{"id":84184,"date":"2020-06-05T19:42:31","date_gmt":"2020-06-05T17:42:31","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god"},"modified":"2020-06-05T19:42:31","modified_gmt":"2020-06-05T17:42:31","slug":"smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","title":{"rendered":"D\u00f6dssynder i webbplatsens s\u00e4kerhet: vad vi har l\u00e4rt oss fr\u00e5n statistiken fr\u00e5n s\u00e5rbarhetsskannern under \u00e5ret","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

F\u00f6r ungef\u00e4r ett \u00e5r sedan lanserade vi p\u00e5 DataLine tj\u00e4nst<\/a><\/noindex> en tj\u00e4nst f\u00f6r att s\u00f6ka och analysera s\u00e5rbarheter i IT-applikationer. Grunden f\u00f6r tj\u00e4nsten \u00e4r den molnbaserade l\u00f6sningen Qualys, vars funktioner vi redan har ber\u00e4ttat om<\/a><\/noindex>. Under ett \u00e5rs arbete med l\u00f6sningen har vi genomf\u00f6rt 291 skanningar f\u00f6r olika webbplatser och samlat statistik \u00f6ver vanliga s\u00e5rbarheter i webbapplikationer.\u00a0<\/p>\n

I artikeln nedan visar jag vilka specifika s\u00e4kerhetsluckor som d\u00f6ljer sig bakom olika kritikalitetsniv\u00e5er. L\u00e5t oss titta p\u00e5 vilka s\u00e5rbarheter skannern lyckades uppt\u00e4cka s\u00e4rskilt ofta, varf\u00f6r de kan uppst\u00e5 och hur man kan skydda sig.\u00a0<\/p>\n

\"D\u00f6dssynder
\n<\/a><\/noindex>
\nQualys delar in alla s\u00e5rbarheter i webbapplikationer i tre kritikalitetsniv\u00e5er: l\u00e5g, medel och h\u00f6g. Om man ser p\u00e5 f\u00f6rdelningen efter \"sv\u00e5righetsgrad\" ser det inte s\u00e5 illa ut. Det finns f\u00e5 s\u00e5rbarheter med h\u00f6g kritikalitet, de flesta \u00e4r icke-kritiska:\u00a0<\/p>\n

\"D\u00f6dssynder
\n
\nMen icke-kritiska betyder inte ofarliga. De kan ocks\u00e5 orsaka allvarlig skada.\u00a0<\/p>\n

Topp icke-kritiska s\u00e5rbarheter<\/h2>\n

<\/p>\n

    \n
  1. S\u00e5rbarheter kopplade till blandat inneh\u00e5ll.<\/b>\n

    En s\u00e4kerhetsstandard f\u00f6r webbplatser \u00e4r att \u00f6verf\u00f6ra data mellan klient och server via protokollet HTTPS, som m\u00f6jligg\u00f6r kryptering och skyddar informationen fr\u00e5n att bli avlyssnad.\u00a0<\/p>\n

    Vissa webbplatser anv\u00e4nder blandat inneh\u00e5ll<\/i>: de \u00f6verf\u00f6r en del data \u00f6ver det oskyddade protokollet HTTP. Vanligtvis \u00f6verf\u00f6rs passivt inneh\u00e5ll<\/i> \u2013 information som endast p\u00e5verkar webbplatsens visning: bilder, CSS-stilar. Men ibland \u00f6verf\u00f6rs \u00e4ven aktivt inneh\u00e5ll<\/i>: skript som styr webbplatsens beteende. I det h\u00e4r fallet kan man med hj\u00e4lp av speciell programvara analysera information som kommer fr\u00e5n servern med aktivt inneh\u00e5ll, modifiera sina svar i realtid och f\u00e5 systemet att fungera p\u00e5 ett s\u00e4tt som inte var avsett av dess skapare.\u00a0<\/p>\n

