\n
    A deny \u00e9s sameorigin \u00e9rt\u00e9kek megakad\u00e1lyozz\u00e1k a Yandex webvizora m\u0171k\u00f6d\u00e9s\u00e9t. Annak \u00e9rdek\u00e9ben, hogy lehet\u0151v\u00e9 tegye az iframe haszn\u00e1lat\u00e1t a webvizor sz\u00e1m\u00e1ra, k\u00fcl\u00f6n szab\u00e1lyt kell \u00edrnia a be\u00e1ll\u00edt\u00e1sokban. P\u00e9ld\u00e1ul, nginx eset\u00e9n \u00edgy \u00e1ll\u00edthat\u00f3 be:<\/p>\n
    http{\n...\n map $http_referer $frame_options {\n \"~webvisor.com\" \"ALLOW-FROM http:\/\/webvisor.com\";\n default \"SAMEORIGIN\";\n }\n add_header X-Frame-Options $frame_options;\n...\n}\n\n<\/code><\/pre>\n
    \n<\/li>\n
  6. PRSSI (Path-relative stylesheet import) sebezhet\u0151s\u00e9gek.\u00a0\u00a0<\/b>\n
    Ez egy sebezhet\u0151s\u00e9g a weboldal st\u00edlus\u00e1ban. A probl\u00e9ma akkor mer\u00fcl fel, ha a st\u00edlusf\u00e1jlokhoz relat\u00edv hivatkoz\u00e1sokat haszn\u00e1lnak, p\u00e9ld\u00e1ul href=\"\/somefolder\/styles.css\/\". A t\u00e1mad\u00f3 kihaszn\u00e1lhatja ezt, ha tal\u00e1l egy m\u00f3dot, hogy a felhaszn\u00e1l\u00f3t egy rosszindulat\u00fa oldalra ir\u00e1ny\u00edtsa. Az oldal a relat\u00edv hivatkoz\u00e1st az url-j\u00e9be illeszti, \u00e9s imit\u00e1lja a st\u00edlusokhoz val\u00f3 hozz\u00e1f\u00e9r\u00e9st. \u00cdgy egy k\u00e9r\u00e9s keletkezik, mint p\u00e9ld\u00e1ul badsite.ru\/...\/somefolder\/styles.css\/, amely a st\u00edlusok \u00e1lc\u00e1j\u00e1ban k\u00e1ros tev\u00e9kenys\u00e9geket hajthat v\u00e9gre.\u00a0<\/p>\n
    : A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: A csal\u00f3 kihaszn\u00e1lhatja ezt a sebezhet\u0151s\u00e9get, ha tal\u00e1l m\u00e9g egy biztons\u00e1gi r\u00e9st. Ennek eredm\u00e9nyek\u00e9nt pedig ellophatja a felhaszn\u00e1l\u00f3i adatokat a s\u00fctikb\u0151l vagy a tokenekb\u0151l.<\/p>\n
    Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: \u00c1ll\u00edtson be X-Content-Type-Options: nosniff fejl\u00e9cet. Ebben az esetben a b\u00f6ng\u00e9sz\u0151 ellen\u0151rzi a tartalom t\u00edpus\u00e1t a st\u00edlusokn\u00e1l. Ha a t\u00edpusa elt\u00e9r a text\/css-t\u0151l, a b\u00f6ng\u00e9sz\u0151 blokkolja a k\u00e9r\u00e9st.\n<\/li>\n<\/ol>\n
    <\/p>\n
    Kritikus sebezhet\u0151s\u00e9gek<\/h2>\n
    <\/p>\n
      \n
    1. A jelsz\u00f3mez\u0151t tartalmaz\u00f3 oldal nem biztons\u00e1gos csatorn\u00e1n kereszt\u00fcl \u00e9rkezik a szerverr\u0151l (HTML form containing password field(s) is served over HTTP).<\/b>\n
      A szerver v\u00e1lasza nem titkos\u00edtott csatorn\u00e1n sebezhet\u0151 a \u201eMan in the middle\u201d t\u00e1mad\u00e1sokkal szemben. A t\u00e1mad\u00f3 elfoghatja a forgalmat, \u00e9s bel\u00e9phet a kliens \u00e9s a szerver k\u00f6z\u00e9, amikor az oldal a szervert\u0151l a kliens fel\u00e9 halad.\u00a0<\/p>\n
      : A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: A csal\u00f3 \u00e1t tudja alak\u00edtani az oldalt, \u00e9s elk\u00fcldheti a felhaszn\u00e1l\u00f3nak egy \u0171rlapot bizalmas adatokr\u00f3l, amelyek a t\u00e1mad\u00f3 szerver\u00e9re ker\u00fclnek.\u00a0<\/p>\n
      Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: N\u00e9h\u00e1ny oldal a jelsz\u00f3 helyett egyszer haszn\u00e1latos k\u00f3dot k\u00fcld a felhaszn\u00e1l\u00f3knak e-mailben\/telefonon. Ebben az esetben a sebezhet\u0151s\u00e9g nem olyan kritikus, de a mechanizmus megnehez\u00edti a felhaszn\u00e1l\u00f3k \u00e9let\u00e9t.\n<\/li>\n
