{"id":84184,"date":"2020-06-05T19:42:31","date_gmt":"2020-06-05T17:42:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god"},"modified":"2020-06-05T19:42:31","modified_gmt":"2020-06-05T17:42:31","slug":"smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","title":{"rendered":"Smrtnimi grehi varnosti spletne strani: kaj smo izvedeli iz statistike skenerja ranljivosti v enem letu","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Pribli\u017eno pred letom dni smo v DataLine zagnali servis<\/a><\/noindex> storitev za iskanje in analizo ranljivosti v IT-aplikacijah. Temelji na obla\u010dni re\u0161itvi Qualys, o kateri smo \u017ee poro\u010dali<\/a><\/noindex>. V enem letu delovanja re\u0161itve smo izvedli 291 skeniranj za razli\u010dne spletne strani in zbrali statistiko o pogostih ranljivostih v spletnih aplikacijah.\u00a0<\/p>\n

V spodnjem \u010dlanku bom pokazal, katere varnostne luknje na spletnih mestih se skrivajo za razli\u010dnimi ravnmi kriti\u010dnosti. Poglejmo, katere ranljivosti je skener odkrival \u0161e posebej pogosto, zakaj se lahko pojavijo in kako se za\u0161\u010dititi.\u00a0<\/p>\n

\"Smrtnimi
\n<\/a><\/noindex>
\nVse ranljivosti spletnih aplikacij Qualys razdeli na tri ravni kriti\u010dnosti: nizka, srednja in visoka. \u010ce pogledamo porazdelitev po 'te\u017eavnosti', se zdi, da vse ni tako slabo. Ranljivosti z visoko stopnjo kriti\u010dnosti je malo, ve\u010dinoma so vse nekriti\u010dne:\u00a0<\/p>\n

\"Smrtnimi
\n
\nToda nekriti\u010dne ne pomenijo brezopasne. Tudi te lahko povzro\u010dijo resno \u0161kodo.\u00a0<\/p>\n

Najbolj pogoste 'nekriti\u010dne' ranljivosti<\/h2>\n

<\/p>\n

    \n
  1. Ranljivosti, povezane s me\u0161ano vsebino.<\/b>\n

    Standard varnosti spletnih strani predvideva prenos podatkov med klientom in stre\u017enikom po protokolu HTTPS, ki omogo\u010da \u0161ifriranje in \u0161\u010diti informacije pred prestrezanjem.\u00a0<\/p>\n

    Nekatere spletne strani uporabljajo me\u0161ano vsebino<\/i>: prena\u0161ajo del podatkov prek nezavarovanega protokola HTTP. Pogosto tako prena\u0161ajo pasivno vsebino<\/i> \u2013 informacije, ki vplivajo le na prikaz spletne strani: slike, css slogi. Toda v\u010dasih se tako prena\u0161a tudi aktivna vsebina<\/i>: skripti, ki upravljajo vedenje spletne strani. V tem primeru lahko s posebnim programjem analiziramo informacije, ki prihajajo od stre\u017enika z aktivno vsebino, spreminjamo odgovore v realnem \u010dasu in prisilimo napravo, da deluje tako, kot ni bilo zami\u0161ljeno s strani njenih ustvarjalcev.\u00a0<\/p>\n

    Brazorji novej\u0161ih razli\u010dic opozarjajo uporabnike, da so spletne strani z me\u0161ano vsebino nevarne, in blokirajo vsebino. Tudi razvijalci spletnih strani prejemajo opozorila od brskalnika v konzoli. Tako to izgleda v Firefox<\/a><\/noindex>:\u00a0<\/p>\n

