شاوخوا یو کال دمخه ، موږ په ډیټا لاین کې پیل کړ د معلوماتي ټیکنالوژۍ په غوښتنلیکونو کې د زیانونو لټون او تحلیل کول. خدمت د Qualys کلاوډ حل پراساس دی ، د کوم عملیات په اړه . د حل سره د کار کولو د یو کال په جریان کې، موږ د مختلفو سایټونو لپاره 291 سکینونه ترسره کړل او په ویب غوښتنلیکونو کې د عام زیانونو په اړه احصایې راټولې کړې.
په لاندې مقاله کې زه به تاسو ته وښیم چې د ویب پاڼې امنیت کې کوم سوري د انتقاد مختلف کچو ترشا پټ دي. راځئ وګورو چې سکینر کوم زیانونه په ځانګړي ډول ډیری وختونه موندلي ، ولې ممکن پیښ شي ، او څنګه خپل ځان خوندي کړئ.
Qualys د ویب غوښتنلیک ټول زیانمننې د انتقاد په دریو کچو ویشي: ټیټ، متوسط او لوړ. که تاسو د "شدت" لخوا ویش ته وګورئ، داسې ښکاري چې هرڅه دومره خراب ندي. د لوړې کچې انتقاد سره لږ زیانونه شتون لري، ډیری یې غیر مهم دي:
خو بې ضرره مانا نه لري. دوی کولی شي جدي زیان هم رامینځته کړي.
لوړ "غیر مهم" زیان منونکي
- د مخلوط منځپانګې زیانمننې.
د ویب پاڼې امنیت لپاره معیار د HTTPS پروتوکول له لارې د پیرودونکي او سرور ترمنځ د معلوماتو لیږد دی، کوم چې د کوډ کولو ملاتړ کوي او معلومات د مداخلې څخه ساتي.
ځینې سایټونه کاروي مخلوط مواد: ځینې معلومات د ناامنه HTTP پروتوکول له لارې لیږدول کیږي. په دې توګه دا ډیری وختونه لیږدول کیږي غیر فعال مواد - هغه معلومات چې یوازې د سایټ په ښودلو اغیزه کوي: عکسونه، سی ایس ایس سټایلونه. مګر ځینې وختونه دا څنګه لیږدول کیږي فعال مواد: سکریپټونه چې د سایټ چلند کنټرولوي. پدې حالت کې، د ځانګړي سافټویر په کارولو سره، تاسو کولی شئ د سرور څخه د فعال منځپانګې سره معلومات تحلیل کړئ، په الوتنه کې خپل ځوابونه تعدیل کړئ او ماشین په داسې طریقه کار وکړئ چې د جوړونکو لخوا یې هدف نه و.
د براوزرونو نوې نسخې کاروونکو ته خبرداری ورکوي چې د مخلوط مینځپانګې سره سایټونه غیر خوندي دي او مینځپانګه بندوي. د ویب پاڼې پراختیا کونکي هم په کنسول کې د براوزر اخطارونه ترلاسه کوي. د مثال په توګه، دا څنګه ښکاري :
ولې خطرناک دی؟: برید کوونکي د کارونکي د معلوماتو د مخنیوي، سکریپټونو بدلولو او د هغه په استازیتوب سایټ ته د غوښتنې لیږلو لپاره یو ناامنه پروتوکول کاروي. حتی که چیرې د سایټ لیدونکي ډیټا نه وي داخل کړي، دا د هغه څخه ساتنه نه کوي فشینګ - د جعلي میتودونو په کارولو سره د محرم معلوماتو ترلاسه کول. د مثال په توګه، د سکریپټ په کارولو سره، تاسو کولی شئ کاروونکي یو ناامنه سایټ ته واستوئ چې د کارونکي لپاره د پیژندل شوي یو په توګه ماسک کوي. په ځینو مواردو کې، ناوړه سایټ د اصلي څخه حتی ښه ښکاري، او کاروونکي کولی شي پخپله فورمه ډکه کړي او محرم معلومات وسپاري.هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: حتی که د سایټ مدیر د SSL/TLS سند نصب او ترتیب کړی وي، د بشري تېروتنې له امله زیانمن کیدی شي. د مثال په توګه، که تاسو په یوه پاڼه کې یو اړونده لینک نه وي، مګر د http څخه یو مطلق لینک، او سربیره پردې تاسو د http څخه https ته لارښوونې ندي ترتیب کړي.