    2. A bejelentkez\u00e9si \u0171rlap nem biztons\u00e1gos csatorn\u00e1n kereszt\u00fcl ker\u00fcl elk\u00fcld\u00e9sre (Login Form Is Not Submitted Via HTTPS).<\/b>\n
      Ebben az esetben a felhaszn\u00e1l\u00f3 \u0171rlapja nem titkos\u00edtott csatorn\u00e1n kereszt\u00fcl ker\u00fcl a szerverre, amely tartalmazza a bejelentkez\u00e9si adatokat.<\/p>\n
      : A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: A kor\u00e1bbi esett\u0151l elt\u00e9r\u0151en ez m\u00e1r kritikus sebezhet\u0151s\u00e9g. A bizalmas adatok elfog\u00e1sa egyszer\u0171bb, hiszen ehhez m\u00e9g k\u00f3dot sem sz\u00fcks\u00e9ges \u00edrni.\u00a0\n<\/li>\n
    3. Ismert sebezhet\u0151s\u00e9gekkel rendelkez\u0151 JavaScript k\u00f6nyvt\u00e1rak haszn\u00e1lata.<\/b>\n
      A vizsg\u00e1lat sor\u00e1n a legelterjedtebb k\u00f6nyvt\u00e1rr\u00e1 a jQuery v\u00e1lt, amely sz sz\u00e9les verzi\u00f3sk\u00e1l\u00e1t \u00f6lel fel. Minden egyes verzi\u00f3ban legal\u00e1bb egy, de ak\u00e1r t\u00f6bb ismert sebezhet\u0151s\u00e9g is tal\u00e1lhat\u00f3. A hat\u00e1s v\u00e1ltoz\u00f3 lehet \u2013 a sebezhet\u0151s\u00e9g term\u00e9szet\u00e9t\u0151l f\u00fcgg.<\/p>\n
      : A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: Az ismert sebezhet\u0151s\u00e9gekre l\u00e9teznek kihaszn\u00e1l\u00e1si m\u00f3dszerek, p\u00e9ld\u00e1ul:<\/p>\n
      \"A
      \n
      \nAmire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: Rendszeresen t\u00e9rjen vissza a k\u00f6rforg\u00e1sra: ismert sebezhet\u0151s\u00e9gek keres\u00e9se \u2013 megsz\u00fcntet\u00e9s \u2013 ellen\u0151rz\u00e9s. Ha tudatosan haszn\u00e1l elavult k\u00f6nyvt\u00e1rakat, p\u00e9ld\u00e1ul r\u00e9gi b\u00f6ng\u00e9sz\u0151k t\u00e1mogat\u00e1sa vagy k\u00f6lts\u00e9gmegtakar\u00edt\u00e1s c\u00e9lj\u00e1b\u00f3l, keressen lehet\u0151s\u00e9get az ismert sebezhet\u0151s\u00e9g megsz\u00fcntet\u00e9s\u00e9re.\u00a0\n<\/li>\n
    4. Keresztoldali szkriptek (XSS).\u00a0<\/b>
      \nA Cross-Site Scripting (XSS), vagyis a k\u00f6ztes webhelyszkriptek, olyan t\u00e1mad\u00e1sok egy webalkalmaz\u00e1s ellen, amely sor\u00e1n a rosszindulat\u00fa k\u00f3d megjelenik az adatb\u00e1zisban. Ha a Qualys ilyen sebezhet\u0151s\u00e9get tal\u00e1l, akkor a potenci\u00e1lis t\u00e1mad\u00f3 be tudja illeszteni, vagy m\u00e1r be is illesztette a saj\u00e1t js-skriptj\u00e9t a webhely k\u00f3dj\u00e1ba a rosszindulat\u00fa tev\u00e9kenys\u00e9gek v\u00e9grehajt\u00e1s\u00e1hoz.<\/p>\n
      T\u00e1rolt XSS (Stored XSS)<\/b> sokkal vesz\u00e9lyesebb, mivel a k\u00f3d a szerveren ker\u00fcl beilleszt\u00e9sre, \u00e9s minden alkalommal v\u00e9grehajt\u00f3dik, amikor a t\u00e1madott oldalt a b\u00f6ng\u00e9sz\u0151 megnyitja.<\/p>\n
      Reflekt\u00e1lt XSS (Reflected XSS)<\/b> k\u00f6nnyebb v\u00e9grehajtani, mert a rosszindulat\u00fa skriptet be lehet illeszteni az HTTP-k\u00e9r\u00e9sbe. Az alkalmaz\u00e1s megkapja az HTTP-k\u00e9r\u00e9st, nem ellen\u0151rzi az adatokat, csomagolja \u0151ket, \u00e9s azonnal elk\u00fcldi. Ha a t\u00e1mad\u00f3 elfogja a forgalmat, \u00e9s beilleszti a k\u00f6vetkez\u0151 form\u00e1tum\u00fa skriptet: <\/p>\n