    \"Smrtnimi
    \n
    \nKaj je nevarno<\/b>: Zlorabniki uporabljajo nezavarovan protokol za prestrezanje informacij o uporabniku, zamenjavo skript in po\u0161iljanje zahtevkov na spletno stran v njegovem imenu. Tudi \u010de obiskovalec spletne strani ni vnesel podatkov, ga to ne \u0161\u010diti pred phishingom <\/i>\u2013 izlu\u0161\u010danje ob\u010dutljivih informacij s prevarantskimi metodami. Na primer, z uporabo skripta lahko uporabnika preusmerite na nezavarovano spletno mesto, ki se prikazuje kot znano uporabniku. V nekaterih primerih lahko zlonamerno spletno mesto izgleda celo bolj\u0161e od izvirnika, uporabnik pa sam lahko izpolni obrazec in posreduje ob\u010dutljive podatke.\u00a0<\/p>\n

    Kaj mora vedeti spletni razvijalec<\/b>: Tudi \u010de je skrbnik spletne strani namestil in konfiguriral SSL\/TLS certifikat, lahko ranljivost nastane zaradi \u010dlove\u0161kega faktorja. Na primer, \u010de je na eni od strani postavljena absolutna povezava z http, namesto relativne, in dodatno niso nastavljeni preusmeritve z http na https.\u00a0<\/p>\n

    Z me\u0161animi vsebinami na spletni strani lahko odkrijemo s pomo\u010djo brskalnika: iskali bomo v izvorni kodi strani, brali obvestila v konzoli razvijalca. Kljub temu bo razvijalec moral dolgotrajno in mu\u010dno 'kopati' v kodi. Postopek lahko pospe\u0161ite z avtomatiziranimi analiti\u010dnimi orodji, kot so: SSL Check<\/a><\/noindex>, brezpla\u010dno orodje Lighthouse ali pla\u010dano programsko opremo Screaming Frog SEO Spider.<\/p>\n

    Tudi ranljivost lahko nastane zaradi te\u017eav s starim kodo \u2013 kodo, ki je podedovana. Na primer, \u010de se del strani generira po starem predlogu, kjer ni upo\u0161tevan prehod spletnih strani na https.\u00a0\u00a0\u00a0\u00a0\n<\/li>\n

  2. Pi\u0161kotki brez oznak \u201eHTTPOnly\u201c in \u201esecure\u201c.<\/b>\n

    Oznaka \u201eHTTPOnly\u201c \u0161\u010diti pi\u0161kotke pred obdelavo s skripti, ki jih zlonamerni igralci uporabljajo za krajo uporabni\u0161kih podatkov. Oznaka \u201esecure\u201c prepre\u010duje prenos pi\u0161kotkov v odprti obliki. Izmenjava podatkov bo dovoljena, le \u010de se pi\u0161kotki po\u0161iljajo preko varnega protokola HTTPS.\u00a0<\/p>\n

