हम HabrHabr के उदाहरण पर हमलों से साइट की रक्षा करते हैं

सुबह-सुबह, हबर ने अपने नए अपडेट को "रोल आउट" कर दिया, और मैं, स्पष्ट विवेक के साथ, इस लेख को मसौदा प्रतियों से बाहर निकालता हूं।
कल मेरे पास एक महाकाव्य असफल था और यह विषय आंशिक रूप से, ऊपर अद्यतन के बारे में लाइन सहित, कुछ सेकंड के लिए सार्वजनिक रूप से गिर गया। इन सेकंडों के लिए, विषय कई लोगों के साथ जुड़ गया।
एक बार फिर, अब सार्वजनिक रूप से, मैं प्रशासन से माफी माँगता हूँ!
दूसरों को सलाह - ड्राफ्ट में इस तरह की जानकारी स्टोर करें।

हाल ही में, इंटरनेट पर आप "बिगिनर हैकर्स" के लिए बहुत सारे मैनुअल पा सकते हैं, जो हैकिंग साइटों के सभी बुनियादी तरीकों का विस्तार से वर्णन करते हैं। क्या आपको लगता है कि वेब डेवलपर इससे अधिक स्मार्ट हो गए हैं और उन्होंने सुरक्षा के लिए सभी संभव तरीके अपना लिए हैं? मुझे ऐसा नहीं लगता।

इस लेख में मैं एक बार फिर से डेवलपर्स को बताना चाहता हूं कि वेबसाइटों को कैसे तोड़ा जाता है, और इसलिए कि आप ऊब नहीं रहे हैं, साथ ही मैं हैबर को तोड़ दूंगा और विस्तार से वर्णन किया कि मैंने यह कैसे किया। हम इस तरह की दिलचस्प चीजों पर विचार करेंगे "प्रोफ़ाइल में सक्रिय एक्सएसएस", "कर्म की अनंत शून्य", "सैंडबॉक्स से आइकन के साथ प्रकाशन", "फ्लैश के माध्यम से सीएसआरएफ और इंटरनेट एक्सप्लोरर 6 में एक छेद" और भी बहुत कुछ।

सभी भेद्यताएं पहले से ही तय की गई हैं। खैर, या लगभग सब कुछ। इसलिए, यदि आपको एक और छेद मिलता है, तो support@habrahabr.ru पर लिखें - यह मेल जो कोई नहीं पढ़ता है वह मिथक है।

ज्वाइन करने के बजाय

यहाँ, शुरुआत में, मैं आपको अपनी राय में कुछ बहुत महत्वपूर्ण बातें बताना चाहूंगा।

सबसे पहले, जो पटाखे हैं और उन्हें क्या ज़रूरत है (चलो "हैकर्स" शब्द से "पटाखे" नहीं कहते हैं, क्योंकि यह गलत है और हैकर्स किसी को भी नहीं तोड़ते हैं) । मैं किसी को नाराज नहीं करना चाहता, लेकिन ज्यादातर मामलों में ये 15-17 वर्ष के किशोर होते हैं, जिनका मुख्य लक्ष्य पैसा प्राप्त करना नहीं है, सिस्टम में कितना हैक करना है और आत्म-संतुष्टि की भावना प्राप्त करना है।

अक्सर, डेवलपर को लगता है कि उसकी साइट को तोड़ना कभी भी किसी के लिए नहीं होगा, क्योंकि वहां कुछ भी दिलचस्प नहीं है। लेकिन केवल वर्णित प्रकार के पटाखे को इसकी आवश्यकता नहीं है, इसलिए वे आसानी से भेद्यता पाते हैं और एक दोष (एक नियम के रूप में, अपने संदेश को मुख्य पृष्ठ के बजाय रखते हुए, ब्लैक प्रभु ने पहले ही हबरबैर :-) के साथ कुछ बार किया था । कभी-कभी वे एक साधारण भेद्यता भी नहीं पा सकते हैं, इसलिए वे तैयार किए गए कारनामों का उपयोग करते हैं (ऐसे लोगों को "स्क्रिप्ट-किडनी" भी कहा जाता है) । इस तरह, मैं आपको पहले ही कुछ सुझाव दे सकता हूं:

