🍂 🙋🏻 👩🏼‍🤝‍👨🏽 सुरक्षित वेब एप्लिकेशन बनाने के लिए 12 कौशल 💋 🍗 👩🏻‍🤝‍👨🏾

इस लेख में कोई रहस्योद्घाटन नहीं है। सबसे पहले, विशिष्ट कमजोरियों और उन्हें हल करने के तरीकों के बारे में जानकारी शुरुआती लोगों के लिए उपयोगी होगी। अनुभवी डेवलपर्स यह सब जानते हैं, या पता होना चाहिए कि क्या वे खुद को ऐसा मानते हैं।

अधिकांश कोड उदाहरण किसी विशेष प्रोग्रामिंग भाषा से बंधे नहीं हैं, लेकिन स्पष्टता के लिए, मैं PHP का उपयोग करूंगा।

तो चलिए चलते हैं।

1. SQL इंजेक्शन से सुरक्षा

मान लें कि आपके पास उपयोगकर्ता नाम इनपुट फॉर्म वाली एक वेबसाइट है। डेटाबेस में एक नाम की उपस्थिति की जांच करने के लिए, आप निम्नलिखित कोड का उपयोग करते हैं:

$query = "SELECT * FROM `Users` WHERE UserName='" . $_POST["Username"]. "'";
mysql_query($query);

$_POST[«Username»] — .

Username

' or '1'='1

, :

SELECT * FROM `Users` WHERE UserName = '' OR '1'='1'

, , .

:

a';DROP TABLE `Users`; SELECT * FROM `userinfo` WHERE 't' = 't

SELECT * FROM `Users` WHERE `UserName` = 'a';DROP TABLE `Users`; SELECT * FROM `userinfo` WHERE 't' = 't'

SQL injection:

, . PHP MySQLi

$stmt = $db->prepare('update people set name = ? where id = ?');
$stmt->bind_param('si',$name,$id);
$stmt->execute();

escaping

PHP mysql_real_escape_string, escape . :

$query = sprintf("SELECT * FROM `Users` WHERE UserName='%s'",
mysql_real_escape_string($_POST["Username"]));
mysql_query($query);

2. ross Site Scripting (XSS)

XSS , - , : , , . XSS - Javascript , , .

? , . . .

:

<form id="myFrom" action="showResults.php" method="post">
<div><textarea name="myText" rows="4" cols="30"></textarea><br />
<input type="submit" value="Submit" name="submit" /></div>
</form>

showResults.php:

echo("You typed this:");
echo($_POST['myText']);

, . :

, javascript . htmlentities() :

echo("You typed this:");
echo(htmlentities($_POST['myText']));

3. HTTPS

. , — HTTPS. - .

4.

-, . , .

public_html/files, mysecretdoc.pdf mysecurewebsite.com/files/mysecretdoc.pdf.

:

c files ,
.htaccess

5.

—

. (MD5+salt), , .

— , - . , .

— (-) RSA . .

— , Facebook, Twitter OpenID. .

6.

, , . , , . , .

, . , , .

PHP: ionCube, ZendGuard, SourceGuardian

: Thicket Obfuscator for PHP

7.

, , , .

. / . , .

MySQL.

delimiter |

CREATE TRIGGER insert_encrypt BEFORE INSERT ON cars
  FOR EACH ROW BEGIN
    SET NEW.Model = AES_ENCRYPT(NEW.Model,"my passphrase");
  END;
|

delimiter |

CREATE TRIGGER update_encrypt BEFORE UPDATE ON cars
  FOR EACH ROW BEGIN
    SET NEW.Model = AES_ENCRYPT(NEW.Model,"my passphrase");
  END;
|

SQL

SELECT
...
AES_DECRYPT(Model,"my passphrase"),
...
FROM carscars

. , . .

:
—
—

8. (PHP, shared server)

, , - .

PHP:

userName|s:5:"admin";accountNumber|s:9:"123456789";

:
—
— . PHP session_set_save_handler

9.

. .

, . PHP :

error_reporting(0);
@ini_set('display_errors', 0);

, , . PHP set_error_handler(). , set_error_handler().

10.

. , SSL MySQL PHP.

11. form spoofing

: example.com/edit_user.php?id=12345. 12345 . .

, GET POST . . , POST .

, . , .

, . - .

<input name="gender" type="radio" value="m" />Male
<input name="gender" type="radio" value="f" />Female

, m f, .

.

<input name="gender" type="text" value="m';DROP TABLE `Users`; ... " />

mysql_real_escape_string(), ( ).

:

substr($_POST['gender'],0,1)

12. Cross-site request forgery (CSRF)

XSS, . , Vasya , :

<img src="http://mysecurebank.com/withdraw?account=petya&amount=1000000&for=vasya" />

Petya,

http://mysecurebank.com/withdraw?account=petya&amount=1000000&for=vasya

, , Petya , , , .

— GET POST ( ). . :

<form id="f" action="http://mysecurebank.com/withdraw" method="post">
        <input name="account" value="petya" />
        <input name="amount" value="1000000" />
        <input name="for" value="vasya" />
    </form>

— . .

?

HTTP . . , . .
, . , (XmlHttpRequest ).
( ). — .

:
http://en.wikipedia.org/wiki/Cross-site_request_forgery
http://www.codinghorror.com/blog/2008/09/cross-site-request-forgeries-and-you.html

. . PHP (Yii, CakePHP, CodeIgniter, Zend, Symfony) (PHPRunner) . , , , . — .

सुरक्षित वेब एप्लिकेशन बनाने के लिए 12 कौशल