    Obe oznaki sta zapisana v lastnostih pi\u0161kotkov:<\/p>\n

    Set-Cookie: Secure; HttpOnly<\/code><\/pre>\n
    \nKaj je nevarno<\/b>: \u010ce razvijalec spletne strani teh oznak ni navedel, lahko zlonamerni igralec ujame uporabni\u0161ke informacije iz pi\u0161kotkov in jih izkoristi. \u010ce se pi\u0161kotki uporabljajo za avtentikacijo in avtorizacijo, lahko prevzame uporabni\u0161ko sejo in izvede dejanja na spletnem mestu v imenu uporabnika.\u00a0<\/p>\n
    Kaj mora vedeti spletni razvijalec<\/b>: Obi\u010dajno ti oznaki v priljubljenih okvirih nastavi avtomatsko. Vseeno pa preverite konfiguracijo spletnega stre\u017enika in nastavite oznako: Set-Cookie HttpOnly; Secure. <\/p>\n
    Oznaka \u201eHTTPOnly\u201c bo tudi naredila pi\u0161kotke nevidne za va\u0161 lasten JavaScript.\u00a0\u00a0\n<\/li>\n
  3. Ranljivosti na podlagi poti.<\/b>\n
    Skener prijavljuje ovu ranjivost kada prona\u0111e javno dostupnu datoteku ili direktorij veb sajta sa potencijalno poverljivim informacijama. Na primer, otkriva pojedina\u010dne datoteke sa konfiguracijom sistema ili pristup celoj datote\u010dnoj sistemu. Ova situacija mo\u017ee nastati ako su prava pristupa na sajtu pogre\u0161no postavljena.<\/p>\n
    Kaj je nevarno<\/b>: Ako je datote\u010dni sistem 'izlo\u017een napolje', napada\u010d mo\u017ee da pristupi interfejsu operativnog sistema i poku\u0161a da prona\u0111e fascikle sa lozinkama, ako se \u010duvaju u otvorenom obliku (nikako to ne radite!). Tako\u0111e, mo\u017ee ukrasti he\u0161irane lozinke i poku\u0161ati da pogodi lozinku, kao i da poku\u0161a da podigne privilegije u sistemu i napreduje duboko u infrastrukturu.\u00a0\u00a0<\/p>\n
    Kaj mora vedeti spletni razvijalec<\/b>: Ne zaboravite na prava pristupa i konfiguri\u0161ite platformu, veb server i veb aplikaciju tako da ne bude mogu\u0107e 'pobegnuti' iz veb direktorijuma.\n<\/li>\n
  4. Forme za unos poverljivih podataka sa uklju\u010denom funkcijom automatskog popunjavanja.<\/b>\n
    Ako korisnik \u010desto popunjava forme na veb sajtovima, njegov pregleda\u010d \u010duva ove informacije pomo\u0107u funkcije automatskog popunjavanja.\u00a0<\/p>\n
    Forme na veb sajtovima mogu uklju\u010divati polja sa poverljivim informacijama, na primer, lozinke ili brojeve kreditnih kartica. Za takva polja trebalo bi na samom sajtu onemogu\u0107iti funkciju automatskog popunjavanja forma.\u00a0<\/p>\n
    Kaj je nevarno<\/b>: Ako pregleda\u010d korisnika sa\u010duva poverljive informacije, napada\u010d ih mo\u017ee preuzeti kasnije, na primer, putem fi\u0161inga. U su\u0161tini, veb programer koji zaboravi na ovu nijansu postavlja svoje korisnike u rizik.\u00a0<\/p>\n
    Kaj mora vedeti spletni razvijalec<\/b>: U ovom slu\u010daju imamo klasi\u010dan sukob: udobnost vs bezbednost. Ako veb programer razmi\u0161lja o udobnosti korisnika, mo\u017ee svesno izabrati automatsko popunjavanje. Na primer, ako je va\u017eno da se prati Web Content Accessibility Guidelines<\/a><\/noindex> \u2013 smernice za dostupnost sadr\u017eaja za korisnike sa ograni\u010denim sposobnostima.\u00a0<\/p>\n
    Za ve\u0107inu pregleda\u010da, automatsko popunjavanje mo\u017ee se onemogu\u0107iti atributom autocomplete='off', na primer:<\/p>\n