تاسو کولی شئ د براوزر په کارولو سره په سایټ کې مخلوط مینځپانګه ومومئ: د پاڼې سرچینې کوډ وپلټئ ، د پراختیا کونکي کنسول کې خبرتیاوې ولولئ. په هرصورت، پراختیا کونکی باید د اوږدې مودې او ستړیا سره د کوډ سره ټینکر وکړي. تاسو کولی شئ د اتوماتیک تحلیلي وسیلو سره پروسه ګړندۍ کړئ، د بیلګې په توګه: , وړیا Lighthouse سافټویر یا تادیه شوي سافټویر Screaming Frog SEO Spider.
همدارنګه، زیانمنتیا ممکن د میراثي کوډ - کوډ سره د ستونزو له امله رامینځته شي چې په میراث کې ورکړل شوی. د مثال په توګه، که ځینې پاڼې د زاړه ټیمپلیټ په کارولو سره رامینځته کیږي، کوم چې د سایټونو لیږد https ته په پام کې نه نیسي.
- کوکیز پرته له "HTTPOnly" او "خوندي" بیرغونو څخه.
د "HTTPOnly" خاصیت کوکیز د سکریپټونو لخوا پروسس کیدو څخه ساتي چې برید کونکي د کارونکي ډیټا غلا کولو لپاره کاروي. "خوندي" بیرغ کوکیز ته اجازه نه ورکوي چې په روښانه متن کې واستول شي. مخابراتو ته به یوازې اجازه ورکړل شي که چیرې خوندي HTTPS پروتوکول د کوکیز لیږلو لپاره کارول کیږي.
دواړه صفات د کوکي په ملکیتونو کې مشخص شوي دي:
Set-Cookie: Secure; HttpOnlyولې خطرناک دی؟: که چیرې د سایټ پراختیا کونکي دا ځانګړتیاوې مشخصې نه کړي، برید کوونکی کولی شي د کوکي څخه د کارونکي معلومات مداخله وکړي او ګټه پورته کړي. که چیرې کوکیز د تصدیق او اختیار لپاره کارول کیږي، نو هغه به وکولی شي د کارونکي سیشن هک کړي او د هغه په واسطه په سایټ کې عملونه ترسره کړي.
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: د یوې قاعدې په توګه، په مشهور چوکاټونو کې دا ځانګړتیاوې په اتوماتيک ډول تنظیم شوي. مګر بیا هم د ویب سرور ترتیب چیک کړئ او بیرغ ترتیب کړئ: Set-Cookie HttpOnly؛ خوندي.
په دې حالت کې، د "HTTPOnly" خاصیت به کوکیز ستاسو په خپل جاوا سکریپټ کې پټ کړي.
- د لارې پر بنسټ زیانمننې.
سکینر د داسې زیان په اړه راپور ورکوي که چیرې دا په عامه توګه د لاسرسي وړ فایل یا د ویب پاڼې لارښود د احتمالي محرم معلوماتو سره ومومي. د مثال په توګه، دا د انفرادي سیسټم ترتیب کولو فایلونه یا ټول فایل سیسټم ته لاسرسی کشفوي. دا حالت ممکن دی که چیرې د لاسرسي حقونه په سایټ کې په غلط ډول تنظیم شوي وي.
ولې خطرناک دی؟: که چیرې د فایل سیسټم "پټ شي"، برید کوونکی کولی شي د عملیاتي سیسټم انٹرفیس ته راشي او هڅه وکړي چې د پاسورډونو سره فولډرونه ومومي که چیرې دوی په روښانه متن کې زیرمه شوي وي (دا کار مه کوئ!). یا تاسو کولی شئ د پټنوم هشونه غلا کړئ او پټنوم ځواکمن کړئ، او همدارنګه هڅه وکړئ چې په سیسټم کې امتیازات لوړ کړئ او زیربنا ته ژور حرکت وکړئ.