    Webbl\u00e4sare i nya versioner varnar anv\u00e4ndare f\u00f6r att webbplatser med blandat inneh\u00e5ll \u00e4r os\u00e4kra och blockerar inneh\u00e5ll. Webbplatsutvecklare f\u00e5r ocks\u00e5 varningar fr\u00e5n webbl\u00e4saren i konsolen. S\u00e5 h\u00e4r ser det ut i Firefox<\/a><\/noindex>:\u00a0<\/p>\n

    \"D\u00f6dssynder
    \n
    \nVad \u00e4r faran<\/b>: Brottslingar utnyttjar det oskyddade protokollet f\u00f6r att avlyssna anv\u00e4ndarinformation, byta ut skript och skicka f\u00f6rfr\u00e5gningar till webbplatsen i dess namn. \u00c4ven om bes\u00f6karen p\u00e5 webbplatsen inte har angett n\u00e5gra uppgifter skyddar det inte mot fiske <\/i>\u2013 att samla in konfidentiell information genom bedr\u00e4gliga metoder. Till exempel, med hj\u00e4lp av ett skript kan man omdirigera anv\u00e4ndaren till en os\u00e4ker webbplats som maskerar sig som en bekant. I vissa fall kan den skadliga webbplatsen se till och med b\u00e4ttre ut \u00e4n originalet, och anv\u00e4ndaren kan sj\u00e4lv fylla i formul\u00e4ret och \u00f6verl\u00e4mna k\u00e4nsliga uppgifter.\u00a0<\/p>\n

    Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: \u00c4ven om webbplatsens administrat\u00f6r har installerat och konfigurerat SSL\/TLS-certifikatet kan s\u00e5rbarheter uppst\u00e5 p\u00e5 grund av m\u00e4nskliga faktorer. Om en av sidorna har angett en absolut l\u00e4nk med http ist\u00e4llet f\u00f6r en relativ, och om vidare ingen omdirigering fr\u00e5n http till https har konfigurerats.\u00a0<\/p>\n

    F\u00f6r att uppt\u00e4cka blandat inneh\u00e5ll p\u00e5 webbplatsen kan man anv\u00e4nda webbl\u00e4saren: leta genom sidans k\u00e4llkod, l\u00e4sa meddelanden i utvecklarkonsolen. Men utvecklaren kommer att beh\u00f6va gr\u00e4va djupt i koden. Processen kan p\u00e5skyndas med automatiserade analysverktyg, till exempel: SSL Check<\/a><\/noindex>, gratisprogrammet Lighthouse eller den betalda programvaran Screaming Frog SEO Spider.<\/p>\n

    S\u00e5rbarhet kan ocks\u00e5 uppst\u00e5 p\u00e5 grund av problem med legacy-kod \u2013 kod som har \u00e4rvts. Till exempel, om en del av sidorna genereras av en gammal mall d\u00e4r \u00f6verg\u00e5ngen till https inte beaktas.\u00a0\u00a0\u00a0\u00a0\n<\/li>\n

  2. Cookies utan flaggorna \"HTTPOnly\" och \"secure\".<\/b>\n

    Attributet \"HTTPOnly\" skyddar cookies fr\u00e5n att behandlas av skript som angripare anv\u00e4nder f\u00f6r att stj\u00e4la anv\u00e4ndardata. Flaggan \"secure\" till\u00e5ter inte \u00f6verf\u00f6ring av cookies i klartext. Datautbytet till\u00e5ts endast om s\u00e4krad protokoll HTTPS anv\u00e4nds f\u00f6r att skicka cookies.\u00a0<\/p>\n