    \u00a0<body>\n    <form action="\/sl\/form\/submit\/" method="get" autocomplete="off" data-trp-original-action="\/form\/submit">\n      <div>\n        <input type="text" placeholder="Ime">\n      <\/div>\n      <div>\n        <input type="text" id="lname" placeholder="Priimek" autocomplete="on">\n      <\/div>\n      <div>\n        <input type="number" placeholder="Številka kreditne kartice">\n      <\/div>\n      <input type="submit">\n    <input type="hidden" name="trp-form-language" value="sl"\/><\/form>\n  <\/body><\/code><\/pre>\n
    \nAli za Chrome to ne\u0107e funkcionisati. Ovo se zaobilazi pomo\u0107u JavaScript-a, a recept za re\u0161enje mo\u017eete prona\u0107i ovde<\/a><\/noindex>.\u00a0\n<\/li>\n
  5. U kodu sajta nije postavljen header X-Frame-Options.\u00a0<\/b>\n
    Ta naslov vpliva na oznake frame, iframe, embed ali object. Z njim lahko popolnoma prepoveste vgradnjo svoje spletne strani znotraj okvira. To lahko storite z navedbo vrednosti X-Frame-Options: deny. Lahko pa navedete X-Frame-Options: sameorigin, takrat bo vgradnja v iframe na voljo samo na va\u0161i domeni.<\/p>\n
    Kaj je nevarno<\/b>: Odsotnost takega naslova lahko izkoristijo zlonamerne spletne strani za klikd\u017eeking<\/i>. Pri tak\u0161ni napadi zlonamerne osebe ustvarijo prozoren okvir nad gumbi in pretentajo uporabnika. Na primer: goljufi postavijo v okvir stran s socialnimi omre\u017eji. Uporabnik misli, da kli\u010de na gumb na tej spletni strani. Namesto tega se klik ujame in po\u0161lje zahtevo uporabnika na socialno omre\u017eje, kjer ima aktivno sejo. Tako zlonamerne osebe \u0161irijo spam v imenu uporabnika ali pove\u010dujejo \u0161tevilo naro\u010dnikov in v\u0161e\u010dkov.\u00a0<\/p>\n
    \u010ce ne prepoveste te mo\u017enosti, lahko zlonamerna oseba postavi gumb va\u0161e aplikacije na zlonamerno spletno stran. Morda bo zainteresiran za va\u0161 referen\u010dni program ali za va\u0161e uporabnike.\u00a0\u00a0<\/p>\n
    Kaj mora vedeti spletni razvijalec<\/b>: Ranljivost se lahko pojavi, \u010de je na spletnem stre\u017eniku ali ravnote\u017eju obremenitve nastavljena X-Frame-Options z nasprotujo\u010do vrednostjo. V tem primeru stre\u017enik in ravnote\u017enik bremen postavita naslov znova, saj imata vi\u0161jo prioriteto v primerjavi s kodo backend dela.\u00a0\u00a0<\/p>\n
    Vrednosti deny in sameorigin naslova X-Frame-Options bodo ovirale delovanje spletnega vizorja Yandex. Da bi omogo\u010dili uporabo iframe za spletni vizor, je potrebno v nastavitvah napisati posebno pravilo. Na primer, za nginx lahko nastavite tako:<\/p>\n
    http{\n...\n\u00a0map $http_referer $frame_options {\n\u00a0"~webvisor.com" "ALLOW-FROM http:\/\/webvisor.com";\n\u00a0default "SAMEORIGIN";\n\u00a0}\n\u00a0add_header X-Frame-Options $frame_options;\n...\n}\n\n<\/code><\/pre>\n
    \n<\/li>\n
  6. Ranljivosti PRSSI (uvoz slogov, relativno glede na pot).\u00a0\u00a0<\/b>\n
    \u042d\u0442\u043e \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u0441\u0442\u0438\u043b\u044f\u0445 \u0441\u0430\u0439\u0442\u0430. \u041e\u043d\u0430 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442, \u0435\u0441\u043b\u0438 \u0434\u043b\u044f \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u044f \u043a \u0444\u0430\u0439\u043b\u0430\u043c \u0441\u0442\u0438\u043b\u0435\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442\u0441\u044f \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0435 \u0441\u0441\u044b\u043b\u043a\u0438 \u0432\u0438\u0434\u0430 href="\/somefolder\/styles.css\/". \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0432\u043e\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u044d\u0442\u0438\u043c, \u0435\u0441\u043b\u0438 \u043d\u0430\u0439\u0434\u0435\u0442 \u0441\u043f\u043e\u0441\u043e\u0431 \u043f\u0435\u0440\u0435\u0432\u0435\u0441\u0442\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u043d\u0430 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u0443\u044e \u0441\u0442\u0440\u0430\u043d\u0438\u0446\u0443. \u0421\u0442\u0440\u0430\u043d\u0438\u0446\u0430 \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0435\u043b\u044c\u043d\u0443\u044e \u0441\u0441\u044b\u043b\u043a\u0443 \u0432 \u0441\u0432\u043e\u0439 url \u0438 \u0438\u043c\u0438\u0442\u0438\u0440\u0443\u0435\u0442 \u043e\u0431\u0440\u0430\u0449\u0435\u043d\u0438\u0435 \u043a \u0441\u0442\u0438\u043b\u044f\u043c. \u041f\u043e\u043b\u0443\u0447\u0438\u0442\u0441\u044f \u0437\u0430\u043f\u0440\u043e\u0441 \u043d\u0430\u043f\u043e\u0434\u043e\u0431\u0438\u0435 badsite.ru\/…\/somefolder\/styles.css\/, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043f\u043e\u0434 \u0432\u0438\u0434\u043e\u043c \u0441\u0442\u0438\u043b\u044f \u043c\u043e\u0436\u0435\u0442 \u0441\u043e\u0432\u0435\u0440\u0448\u0430\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f.\u00a0<\/p>\n
    Kaj je nevarno<\/b>: Prevarant mo\u017ee iskoristiti ovu ranjivost ako prona\u0111e jo\u0161 jednu sigurnosnu rupu. Kao rezultat, tako se mogu ukrasti korisni\u010dki podaci iz kola\u010di\u0107a ili tokena.<\/p>\n
    Kaj mora vedeti spletni razvijalec<\/b>: Postavite zaglavlje X-Content-Type-Options: nosniff. U tom slu\u010daju, pregleda\u010d \u0107e proveriti tip sadr\u017eaja za stilove. Ako se tip razlikuje od text\/css, pregleda\u010d \u0107e blokirati zahtev.\n<\/li>\n<\/ol>\n
    <\/p>\n
    Kriti\u010dne ranjivosti<\/h2>\n
    <\/p>\n
      \n
    1. Stranica sa poljem za lozinku se prenosi sa servera preko neza\u0161ti\u0107enog kanala (HTML forma koja sadr\u017ei polje za lozinku se isporu\u010duje putem HTTP).<\/b>\n
      Odgovor sa servera preko ne\u0161ifrovanog kanala je ranjiv na napade tipa '\u010covek u sredini'. Napada\u010d mo\u017ee presresti saobra\u0107aj i ubaciti se izme\u0111u klijenta i servera dok stranica ide od servera do klijenta.\u00a0<\/p>\n
      Kaj je nevarno<\/b>: Prevarant mo\u017ee zameniti stranicu i poslati korisniku obrazac za poverljive podatke koji \u0107e oti\u0107i na server napada\u010da.\u00a0<\/p>\n
      Kaj mora vedeti spletni razvijalec<\/b>: Neki sajtovi umesto lozinke \u0161alju korisnicima jednokratni kod na e-mail\/telefon. U ovom slu\u010daju ranjivost nije tako kriti\u010dna, ali mehanizam \u0107e ote\u017eati \u017eivot korisnicima.\n<\/li>\n
    2. Slanje forme sa loginom i lozinkom preko neza\u0161ti\u0107enog kanala (Forma za prijavu nije poslata putem HTTPS-a).<\/b>\n
      U tom slu\u010daju, od korisnika se na server preko ne\u0161ifrovanog kanala \u0161alje forma sa loginom i lozinkom.<\/p>\n
      Kaj je nevarno<\/b>: Za razliku od prethodnog slu\u010daja, ovo je ve\u0107 kriti\u010dna ranjivost. Lak\u0161e je presresti poverljive podatke, jer ni ne treba pisati kod za to.\u00a0\n<\/li>\n
    3. Kori\u0161\u0107enje JavaScript biblioteka sa poznatim ranjivostima.<\/b>\n
      Tokom skeniranja, najvi\u0161e kori\u0161\u0107ena biblioteka postala je jQuery sa \u0161irokim spektrom verzija. U svakoj od verzija postoji barem jedna, a ponekad i vi\u0161e poznatih ranjivosti. Uticaj mo\u017ee biti raznolik \u2013 zavisi od prirode ranjivosti.<\/p>\n
      Kaj je nevarno<\/b>: Za poznate ranjivosti postoje eksploatacije, na primer:<\/p>\n
      \"Smrtnimi
      \n