      \/*+valami+rossz+*\/ <\/code><\/pre>\n
      \nakkor a kliens nev\u00e9ben egy rosszindulat\u00fa k\u00e9rd\u00e9s t\u00e1vozik.<\/p>\n
      Kiv\u00e1l\u00f3 p\u00e9lda az XSS-re: js-snifferek, amelyek a CVC, a k\u00e1rtya lej\u00e1rati ideje \u00e9s hasonl\u00f3 dolgok megad\u00e1s\u00e1ra k\u00e9sz\u00fclt oldalakat imit\u00e1lnak.\u00a0<\/p>\n
      Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: A Content-Security-Policy fejl\u00e9cre haszn\u00e1lja a script-src attrib\u00fatumot, hogy a kliens b\u00f6ng\u00e9sz\u0151je csak megb\u00edzhat\u00f3 forr\u00e1sb\u00f3l t\u00f6lts\u00f6n le \u00e9s hajtson v\u00e9gre k\u00f3dot. P\u00e9ld\u00e1ul a script-src 'self' csak a saj\u00e1t webhely\u00fcnkr\u0151l sz\u00e1rmaz\u00f3 \u00f6sszes scriptet enged\u00e9lyez.\u00a0
      \nA legjobb gyakorlat az Inline k\u00f3d: enged\u00e9lyezze az inline javascriptet az unsafe-inline \u00e9rt\u00e9k haszn\u00e1lat\u00e1val. Ez az \u00e9rt\u00e9k lehet\u0151v\u00e9 teszi az inline js\/css haszn\u00e1lat\u00e1t, de nem tiltja a js-f\u00e1jlok bet\u00f6lt\u00e9s\u00e9t. A 'self' script-src kombin\u00e1l\u00e1s\u00e1val megakad\u00e1lyozzuk a k\u00fcls\u0151 szkriptek v\u00e9grehajt\u00e1s\u00e1t.<\/p>\n
      K\u00f6telez\u0151 minden m\u0171veletet napl\u00f3zni a report-uri seg\u00edts\u00e9g\u00e9vel, \u00e9s figyelni a weboldalra tett bevitel k\u00eds\u00e9rleteit.\n<\/li>\n
    5. SQL-injekci\u00f3k.<\/b>
      \nA sebezhet\u0151s\u00e9g lehet\u0151s\u00e9get ad SQL k\u00f3dok webhelyre t\u00f6rt\u00e9n\u0151 beilleszt\u00e9s\u00e9re, amelyek k\u00f6zvetlen\u00fcl a weboldal adatb\u00e1zis\u00e1hoz fordulnak. SQL-injekci\u00f3 akkor lehets\u00e9ges, ha a felhaszn\u00e1l\u00f3i adatok nincsenek escape-elve: nem ellen\u0151rzik a helyess\u00e9g\u00fcket, \u00e9s azonnal felhaszn\u00e1lj\u00e1k a k\u00e9rd\u00e9sben. P\u00e9ld\u00e1ul ez t\u00f6rt\u00e9nik, ha a weboldalon l\u00e9v\u0151 \u0171rlap nem ellen\u0151rzi az adatbevitelt az adat t\u00edpus\u00e1nak megfelel\u0151en.\u00a0<\/p>\n
      : A t\u00e1mad\u00f3k a v\u00e9dtelen protokollt haszn\u00e1lj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3k lehallgat\u00e1s\u00e1ra, a szkriptek manipul\u00e1l\u00e1s\u00e1ra, \u00e9s a weboldalon kereszt\u00fcl t\u00f6rt\u00e9n\u0151 k\u00e9r\u00e9sek elk\u00fcld\u00e9s\u00e9re annak nev\u00e9ben. M\u00e9g ha a weboldal l\u00e1togat\u00f3ja nem is adott meg adatokat, ez nem v\u00e9di meg \u0151t<\/b>: Ha a t\u00e1mad\u00f3 egy SQL-ilyet k\u00fcld be az \u0171rlapba, akkor megsemmis\u00edtheti az adatb\u00e1zist vagy titkos inform\u00e1ci\u00f3kat kaphat.\u00a0<\/p>\n
      Amire a webfejleszt\u0151nek \u00e9rdemes eml\u00e9keznie<\/b>: Ne b\u00edzzon meg abban, ami a b\u00f6ng\u00e9sz\u0151t\u0151l \u00e9rkezik. V\u00e9dekeznie kell az \u00fcgyf\u00e9l \u00e9s a szerver oldal\u00e1n egyar\u00e1nt.\u00a0<\/p>\n
      Az \u00fcgyf\u00e9l oldal\u00e1n k\u00e9sz\u00edtse el a mez\u0151k ellen\u0151rz\u00e9s\u00e9t JavaScript seg\u00edts\u00e9g\u00e9vel.\u00a0<\/p>\n
      A n\u00e9pszer\u0171 keretrendszerek be\u00e9p\u00edtett funkci\u00f3i szint\u00e9n seg\u00edtenek a gyan\u00fas karakterek kisz\u0171r\u00e9s\u00e9ben a szerveren. A szerveren \u00e9rdemes param\u00e9terezett adatb\u00e1zis-lek\u00e9rdez\u00e9seket is haszn\u00e1lni.<\/p>\n