    B\u00e5da attributen anges i cookie-egenskaper:<\/p>\n

    Set-Cookie: Secure; HttpOnly<\/code><\/pre>\n
    \nVad \u00e4r faran<\/b>: Om webbplatsens utvecklare inte angav dessa attribut kan angriparen snappa upp anv\u00e4ndarinformation fr\u00e5n cookies och anv\u00e4nda den. Om cookies anv\u00e4nds f\u00f6r autentisering och auktorisering kan hen ta \u00f6ver anv\u00e4ndarens session och utf\u00f6ra \u00e5tg\u00e4rder p\u00e5 webbplatsen i dennes namn.\u00a0<\/p>\n
    Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: I popul\u00e4ra ramverk anges dessa attribut vanligtvis automatiskt. Men kontrollera alltid webbserverns konfiguration och st\u00e4ll in flaggan: Set-Cookie HttpOnly; Secure. <\/p>\n
    Observera att attributet \"HTTPOnly\" g\u00f6r cookies osynliga \u00e4ven f\u00f6r din egen JavaScript.\u00a0\u00a0\n<\/li>\n
  3. Path-Based Vulnerabilities (\"v\u00e4gbaserade\" s\u00e5rbarheter).<\/b>\n
    Skannern rapporterar om en s\u00e5rbarhet n\u00e4r den hittar en offentligt tillg\u00e4nglig fil eller katalog p\u00e5 webbplatsen med potentiellt konfidentiell information. Till exempel uppt\u00e4ckta enskilda filer med systemkonfiguration eller \u00e5tkomst till hela filsystemet. Denna situation kan uppst\u00e5 om \u00e5tkomstr\u00e4ttigheterna p\u00e5 webbplatsen \u00e4r felaktigt inst\u00e4llda.<\/p>\n
    Vad \u00e4r faran<\/b>: Om filsystemet \"syns ut\u00e5t\" kan en angripare f\u00e5 tillg\u00e5ng till operativsystemets gr\u00e4nssnitt och f\u00f6rs\u00f6ka hitta mappar med l\u00f6senord om de lagras i klartext (g\u00f6r inte s\u00e5!). Alternativt kan de stj\u00e4la hash-koder f\u00f6r l\u00f6senord och f\u00f6rs\u00f6ka gissa l\u00f6senordet, samt f\u00f6rs\u00f6ka h\u00f6ja sina privilegier i systemet och avancera djupare in i infrastrukturen.\u00a0\u00a0<\/p>\n
    Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: Gl\u00f6m inte \u00e5tkomstr\u00e4ttigheterna och konfigurera plattformen, webbservern och webbapplikationen s\u00e5 att ingen kan \"fly\" fr\u00e5n webbkatalogen.\n<\/li>\n
  4. Formul\u00e4r f\u00f6r att ange konfidentiell information med aktiverad autofyllfunktion.<\/b>\n
    Om en anv\u00e4ndare ofta fyller i formul\u00e4r p\u00e5 webbplatser sparar deras webbl\u00e4sare denna information med autofyllfunktionen.\u00a0<\/p>\n
    Formul\u00e4r p\u00e5 webbplatser kan inkludera f\u00e4lt med konfidentiell information, till exempel l\u00f6senord eller kreditkortsnummer. F\u00f6r s\u00e5dana f\u00e4lt b\u00f6r autofyllfunktionen inaktiveras p\u00e5 webbplatsen.\u00a0<\/p>\n
    Vad \u00e4r faran<\/b>: Om anv\u00e4ndarens webbl\u00e4sare sparar konfidentiell information kan en angripare f\u00e5nga upp den senare, till exempel genom phishing. I grund och botten uts\u00e4tter webbdesignern, som gl\u00f6mmer detta detalj, sina anv\u00e4ndare.\u00a0<\/p>\n
    Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: I detta fall har vi en klassisk konflikt: bekv\u00e4mlighet vs s\u00e4kerhet. Om webbdesignern prioriterar anv\u00e4ndarkomfort kan de medvetet v\u00e4lja autofyllning. Till exempel, om det \u00e4r viktigt att f\u00f6lja Web Content Accessibility Guidelines<\/a><\/noindex> \u2013 riktlinjer f\u00f6r tillg\u00e4nglighet av inneh\u00e5ll f\u00f6r anv\u00e4ndare med funktionsneds\u00e4ttningar.\u00a0<\/p>\n