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: د لاسرسي حقونو په اړه مه هېروئ او پلیټ فارم ، ویب سرور ، ویب غوښتنلیک تنظیم کړئ ترڅو د ویب لارښود څخه "تېښته" ناممکنه وي.
- د حساس ډیټا د ننوتلو فورمې د اتومات ډکولو سره فعال شوي.
که چیرې یو کاروونکي په مکرر ډول په ویب پاڼو کې فورمې ډکوي، د دوی براوزر دا معلومات د اتوماتیک ډکولو ځانګړتیا په کارولو سره ذخیره کوي.
په ویب پاڼو کې فارمونه ممکن د حساس معلوماتو سره ساحې شاملې وي، لکه پاسورډونه یا د کریډیټ کارت شمیرې. د داسې ساحو لپاره، دا پخپله په سایټ کې د فارم اتوماتیک فنکشن غیر فعالولو ارزښت لري.
ولې خطرناک دی؟: که چیرې د کارونکي براوزر حساس معلومات ذخیره کړي، برید کوونکی کولی شي وروسته یې مداخله وکړي، د بیلګې په توګه د فشینګ له لارې. په اصل کې، یو ویب پراختیا کونکی چې د دې ناورین په اړه هیر شوی دی خپل کاروونکي تنظیموي.
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: په دې حالت کې، موږ یو کلاسیک شخړه لرو: اسانتیا او امنیت. که یو ویب جوړونکی د کاروونکي تجربې په اړه فکر کوي، نو هغه کولی شي په شعوري توګه اتوماتیک انتخاب غوره کړي. د مثال په توګه، که دا مهمه ده چې تعقیب شي - د معلولیت لرونکو کاروونکو لپاره مینځپانګې ته د لاسرسي لپاره وړاندیزونه.
د ډیرو براوزرونو لپاره، تاسو کولی شئ د autocompete="off" خاصیت سره د اتوماتیک بشپړ کول غیر فعال کړئ، د بیلګې په توګه:
<body> <form action="/ps/form/submit" method="get" autocomplete="off"> <div> <input type="text" placeholder="First Name"> </div> <div> <input type="text" id="lname" placeholder="Last Name" autocomplete="on"> </div> <div> <input type="number" placeholder="Credit card number"> </div> <input type="submit"> </form> </body>مګر دا به د کروم لپاره کار ونکړي. دا د جاواسکریپټ په کارولو سره مخنیوی شوی، د ترکیب یو ډول موندل کیدی شي .
- د X-Frame-Options سرلیک د سایټ کوډ کې ندی ټاکل شوی.
دا سرلیک چوکاټ، iframe، ایمبیډ، یا د اعتراض ټاګ اغیزه کوي. د دې په مرسته، تاسو کولی شئ په بشپړ ډول د چوکاټ دننه ستاسو سایټ سرایت منع کړئ. د دې کولو لپاره، تاسو اړتیا لرئ د X-Frame-Options ارزښت مشخص کړئ: انکار. یا تاسو کولی شئ د X-Frame-Options مشخص کړئ: sameorigin، بیا په iframe کې ځای پرځای کول به یوازې ستاسو په ډومین کې شتون ولري.
ولې خطرناک دی؟: د داسې سرلیک نشتوالی په ناوړه سایټونو کې کارول کیدی شي کلک جیک کول. د دې برید لپاره، برید کوونکی د بټونو په سر کې یو شفاف چوکاټ جوړوي او کاروونکي چالان کوي. د مثال په توګه: سکیمر په ویب پاڼه کې د ټولنیزو شبکو پاڼې چوکاټ کوي. کاروونکي فکر کوي چې هغه په دې سایټ کې یو تڼۍ کلیک کوي. پرځای یې ، کلیک مداخله کیږي او د کارونکي غوښتنه ټولنیز شبکې ته لیږل کیږي چیرې چې فعاله ناسته شتون لري. دا څنګه برید کونکي د کارونکي په استازیتوب سپیم لیږي یا پیرودونکي او خوښونه ترلاسه کوي.
که تاسو دا خصوصیت غیر فعال نه کړئ، یو برید کونکی کولی شي ستاسو د غوښتنلیک تڼۍ په ناوړه سایټ کې ځای پرځای کړي. هغه ممکن ستاسو د راجع کولو برنامې یا ستاسو کاروونکو سره علاقه ولري.