      Hat\u00e1rozza meg, hogy pontosan hol t\u00f6rt\u00e9nik az interakci\u00f3 az adatb\u00e1zissal a webalkalmaz\u00e1sban.\u00a0<\/p>\n
      Az interakci\u00f3 akkor k\u00f6vetkezik be, amikor inform\u00e1ci\u00f3t kapunk: lek\u00e9rdez\u00e9s id-vel (id csere), \u00faj felhaszn\u00e1l\u00f3 l\u00e9trehoz\u00e1sa, \u00faj komment\u00e1r \u2013 \u00faj rekordok az adatb\u00e1zisban. Itt sql-injekci\u00f3k l\u00e9phetnek fel. M\u00e9g akkor is, ha elt\u00e1vol\u00edtunk egy rekordot az adatb\u00e1zisb\u00f3l, sql-injekci\u00f3 el\u0151fordulhat.\n<\/li>\n<\/ol>\n
      <\/p>\n
      \u00c1ltal\u00e1nos aj\u00e1nl\u00e1sok<\/h2>\n
      \nNe feltal\u00e1lja a kereket \u2013 haszn\u00e1lja a bev\u00e1lt keretrendszereket<\/b>. \u00c1ltal\u00e1ban a n\u00e9pszer\u0171 keretrendszerek biztons\u00e1gosabbak. .NET eset\u00e9n ezek az ASP.NET MVC \u00e9s ASP.NET Core, Python eset\u00e9n a Django vagy Flask, Ruby-ra a Ruby on Rails, PHP-ra a Symfony, Laravel, Yii, JavaScript-re a Node.JS-Express.js, Java-ra pedig a Spring MVC.<\/p>\n
      Figyelje a gy\u00e1rt\u00f3 friss\u00edt\u00e9seit, \u00e9s rendszeresen friss\u00edtse \u0151ket<\/b>. A sebezhet\u0151s\u00e9get felfedezik, majd exploitot \u00edrnak, nyilv\u00e1noss\u00e1gra hozz\u00e1k, \u00e9s minden \u00fajra kezd\u0151dik. Iratkozzon fel a gy\u00e1rt\u00f3 szoftver\u00e9nek stabil verzi\u00f3inak friss\u00edt\u00e9seire.<\/p>\n
      Ellen\u0151rizze a hozz\u00e1f\u00e9r\u00e9si jogokat<\/b>. A szerver oldal\u00e1r\u00f3l mindig \u00fagy tekintsen a k\u00f3dj\u00e1ra, mintha az eg\u00e9sz, az els\u0151t\u0151l az utols\u00f3 bet\u0171ig, a leggy\u0171l\u00f6ltebb ellens\u00e9ge \u00edrta volna, aki azt akarja, hogy a weboldala t\u00f6nkre menjen, \u00e9s a adatai integrit\u00e1sa megs\u00e9r\u00fclj\u00f6n. K\u00fcl\u00f6n\u00f6sen, hogy n\u00e9ha val\u00f3ban \u00edgy van.<\/p>\n
      Haszn\u00e1ljon kl\u00f3nokat, tesztel\u0151 k\u00f6rnyezetet, azt\u00e1n m\u00e1r csak a produkt\u00edvra<\/b>. Ez seg\u00edt elker\u00fclni a hib\u00e1kat \u00e9s mulaszt\u00e1sokat a produkt\u00edv k\u00f6rnyezetben: a produkt\u00edv k\u00f6rnyezet p\u00e9nzt hoz, a produkt\u00edv k\u00f6rnyezet le\u00e1ll\u00e1sa kritikus. Hozz\u00e1ad\u00e1skor, hiba jav\u00edt\u00e1sakor vagy probl\u00e9ma lez\u00e1r\u00e1sakor \u00e9rdemes munk\u00e1latokat v\u00e9gezni a tesztk\u00f6rnyezetben, majd ellen\u0151rizni a funkcionalit\u00e1st \u00e9s az \u00e9szlelt sebezhet\u0151s\u00e9geket, \u00e9s csak azt\u00e1n tervezni a munk\u00e1kat a produkt\u00edv k\u00f6rnyezetben.\u00a0<\/p>\n
      V\u00e9dje meg a webalkalmaz\u00e1st a k\u00f6vetkez\u0151kkel Web Application Firewall<\/a><\/noindex> \u00e9s integr\u00e1lja vele a sebezhet\u0151s\u00e9g-ellen\u0151rz\u0151 mint\u00e1kat<\/b>. P\u00e9ld\u00e1ul a DataLine-ban a szolg\u00e1ltat\u00e1sok \u00f6sszekapcsol\u00e1s\u00e1ra a Qualys \u00e9s FortiWeb haszn\u00e1latos.
      \n
      Forr\u00e1s:       habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