    F\u00f6r de flesta webbl\u00e4sare kan autofyll inaktiveras med attributet autocompete=\"off\", till exempel:<\/p>\n
    \u00a0<body>\n    <form action="\/sv\/form\/submit\/" method="get" autocomplete="off" data-trp-original-action="\/form\/submit">\n      <div>\n        <input type="text" placeholder="Förnamn">\n      <\/div>\n      <div>\n        <input type="text" id="lname" placeholder="Efternamn" autocomplete="on">\n      <\/div>\n      <div>\n        <input type="number" placeholder="Kreditkortsnummer">\n      <\/div>\n      <input type="submit">\n    <input type="hidden" name="trp-form-language" value="sv"\/><\/form>\n  <\/body><\/code><\/pre>\n
    \nMen f\u00f6r Chrome fungerar det inte. Detta kringg\u00e5s med hj\u00e4lp av JavaScript, en variant av receptet kan hittas h\u00e4r<\/a><\/noindex>.\u00a0\n<\/li>\n
  5. I webbplatsens kod \u00e4r X-Frame-Options-rubriken inte angiven.\u00a0<\/b>\n
    Denna rubrik p\u00e5verkar taggar som frame, iframe, embed eller object. Genom att anv\u00e4nda den kan du helt f\u00f6rbjuda inb\u00e4ddning av din webbplats i ett ramverk. F\u00f6r detta m\u00e5ste du ange v\u00e4rdet X-Frame-Options: deny. Alternativt kan du ange X-Frame-Options: sameorigin, vilket g\u00f6r inb\u00e4ddning i iframe tillg\u00e4nglig endast p\u00e5 din egen dom\u00e4n.<\/p>\n
    Vad \u00e4r faran<\/b>: Avsaknaden av denna rubrik kan anv\u00e4ndas p\u00e5 skadliga webbplatser f\u00f6r clickjacking<\/i>. F\u00f6r denna attack skapar angriparen en genomskinlig ram ovanf\u00f6r knappar och lurar anv\u00e4ndaren. Till exempel placerar bedragare en ram f\u00f6r en sida med sociala medier. Anv\u00e4ndaren tror att de klickar p\u00e5 en knapp p\u00e5 denna webbplats. Ist\u00e4llet f\u00e5ngas klicket och skickar en beg\u00e4ran fr\u00e5n anv\u00e4ndaren till sociala medier d\u00e4r det finns en aktiv session. P\u00e5 s\u00e5 s\u00e4tt skickar angriparna skr\u00e4ppost i anv\u00e4ndarens namn eller manipulerar prenumeranter och gilla-markeringar.\u00a0<\/p>\n
    Om denna m\u00f6jlighet inte f\u00f6rhindras kan angriparen placera en knapp f\u00f6r din applikation p\u00e5 en skadlig webbplats. Hen kan vara intresserad av ditt referralsprogram eller dina anv\u00e4ndare.\u00a0\u00a0<\/p>\n
    Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: En s\u00e5rbarhet kan uppst\u00e5 om X-Frame-Options med ett konfliktv\u00e4rde anges p\u00e5 webbservern eller lastbalanseraren. I detta fall kommer servern och lastbalanseraren helt enkelt att \u00e5sidos\u00e4tta rubriken, eftersom de har h\u00f6gre prioritet \u00e4n koden f\u00f6r backend-delen.\u00a0\u00a0<\/p>\n
    V\u00e4rdena deny och sameorigin f\u00f6r X-Frame-Options-rubriken kommer att st\u00f6ra webvisorens funktioner fr\u00e5n Yandex. F\u00f6r att till\u00e5ta anv\u00e4ndning av iframe f\u00f6r webvisor m\u00e5ste du skriva en separat regel i inst\u00e4llningarna. Till exempel kan det f\u00f6r nginx konfigureras s\u00e5 h\u00e4r:<\/p>\n
    http{\n...\n map $http_referer $frame_options {\n \"~webvisor.com\" \"ALLOW-FROM http:\/\/webvisor.com\";\n default \"SAMEORIGIN\";\n }\n add_header X-Frame-Options $frame_options;\n...\n}\n\n<\/code><\/pre>\n
    \n<\/li>\n
  6. S\u00e5rbarheter PRSSI (Path-relative stylesheet import).\u00a0\u00a0<\/b>\n