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: زیانمنتیا ممکن واقع شي که چیرې د X-Frame-اختیارونه د متضاد ارزښت سره په ویب سرور یا د بار بیلنسر کې تنظیم شوي وي. په دې حالت کې، سرور او بیلانسر به په ساده ډول سرلیک بیا ولیکئ، ځکه چې دوی د بیک انډ کوډ په پرتله لوړ لومړیتوب لري.
د X-Frame-Options سرلیک رد او ورته اصلي ارزښتونه به د Yandex ویب لیدونکي په عملیاتو کې مداخله وکړي. د ویب لیدونکي لپاره د iframes کارولو ته اجازه ورکولو لپاره، تاسو اړتیا لرئ په ترتیباتو کې جلا قواعد ولیکئ. د مثال په توګه، د nginx لپاره تاسو کولی شئ دا د دې په څیر تنظیم کړئ:
http{ ... map $http_referer $frame_options { "~webvisor.com" "ALLOW-FROM http://webvisor.com"; default "SAMEORIGIN"; } add_header X-Frame-Options $frame_options; ... } - PRSSI (د لارې اړوند سټایل شیټ واردول) زیانونه.
دا د سایټ په سټایل کې یو زیان منونکی دی. دا واقع کیږي که اړونده لینکونه لکه href="/ps/somefolder/styles.css/" د سټایل فایلونو ته د لاسرسي لپاره کارول کیږي. یو برید کونکی به له دې څخه ګټه پورته کړي که دوی د کارونکي ناوړه پا pageې ته د لیږلو لاره ومومي. پاڼه به په خپل یو آر ایل کې یو اړونده لینک داخل کړي او د سټایل کال انډول کړي. تاسو به یوه غوښتنه ترلاسه کړئ لکه badsite.ru/…/somefolder/styles.css/، کوم چې کولی شي د سټایل په څیر ناوړه عملونه ترسره کړي.
ولې خطرناک دی؟: یو جعل کونکی کولی شي له دې زیان څخه ګټه پورته کړي که دوی بل امنیتي سوری ومومي. د پایلې په توګه، دا ممکنه ده چې د کوکیز یا ټوکنونو څخه د کاروونکي ډیټا غلا کړئ.
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: د X-Content-Type-options سرلیک دې ته وټاکئ: nosniff. په دې حالت کې، براوزر به د سټایلونو لپاره د مینځپانګې ډول وګوري. که ډول د متن/css پرته بل وي، براوزر به غوښتنه بنده کړي.
جدي زیانونه
- یوه پاڼه چې د پټنوم ساحه لري له سرور څخه د ناامنه چینل له لارې لیږدول کیږي (HTML فارم چې د پټنوم ساحه لري په HTTP کې خدمت کیږي).
د سرور څخه ځواب د نه کوډ شوي چینل په اړه د "مین په مینځ کې" بریدونو ته زیان منونکی دی. برید کوونکی کولی شي ټرافيک ودروي او د پیرودونکي او سرور تر مینځ ځان وصل کړي ځکه چې پاڼه له سرور څخه پیرودونکي ته سفر کوي.
ولې خطرناک دی؟: درغلي کوونکی به وکولای شي چې پاڼه بدله کړي او کارونکي ته به د محرمو معلوماتو لپاره یوه فورمه واستوي، چې د برید کوونکي سرور ته به ځي.
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: ځینې سایټونه کاروونکو ته د پاسورډ پرځای د بریښنالیک/تلیفون له لارې یو ځل کوډ لیږي. په دې حالت کې، زیانمنونکي دومره مهم ندي، مګر میکانیزم به د کاروونکو ژوند پیچلی کړي.
- په ناامنه چینل کې د ننوتلو او پټنوم سره د فورمې لیږل (د ننوتلو فورمه د HTTPS له لارې نه سپارل کیږي).
پدې حالت کې ، د ننوتلو او پټنوم سره یوه فورمه د کارونکي څخه سرور ته د نه کوډ شوي چینل له لارې لیږل کیږي.