      \u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u043c\u044b \u0432 DataLine \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u0435\u0440\u0432\u0438\u0441 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0418\u0422-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445. \u0412 \u043e\u0441\u043d\u043e\u0432\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u2013 \u043e\u0431\u043b\u0430\u0447\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 Qualys, \u043f\u0440\u043e \u0440\u0430\u0431\u043e\u0442\u0443 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043c\u044b \u0443\u0436\u0435 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u043b\u0438. \u0417\u0430 \u0433\u043e\u0434 \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u0440\u0435\u0448\u0435\u043d\u0438\u0435\u043c \u043c\u044b \u043f\u0440\u043e\u0432\u0435\u043b\u0438 291 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u043b\u044f \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0430\u0439\u0442\u043e\u0432 \u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u043b\u0438 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u043c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c \u0432 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445.\u00a0 \u0412 \u0441\u0442\u0430\u0442\u044c\u0435 \u043d\u0438\u0436\u0435 \u044f \u043f\u043e\u043a\u0430\u0436\u0443, \u043a\u0430\u043a\u0438\u0435 \u0438\u043c\u0435\u043d\u043d\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":84185,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-84184","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47A weboldal biztons\u00e1g\u00e1nak hal\u00e1los b\u0171nei: amit az egy\u00e9ves sebezhet\u0151s\u00e9g-ellen\u0151rz\u0151 statisztik\u00e1ib\u00f3l tanultunk | ProHoster","description":"K\u00f6r\u00fclbel\u00fcl egy \u00e9vvel ezel\u0151tt a DataLine bevezette a sebezhet\u0151s\u00e9gek keres\u00e9s\u00e9re \u00e9s elemz\u00e9s\u00e9re szolg\u00e1l\u00f3 szolg\u00e1ltat\u00e1st az IT-alkalmaz\u00e1sokban.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u043c\u0435\u0440\u0442\u043d\u044b\u0435 \u0433\u0440\u0435\u0445\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0430\u0439\u0442\u0430: \u0447\u0442\u043e \u043c\u044b \u0443\u0437\u043d\u0430\u043b\u0438 \u0438\u0437 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0438 \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0437\u0430 \u0433\u043e\u0434 | ProHoster","og:description":"\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u043c\u044b \u0432 DataLine \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u0435\u0440\u0432\u0438\u0441 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0418\u0422-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-05T17:42:31+00:00","article:modified_time":"2020-06-05T17:42:31+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"84184","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:03:50","updated":"2022-09-30 12:56:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/84184","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=84184"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/84184\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/84185"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=84184"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=84184"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=84184"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}