    Det h\u00e4r \u00e4r en s\u00e5rbarhet i webbplatsens stilar. Den uppst\u00e5r om relativa l\u00e4nkar som href=\"\/somefolder\/styles.css\/\" anv\u00e4nds f\u00f6r att referera till stilfiler. En angripare kan utnyttja detta om de hittar ett s\u00e4tt att leda anv\u00e4ndaren till en skadlig sida. Sidan kan infoga en relativ l\u00e4nk i sin URL och imitera en beg\u00e4ran om stilar. Det resulterande beg\u00e4ran skulle se ut som badsite.ru\/...\/somefolder\/styles.css\/, vilken kan utf\u00f6ra skadliga \u00e5tg\u00e4rder under f\u00f6respeglingen av stil.\u00a0<\/p>\n
    Vad \u00e4r faran<\/b>: En bedragare kan utnyttja denna s\u00e5rbarhet om de hittar en annan s\u00e4kerhetslucka. Som ett resultat kan anv\u00e4ndardata fr\u00e5n cookies eller tokens stj\u00e4las.<\/p>\n
    Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: S\u00e4tt rubriken X-Content-Type-Options: nosniff. I s\u00e5 fall kommer webbl\u00e4saren att kontrollera inneh\u00e5llstypen f\u00f6r stilar. Om typen skiljer sig fr\u00e5n text\/css kommer webbl\u00e4saren att blockera beg\u00e4ran.\n<\/li>\n<\/ol>\n
    <\/p>\n
    Kritiska s\u00e5rbarheter<\/h2>\n
    <\/p>\n
      \n
    1. Sidan med f\u00e4lt f\u00f6r l\u00f6senord \u00f6verf\u00f6rs fr\u00e5n servern via en os\u00e4ker kanal (HTML-formul\u00e4r med l\u00f6senordsf\u00e4lt \u00f6verf\u00f6rs via HTTP).<\/b>\n
      Svaret fr\u00e5n servern \u00f6ver en okrypterad kanal \u00e4r s\u00e5rbart f\u00f6r man-in-the-middle-attacker. En angripare kan f\u00e5nga upp trafiken och klippa in sig mellan klienten och servern n\u00e4r sidan g\u00e5r fr\u00e5n servern till klienten.\u00a0<\/p>\n
      Vad \u00e4r faran<\/b>: En bedragare kan manipulera sidan och skicka en formul\u00e4r f\u00f6r konfidentiella uppgifter till anv\u00e4ndaren, som sedan g\u00e5r till angriparens server.\u00a0<\/p>\n
      Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: Vissa webbplatser skickar en eng\u00e5ngskod via e-post\/telefon ist\u00e4llet f\u00f6r ett l\u00f6senord. I detta fall \u00e4r s\u00e5rbarheten inte s\u00e5 kritisk, men mekanismen kan f\u00f6rsv\u00e5ra livet f\u00f6r anv\u00e4ndarna.\n<\/li>\n
    2. Skickar formul\u00e4r med anv\u00e4ndarnamn och l\u00f6senord via en os\u00e4ker kanal (Inloggningsformul\u00e4ret skickas inte via HTTPS).<\/b>\n
      I detta fall skickas formul\u00e4ret med anv\u00e4ndarnamn och l\u00f6senord till servern via en okrypterad kanal.<\/p>\n
      Vad \u00e4r faran<\/b>: Till skillnad fr\u00e5n det f\u00f6reg\u00e5ende fallet \u00e4r detta en kritisk s\u00e5rbarhet. Att f\u00e5nga konfidentiella uppgifter \u00e4r enklare, eftersom du inte ens beh\u00f6ver skriva kod f\u00f6r det.\u00a0\n<\/li>\n
    3. Anv\u00e4ndning av JavaScript-bibliotek med k\u00e4nda s\u00e5rbarheter.<\/b>\n
      Under tiden f\u00f6r skanning har jQuery blivit det mest anv\u00e4nda biblioteket med ett omfattande utbud av versioner. I varje version finns det \u00e5tminstone en, eller fler, k\u00e4nda s\u00e5rbarheter. Effekten kan variera \u2013 beroende p\u00e5 s\u00e5rbarhetens natur.<\/p>\n
      Vad \u00e4r faran<\/b>: F\u00f6r k\u00e4nda s\u00e5rbarheter finns det exploits, exempelvis:<\/p>\n
      \"D\u00f6dssynder
      \n