ولې خطرناک دی؟: د پخوانۍ قضیې په څیر، دا دمخه یو مهم زیان منونکی دی. د حساسو معلوماتو مداخله اسانه ده ځکه چې تاسو حتی د دې کولو لپاره کوډ لیکلو ته اړتیا نلرئ.
- د پیژندل شوي زیانونو سره د جاواسکریپټ کتابتونونو کارول.
د سکین په جریان کې، ترټولو کارول شوی کتابتون د پراخ شمیر نسخو سره jQuery و. هره نسخه لږترلږه یو یا حتی ډیر پیژندل شوي زیان منونکي لري. اغیزه کیدای شي د زیان مننې نوعیت پورې اړه ولري خورا توپیر لري.
ولې خطرناک دی؟: د پېژندل شویو زیانونو لپاره ګټې شتون لري، د بیلګې په توګه:
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: په منظمه توګه دوره ته راستنیدل: د پیژندل شوي زیانونو لټون - حل کول - چک. که تاسو په عمدي توګه میراثي کتابتونونه کاروئ، د بیلګې په توګه د زړو براوزرونو مالتړ لپاره یا د پیسو خوندي کولو لپاره، د پیژندل شوي زیانمننې د حل کولو فرصت په لټه کې شئ. - د کراس سایټ سکریپټینګ (XSS).
د کراس سایټ سکریپټینګ (XSS)، یا کراس سایټ سکریپټینګ، په ویب غوښتنلیک باندې برید دی چې په پایله کې مالویر ډیټابیس ته معرفي کیږي. که Qualys داسې زیانمنونکي ومومي، دا پدې مانا ده چې یو احتمالي برید کوونکی کولی شي یا دمخه د خپل js سکریپټ د سایټ کوډ ته معرفي کړي ترڅو ناوړه عملونه ترسره کړي.ذخیره شوی XSS ډیر خطرناک، ځکه چې سکریپټ په سرور کې ځای پرځای شوی او هرکله چې برید شوی پاڼه په براوزر کې پرانستل کیږي اجرا کیږي.
منعکس شوی XSS ترسره کول اسانه دي ځکه چې یو ناوړه سکریپټ د HTTP غوښتنې ته داخل کیدی شي. غوښتنلیک به د HTTP غوښتنه ترلاسه کړي، ډاټا به تایید نه کړي، دا به بسته کړي، او سمدلاسه یې واستوي. که یو برید کونکی ترافیک مداخله وکړي او یو سکریپټ داخل کړي لکه
<script>/*+что+то+плохое+*/</script>بیا به د پیرودونکي په استازیتوب ناوړه غوښتنه واستول شي.
د XSS یوه زړه راښکونکې بیلګه: js sniffers چې د CVC د ننوتلو لپاره پاڼې، د کارت د ختمیدو نیټه، او داسې نور جوړوي.
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: د منځپانګې - امنیت - پالیسي سرلیک کې، د سکریپټ - src خاصیت وکاروئ ترڅو د پیرودونکي براوزر مجبور کړي چې یوازې د باوري سرچینې څخه کوډ ډاونلوډ او اجرا کړي. د مثال په توګه، سکریپټ-src 'self' یوازې زموږ د سایټ څخه ټول سکریپټونه سپین لیست کوي.
غوره عمل د انلاین کوډ دی: یوازې د غیر محفوظ انلاین ارزښت په کارولو سره انلاین جاوا سکریپټ ته اجازه ورکړئ. دا ارزښت د انلاین js/css کارولو ته اجازه ورکوي، مګر د js فایلونو شاملول منع نه کوي. د سکریپټ - src 'self' سره په ترکیب کې موږ بهرني سکریپټونه د اجرا کیدو څخه غیر فعال کوو.ډاډ ترلاسه کړئ چې هرڅه د راپور-uri په کارولو سره لاګ کړئ او په سایټ کې یې د پلي کولو هڅې وګورئ.
- SQL انجیکشنونه.