      \nKaj mora vedeti spletni razvijalec<\/b>: Redovno se vra\u0107ajte u ciklus: pretraga poznatih ranjivosti \u2013 otklanjanje \u2013 provere. Ako svesno koristite zastarele biblioteke, na primer za podr\u0161ku starim pregleda\u010dima ili zbog u\u0161tede bud\u017eeta, tra\u017eite mogu\u0107nosti za otklanjanje poznate ranjivosti.\u00a0\n<\/li>\n
    4. Me\u0111uskriptski napadi (XSS).\u00a0<\/b>
      \nCross-Site Scripting (XSS), ali medsebojni skripti, so napadi na spletno aplikacijo, pri katerih se v bazi podatkov pojavi zlonamerna vsebina. \u010ce Qualys odkrije to ranljivost, to pomeni, da lahko potencialni napadalec v kodo spletne strani vnese svojo js-skripto za izvajanje zlonamernih dejanj.<\/p>\n
      Shranjeni XSS (Stored XSS)<\/b> so bolj nevarni, saj se skripta vnese na stre\u017eniku in se izvaja vsaki\u010d ob odprtju napadene strani v brskalniku.<\/p>\n
      Odsekani XSS (Reflected XSS)<\/b> je la\u017eje izvesti, saj lahko zlonamerna skripta vnese v HTTP-zahtevo. Aplikacija prejme HTTP-zahtevo, ne preveri podatkov, jih zapakira in takoj po\u0161lje. \u010ce napadalec prestre\u017ee promet in vnese skripto oblike <\/p>\n
      <script>\/*+\u0447\u0442\u043e+\u0442\u043e+\u043f\u043b\u043e\u0445\u043e\u0435+*\/<\/script> <\/code><\/pre>\n
      \nse bo od odjemalca od\u0161lo zlonamerno zahtevo.<\/p>\n
      Odstoten primer XSS: js-snifferji, ki posnemajo strani za vnos CVC, datuma veljavnosti kartice in podobno.\u00a0<\/p>\n
      Kaj mora vedeti spletni razvijalec<\/b>: \u0412 \u0437\u0430\u0433\u043e\u043b\u043e\u0432\u043a\u0435 Content-Security-Policy \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0439\u0442\u0435 \u0430\u0442\u0440\u0438\u0431\u0443\u0442 script-src, \u0447\u0442\u043e\u0431\u044b \u0431\u0440\u0430\u0443\u0437\u0435\u0440 \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u043b \u0438 \u0438\u0441\u043f\u043e\u043b\u043d\u044f\u043b \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043e\u0434 \u0441 \u0434\u043e\u0432\u0435\u0440\u0435\u043d\u043d\u043e\u0433\u043e \u0438\u0441\u0442\u043e\u0447\u043d\u0438\u043a\u0430. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, script-src ‘self’ \u0432\u043d\u043e\u0441\u0438\u0442 \u0432 \u0431\u0435\u043b\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a \u0432\u0441\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0441 \u043d\u0430\u0448\u0435\u0433\u043e \u0441\u0430\u0439\u0442\u0430.\u00a0
      \n\u041d\u0430\u0438\u043b\u0443\u0447\u0448\u0435\u0439 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u043e\u0439 \u0441\u0447\u0438\u0442\u0430\u0435\u0442\u0441\u044f Inline code: \u0440\u0430\u0437\u0440\u0435\u0448\u0438\u0442\u0435 \u0442\u043e\u043b\u044c\u043a\u043e inline javascript \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u044f unsafe-inline. \u0422\u0430\u043a\u043e\u0435 \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c inline js\/css, \u043d\u043e \u043d\u0435 \u0437\u0430\u043f\u0440\u0435\u0449\u0430\u0435\u0442 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0430\u0442\u044c js-\u0444\u0430\u0439\u043b\u044b. \u0412 \u043a\u043e\u043c\u0431\u0438\u043d\u0430\u0446\u0438\u0438 \u0441\u043e script-src ‘self’ \u043c\u044b \u0437\u0430\u043f\u0440\u0435\u0449\u0430\u0435\u043c \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0432\u043d\u0435\u0448\u043d\u0438\u0435 \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438.<\/p>\n
      Zagotovo bele\u017eite vse s pomo\u010djo report-uri in spremljajte poskuse vnosa na spletno stran.\n<\/li>\n