      \nVad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: \u00c5terkom regelbundet till cykeln: s\u00f6ka k\u00e4nda s\u00e5rbarheter \u2013 \u00e5tg\u00e4rda \u2013 kontrollera. Om du medvetet anv\u00e4nder f\u00f6r\u00e5ldrade bibliotek, exempelvis f\u00f6r att st\u00f6dja gamla webbl\u00e4sare eller f\u00f6r att spara budgeten, leta efter m\u00f6jligheter att \u00e5tg\u00e4rda k\u00e4nda s\u00e5rbarheter.\u00a0\n<\/li>\n
    4. Cross-Site Scripting (XSS).\u00a0<\/b>
      \nCross-Site Scripting (XSS), eller mellanwebbskrift, \u00e4r attacker mot webbapplikationer d\u00e4r skadlig kod hamnar i databasen. Om Qualys hittar en s\u00e5dan s\u00e5rbarhet inneb\u00e4r det att en potentiell angripare kan ha injicerat eller redan har injicerat sin js-kod i webbplatsens kod f\u00f6r att utf\u00f6ra skadliga handlingar.<\/p>\n
      Lagrat XSS (Stored XSS)<\/b> \u00e4r mer farliga eftersom skriptet injiceras p\u00e5 servern och k\u00f6rs varje g\u00e5ng den attackerade sidan \u00f6ppnas i webbl\u00e4saren.<\/p>\n
      Reflekterat XSS (Reflected XSS)<\/b> \u00e4r enklare att genomf\u00f6ra, eftersom den skadliga skriptet kan injiceras i HTTP-f\u00f6rfr\u00e5gan. Applikationen tar emot HTTP-f\u00f6rfr\u00e5gan, kontrollerar inte data, packar dem och skickar dem omedelbart. Om angriparen f\u00e5ngar trafiken och s\u00e4tter in ett skript av typen <\/p>\n
      <script>\/*+\u0447\u0442\u043e+\u0442\u043e+\u043f\u043b\u043e\u0445\u043e\u0435+*\/<\/script> <\/code><\/pre>\n
      \ng\u00e5r en skadlig beg\u00e4ran fr\u00e5n klientens namn.<\/p>\n
      Ett tydligt exempel p\u00e5 XSS: js-sniffers som imiterar sidor f\u00f6r att ange CVC, utg\u00e5ngsdatum p\u00e5 kort och s\u00e5 vidare.\u00a0<\/p>\n
      Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: I Content-Security-Policy-headern, anv\u00e4nd attributet script-src f\u00f6r att klientens webbl\u00e4sare endast ska ladda och utf\u00f6ra kod fr\u00e5n en betrodd k\u00e4lla. Till exempel, script-src 'self' till\u00e5ter endast skript fr\u00e5n v\u00e5r egen webbplats.\u00a0
      \nB\u00e4sta praxis \u00e4r Inline-kod: till\u00e5t endast inline javascript med v\u00e4rdet unsafe-inline. Detta v\u00e4rde till\u00e5ter anv\u00e4ndning av inline js\/css, men f\u00f6rbjuder inte att ansluta js-filer. I kombination med script-src 'self' f\u00f6rbjuder vi att externa skript k\u00f6rs.<\/p>\n
      Se till att logga allt med hj\u00e4lp av report-uri och titta p\u00e5 f\u00f6rs\u00f6k att injicera kod p\u00e5 webbplatsen.\n<\/li>\n
    5. SQL-injektioner.<\/b>
      \nS\u00e5rbarheten antyder att det finns m\u00f6jlighet att injicera SQL-kod p\u00e5 webbplatsen, som direkt kontaktar webbplatsens databas. SQL-injektion \u00e4r m\u00f6jlig om anv\u00e4ndardata inte \u00e4r korrekt s\u00e4kerst\u00e4lld: de kontrolleras inte f\u00f6r giltighet och anv\u00e4nds omedelbart i f\u00f6rfr\u00e5gan. Till exempel sker detta om formul\u00e4ret p\u00e5 webbplatsen inte kontrollerar att indata \u00f6verensst\u00e4mmer med datatypen.\u00a0<\/p>\n
      Vad \u00e4r faran<\/b>: Om en angripare matar in en SQL-fr\u00e5ga i ett s\u00e5dant formul\u00e4r kan han f\u00f6rst\u00f6ra databasen eller avsl\u00f6ja konfidentiell information.\u00a0<\/p>\n
      Vad webbprogrammerare b\u00f6r komma ih\u00e5g<\/b>: Lita inte p\u00e5 det som kommer fr\u00e5n webbl\u00e4saren. Skydd b\u00f6r g\u00f6ras b\u00e5de p\u00e5 klientsidan och p\u00e5 serversidan.\u00a0<\/p>\n