زیانمنتیا په ویب پاڼه کې د SQL کوډ داخلولو احتمال په ګوته کوي چې د ویب پاڼې ډیټابیس ته مستقیم لاسرسی لري. د ایس کیو ایل انجیکشن ممکن دی که چیرې د کارونکي ډاټا سکرین نه وي: دا د سموالي لپاره ندي چک شوي او سمدلاسه په پوښتنه کې کارول کیږي. د مثال په توګه، دا پیښیږي که چیرې په ویب پاڼه کې یوه فورمه ونه ګوري چې آیا د معلوماتو ډول سره سمون لري.ولې خطرناک دی؟: که یو بریدګر دې فورمې ته د SQL پوښتنې ته ننوځي، هغه کولی شي ډیټابیس خراب کړي یا محرم معلومات ښکاره کړي.
هغه څه چې د ویب پراختیا کونکي باید په یاد ولري: په هغه څه باور مه کوئ چې له براوزر څخه راځي. تاسو اړتیا لرئ خپل ځان د پیرودونکي اړخ او سرور اړخ کې وساتئ.
د پیرودونکي اړخ کې، د جاواسکریپټ په کارولو سره د ساحې تایید ولیکئ.
په مشهور چوکاټونو کې جوړ شوي افعال هم په سرور کې د شکمنو کرکټرونو څخه تیښته کې مرسته کوي. دا هم سپارښتنه کیږي چې په سرور کې د پیرامیټریز ډیټابیس پوښتنو څخه کار واخلئ.
معلومه کړئ چې د ډیټابیس سره دقیق تعامل په ویب غوښتنلیک کې چیرته ترسره کیږي.
متقابل عمل هغه وخت رامینځته کیږي کله چې موږ کوم معلومات ترلاسه کوو: د id سره غوښتنه (د ID بدلول) ، د نوي کارونکي رامینځته کول ، نوې تبصره ، یا په ډیټابیس کې نوې ننوتل. دا هغه ځای دی چې د SQL انجیکشنونه واقع کیدی شي. حتی که موږ د ډیټابیس څخه ریکارډ حذف کړو، د SQL انجیکشن ممکن دی.
عمومي وړاندیزونه
څرخ بیا نه ایجاد کړئ - ثابت چوکاټونه وکاروئ. د یوې قاعدې په توګه، مشهور چوکاټونه ډیر خوندي دي. د .NET - ASP.NET MVC او ASP.NET کور لپاره، د Python - Django یا Flask لپاره، Ruby - Ruby on Rails، د PHP لپاره - Symfony، Laravel، Yii، د JavaScript لپاره - Node.JS-Express.js، د جاوا لپاره - د پسرلي MVC.
د پلورونکي تازه معلومات تعقیب کړئ او په منظم ډول تازه کړئ. دوی به یو زیانمنونکي ومومي، بیا به یې استثمار ولیکي، په عامه توګه به یې چمتو کړي، او هرڅه به بیا پیښ شي. د سافټویر پلورونکي څخه مستحکم نسخو ته تازه معلوماتو کې ګډون وکړئ.
اجازې چیک کړئ. د سرور اړخ کې، تل خپل کوډ داسې چلند وکړئ لکه څنګه چې دا، له لومړي څخه تر وروستي لیک پورې، ستاسو د خورا کرکه دښمن لخوا لیکل شوی، څوک چې غواړي ستاسو سایټ مات کړي، ستاسو د معلوماتو بشپړتیا سرغړونه کوي. سربیره پردې، ځینې وختونه دا ریښتیا دي.
کلونونه وکاروئ، د ازموینې سایټونه، او بیا یې د تولید لپاره وکاروئ. دا به مرسته وکړي، لومړی، په تولیدي چاپیریال کې د غلطیو او غلطیو مخه ونیسي: یو تولیدي چاپیریال پیسې راوړي، یو ساده تولیدي چاپیریال مهم دی. کله چې کومه ستونزه اضافه کول ، حل کول یا بندول ، دا د ازموینې چاپیریال کې د کار کولو ارزښت لري ، بیا د موندل شوي فعالیت او زیان مننې معاینه کول ، او بیا د تولید چاپیریال سره د کار کولو پلان کول.
ستاسو د ویب غوښتنلیک سره خوندي کړئ او د دې سره د زیان مننې سکینر څخه راپورونه یوځای کړئ. د مثال په توګه، ډیټا لاین Qualys او FortiWeb د خدماتو بنډل په توګه کاروي.
سرچینه: www.habr.com