    5. SQL-injekcije.<\/b>
      \nRanljivost pomeni mo\u017enost vnosa SQL kode na spletno stran, ki se neposredno obra\u010da na bazo podatkov spletne strani. SQL-injekcija je mogo\u010da, \u010de se podatki od uporabnika ne izolirajo: se ne preverjajo za pravilnost in se takoj uporabijo v poizvedbi. Na primer, tako se zgodi, \u010de obrazec na spletni strani ne preveri skladnosti vnosa s tipom podatkov.\u00a0<\/p>\n
      Kaj je nevarno<\/b>: \u010ce napadalec vnese SQL-poizvedbo v tak obrazec, lahko uni\u010di bazo podatkov ali razkrije zaupne informacije.\u00a0<\/p>\n
      Kaj mora vedeti spletni razvijalec<\/b>: Ne zaupajte tistemu, kar prihaja iz brskalnika. Za\u0161\u010dititi se je treba tako na strani odjemalca kot na strani stre\u017enika.\u00a0<\/p>\n
      Na strani odjemalca napi\u0161ite preverjanje polj s pomo\u010djo JavaScript.\u00a0<\/p>\n
      Vgrajene funkcije v priljubljenih okvirih prav tako pomagajo pri skrivanju sumljivih znakov na stre\u017eniku. Na stre\u017eniku je prav tako priporo\u010dljivo uporabljati parametizirane poizvedbe za baze podatkov.<\/p>\n
      Dolo\u010dite, kje natan\u010dno prihaja do interakcije z bazo podatkov v spletnem predlogi.\u00a0<\/p>\n
      Interakcija nastane, ko pridobimo kakr\u0161ne koli informacije: poizvedba z id (sprememba id), ustvarjanje novega uporabnika, nov komentar \u2013 novi vnosi v bazo. Tukaj lahko pride do sql-injekcij. Tudi ko izbri\u0161emo vnos iz baze, je mo\u017ena sql-injekcija.\n<\/li>\n<\/ol>\n
      <\/p>\n
      Splo\u0161na priporo\u010dila<\/h2>\n
      \nNe izmi\u0161ljajte kolesa \u2013 uporabite preverjene okvire<\/b>. Na splo\u0161no so priljubljeni okviri bolj varni. Za .NET so to ASP.NET MVC in ASP.NET Core, za Python \u2013 Django ali Flask, za Ruby \u2013 Ruby on Rails, za PHP \u2013 Symfony, Laravel, Yii, za JavaScript \u2013 Node.JS - Express.js, za Java \u2013 Spring MVC.<\/p>\n
      Spremljajte posodobitve ponudnika in redno posodabljajte<\/b>. Ranljivost bodo na\u0161li, nato \u043d\u0430\u043f\u0438\u0441\u0430\u043b\u0438 \u044d\u043a\u0441\u043f\u043b\u043e\u0439\u0442, objavili v javnosti in vse se bo znova ponovilo. Naro\u010dite se na posodobitve do stabilnih razli\u010dic ponudnika programske opreme.<\/p>\n
      Preverite pravice dostopa<\/b>. S strani stre\u017enika vedno ravnajte s svojim kodo, kot da je vsa, od prve do zadnje \u010drke, napisana z roko va\u0161ega najhuj\u0161ega sovra\u017enika, ki \u017eeli uni\u010diti va\u0161o spletno mesto in kr\u0161iti celovitost va\u0161ih podatkov. \u0160e posebej, ker je v\u010dasih to res tako.<\/p>\n
      Uporabite klone, testne platforme in \u0161ele nato prenesite na produkcijo<\/b>. To bo pomagalo, najprej, da se izognete napakam in zameram v produktivnem okolju: produktivna okolja prina\u0161ajo denar, vsaka zaustavitev produktivnega okolja je kriti\u010dna. Pri dodajanju, popravljanju ali zapiranju kak\u0161ne te\u017eave je treba dela izvajati v testnem okolju, nato preveriti funkcionalnost in ugotovljene ranljivosti ter \u0161ele nato na\u010drtovati dela v produktivnem okolju.\u00a0<\/p>\n
      Za\u0161\u010ditite spletno aplikacijo s pomo\u010djo Web Application Firewall<\/a><\/noindex> in integrirajte z njim poro\u010dila od skenerja ranljivosti<\/b>. Na primer, pri DataLine uporabljamo Qualys in FortiWeb kot povezavo storitev.
      \n
      Izvor:       habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