      P\u00e5 klientsidan, skriv en kontroll av f\u00e4lten med hj\u00e4lp av JavaScript.\u00a0<\/p>\n
      Inbyggda funktioner i popul\u00e4ra ramverk hj\u00e4lper ocks\u00e5 till att skydda misst\u00e4nkta tecken p\u00e5 servern. P\u00e5 servern rekommenderas det ocks\u00e5 att anv\u00e4nda parametriserade databasfr\u00e5gor.<\/p>\n
      Definiera var interaktionen med databasen sker i webbapplikationen.\u00a0<\/p>\n
      Interaktionen uppst\u00e5r n\u00e4r vi h\u00e4mtar n\u00e5gon information: en f\u00f6rfr\u00e5gan med id (\u00e4ndring av id), skapande av en ny anv\u00e4ndare, ny kommentar \u2013 nya poster i databasen. H\u00e4r kan SQL-injektioner uppst\u00e5. \u00c4ven n\u00e4r vi tar bort en post fr\u00e5n databasen kan en SQL-injektion vara m\u00f6jlig.\n<\/li>\n<\/ol>\n
      <\/p>\n
      Allm\u00e4nna rekommendationer<\/h2>\n
      \nHitta inte p\u00e5 hjulet \u2013 anv\u00e4nd bepr\u00f6vade ramverk<\/b>. Vanligtvis \u00e4r popul\u00e4ra ramverk mer s\u00e4kra. F\u00f6r .NET \u00e4r det ASP.NET MVC och ASP.NET Core, f\u00f6r Python \u2013 Django eller Flask, f\u00f6r Ruby \u2013 Ruby on Rails, f\u00f6r PHP \u2013 Symfony, Laravel, Yii, f\u00f6r JavaScript \u2013 Node.JS-Express.js, f\u00f6r Java \u2013 Spring MVC.<\/p>\n
      H\u00e5ll dig uppdaterad med leverant\u00f6rens nyheter och uppdatera regelbundet<\/b>. S\u00e5rbarheter hittas, exploateringskod skrivs, publiceras och allt h\u00e4nder igen. Prenumerera p\u00e5 uppdateringar till stabila versioner fr\u00e5n programvaruleverant\u00f6ren.<\/p>\n
      Kontrollera \u00e5tkomstr\u00e4ttigheter<\/b>. Behandla alltid din kod fr\u00e5n serverns sida som om den \u00e4r skriven av din mest avskyv\u00e4rda fiende, som vill bryta din webbplats och bryta integriteten av dina data. Dessutom \u00e4r det ibland faktiskt s\u00e5.<\/p>\n
      Anv\u00e4nd kloner, testmilj\u00f6er, och implementera sedan p\u00e5 produktion<\/b>. Detta hj\u00e4lper, \u00e5 ena sidan, att undvika misstag och brister i produktionsmilj\u00f6n: produktionsmilj\u00f6n genererar pengar, driftstopp i produktionsmilj\u00f6 \u00e4r kritiska. Vid till\u00e4gg, korrigering eller st\u00e4ngning av ett problem b\u00f6r arbetet utf\u00f6ras i testmilj\u00f6, sedan kontrolleras funktionaliteten och identifierade s\u00e5rbarheter, och f\u00f6rst d\u00e4refter planera arbete med produktionsmilj\u00f6n.\u00a0<\/p>\n
      Skydda webbapplikationen med Web Application Firewall<\/a><\/noindex> och integrera med den rapporter fr\u00e5n s\u00e5rbarhetsscannern<\/b>. Till exempel i DataLine anv\u00e4nds Qualys och FortiWeb som en bindande tj\u00e4nst.
      \n
      K\u00e4lla:       habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
      \u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u043c\u044b \u0432 DataLine \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u0435\u0440\u0432\u0438\u0441 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0418\u0422-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445. \u0412 \u043e\u0441\u043d\u043e\u0432\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u0430 \u2013 \u043e\u0431\u043b\u0430\u0447\u043d\u043e\u0435 \u0440\u0435\u0448\u0435\u043d\u0438\u0435 Qualys, \u043f\u0440\u043e \u0440\u0430\u0431\u043e\u0442\u0443 \u043a\u043e\u0442\u043e\u0440\u043e\u0433\u043e \u043c\u044b \u0443\u0436\u0435 \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u043b\u0438. \u0417\u0430 \u0433\u043e\u0434 \u0440\u0430\u0431\u043e\u0442\u044b \u0441 \u0440\u0435\u0448\u0435\u043d\u0438\u0435\u043c \u043c\u044b \u043f\u0440\u043e\u0432\u0435\u043b\u0438 291 \u0441\u043a\u0430\u043d\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u0434\u043b\u044f \u0440\u0430\u0437\u043d\u044b\u0445 \u0441\u0430\u0439\u0442\u043e\u0432 \u0438 \u043d\u0430\u043a\u043e\u043f\u0438\u043b\u0438 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0443 \u043f\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u043d\u044b\u043c \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044f\u043c \u0432 \u0432\u0435\u0431-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445.\u00a0 \u0412 \u0441\u0442\u0430\u0442\u044c\u0435 \u043d\u0438\u0436\u0435 \u044f \u043f\u043e\u043a\u0430\u0436\u0443, \u043a\u0430\u043a\u0438\u0435 \u0438\u043c\u0435\u043d\u043d\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":84185,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-84184","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47D\u00f6dliga synder av webbplatsens s\u00e4kerhet: vad vi har l\u00e4rt oss fr\u00e5n statistik fr\u00e5n s\u00e5rbarhetsscannern under \u00e5ret | ProHoster","description":"F\u00f6r ungef\u00e4r ett \u00e5r sedan lanserade vi i DataLine en tj\u00e4nst f\u00f6r att s\u00f6ka efter och analysera s\u00e5rbarheter i IT-applikationer.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0421\u043c\u0435\u0440\u0442\u043d\u044b\u0435 \u0433\u0440\u0435\u0445\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0430\u0439\u0442\u0430: \u0447\u0442\u043e \u043c\u044b \u0443\u0437\u043d\u0430\u043b\u0438 \u0438\u0437 \u0441\u0442\u0430\u0442\u0438\u0441\u0442\u0438\u043a\u0438 \u0441\u043a\u0430\u043d\u0435\u0440\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0437\u0430 \u0433\u043e\u0434 | ProHoster","og:description":"\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0433\u043e\u0434 \u043d\u0430\u0437\u0430\u0434 \u043c\u044b \u0432 DataLine \u0437\u0430\u043f\u0443\u0441\u0442\u0438\u043b\u0438 \u0441\u0435\u0440\u0432\u0438\u0441 \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 \u0438 \u0430\u043d\u0430\u043b\u0438\u0437\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432 \u0418\u0422-\u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f\u0445.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/smertnye-grehi-bezopasnosti-sajta-chto-my-uznali-iz-statistiki-skanera-uyazvimostej-za-god","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-05T17:42:31+00:00","article:modified_time":"2020-06-05T17:42:31+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"84184","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:03:50","updated":"2022-09-30 12:56:20","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/84184","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=84184"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/84184\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/84185"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=84184"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=84184"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=84184"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}