      \u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u043c\u044b \u0432 DataLine \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u0435\u0440\u0432\u0438\u0441 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0418\u0422-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445. \u0412 \u043e\u0441\u043d\u043e\u0432\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u2013 \u043e\u0431\u043b\u0430\u0447\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 Qualys, \u043f\u0440\u043e \u0440\u0430\u0431\u043e\u0442\u0443 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043c\u044b \u0443\u0436\u0435 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u043b\u0438. \u0417\u0430 \u0433\u043e\u0434 \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u0440\u0435\u0448\u0435\u043d\u0438\u0435\u043c \u043c\u044b \u043f\u0440\u043e\u0432\u0435\u043b\u0438 291 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u043b\u044f \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0430\u0439\u0442\u043e\u0432 \u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u043b\u0438 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u043c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c \u0432 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445.\u00a0 \u0412 \u0441\u0442\u0430\u0442\u044c\u0435 \u043d\u0438\u0436\u0435 \u044f \u043f\u043e\u043a\u0430\u0436\u0443, \u043a\u0430\u043a\u0438\u0435 \u0438\u043c\u0435\u043d\u043d\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":84185,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-84184","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Smrtni grehi varnosti spletne strani: kaj smo izvedeli iz statistike skenerja ranljivosti v letu | ProHoster","description":"Pred pribli\u017eno enim letom smo pri DataLine zagnali storitev za iskanje in analizo ranljivosti v IT aplikacijah.","canonical_url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sl_SI","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u043c\u0435\u0440\u0442\u043d\u044b\u0435 \u0433\u0440\u0435\u0445\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0430\u0439\u0442\u0430: \u0447\u0442\u043e \u043c\u044b \u0443\u0437\u043d\u0430\u043b\u0438 \u0438\u0437 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0438 \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0437\u0430 \u0433\u043e\u0434 | ProHoster","og:description":"\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u043c\u044b \u0432 DataLine \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u0435\u0440\u0432\u0438\u0441 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0418\u0422-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445.","og:url":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-05T17:42:31+00:00","article:modified_time":"2020-06-05T17:42:31+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"84184","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:03:50","updated":"2022-09-30 12:56:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/84184","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/comments?post=84184"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/posts\/84184\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media\/84185"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/media?parent=84184"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/categories?post=84184"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sl\/wp-json\/wp\/v2\/tags?post=84184"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}