• इनपुट डेटा को फ़िल्टर करने के लिए आलसी मत बनो [इस पर बाद में चर्चा की जाएगी] , भले ही आपकी साइट "किसी को भी इसकी आवश्यकता न हो।"
• नवीनतम सॉफ़्टवेयर संस्करणों को स्थापित करना कभी-कभी खतरनाक होता है, लेकिन आपको पुराने लोगों पर बैठने की ज़रूरत नहीं है, क्योंकि कोई भी व्यक्ति जो "हैकिंग साइटों के लिए" खोज और विशेष कार्यक्रमों का उपयोग कर सकता है, आपको हैक कर सकता है।

अब कल्पना कीजिए कि हमारा "चरित्र" बड़ा हो गया है और काम की तलाश में है। वह सबसे अधिक संभावना क्या करेगा? यह सही है, पैसे के लिए हैकिंग।

यह प्रकार अब उन साइटों के लिए कोई विशेष खतरा नहीं है जहां वास्तव में कुछ भी दिलचस्प नहीं है। वह अब, मुख्य रूप से, "आदेश से", अक्सर छोटे समूहों में काम करता है।

सामान्य तौर पर, सलाह समान है, केवल अब आपको उस व्यक्ति पर थोड़ा निवेश करना चाहिए जो पैसे के लिए, आपकी साइट को कमजोरियों की जांच करेगा और आपको परिणाम बताएगा।

वैसे, ऐसे "विशेषज्ञ" हैं, एक नियम के रूप में, वही पटाखा जो सेवानिवृत्त हो गया है और अब पूरी तरह से शांतिपूर्ण तरीके से अपना जीवनयापन करता है।

XSS या क्रॉस साइट स्क्रिप्टिंग

एक बहुत ही सामान्य रूप से उपयोग की जाने वाली भेद्यता। इसका उपयोग करने के लिए, एक हमलावर को केवल HTML और जावास्क्रिप्ट का बुनियादी ज्ञान होना चाहिए, जिसके परिणामस्वरूप वह ऊपर वर्णित सभी प्रकार के "वर्णों" पर लागू होता है। मैं यह नोट करना चाहूंगा कि इस मामले में कोई भी सर्वर को हैक करने वाला नहीं है, और हमले, वास्तव में, कमजोर साइट के उपयोगकर्ताओं के उद्देश्य से है।

इस मामले में वेब डेवलपर की मुख्य त्रुटि उपयोगकर्ताओं से प्राप्त डेटा की अपर्याप्त फ़िल्टरिंग है।

XSS को दो मुख्य समूहों में विभाजित किया गया है: सक्रिय XSS, जो साइट पर कहीं स्थित है और अपने शिकार की प्रतीक्षा कर रहा है, साथ ही साथ पैसिव XSS, जो पटाखा सोशल इंजीनियरिंग का उपयोग करके पीड़ित को भेजता है।

आइए देखें कि हबर कैसे "हमें खुश कर सकता है"। ब्रिटिश वैज्ञानिकों ने पाया कि 95% पटाखे खुद को बुलाते हैं

" onmouseover="alert('XSS')" style=" 

हम प्रोफाइल सेटिंग्स में जाते हैं और "वास्तविक नाम" फ़ील्ड में इस वाक्यांश को दर्ज करते हैं। अब "सहेजें" पर क्लिक करें और पृष्ठ को ताज़ा करें। हम माउस ढूंढते हैं और किसी कारण से खाली मैदान के पास इसे चलाने की कोशिश करते हैं - क्या एक खिड़की दिखाई दी? बधाई हो, हमें एक भेद्यता मिली!



जब सिस्टम उपयोगकर्ता से आंशिक रूप से आने वाली जानकारी को फ़िल्टर या फ़िल्टर नहीं करता है तो ऐसी कमजोरियां अक्सर बाहर निकलती हैं। यदि आप PHP में लिखते हैं, तो इसका एक बहुत अच्छा htmlspecialchars फ़ंक्शन है, जो आपको लगभग पूरी तरह से समस्या को हल करने की अनुमति देता है।
अर्थ यह है कि आपको उपयोगकर्ता को सभी टैग का उपयोग करने का अवसर देने की आवश्यकता नहीं है, आपको यह देखने के लिए भी सावधानीपूर्वक जांचने की आवश्यकता है कि क्या उसने अनुमत टैग में कुछ डाला है और यदि वह क्षेत्र से बाहर चला गया है, जैसा कि ऊपर दिए गए उदाहरण में है।

मुझे हैबर पर निष्क्रिय XSS का उदाहरण नहीं मिला, इसलिए मैं शब्दों में इसके सार का वर्णन करूंगा।

उन्हें खोजने के लिए सबसे आम जगह खोज है। जैसे कुछ के लिए अपनी साइट पर "खोज" करने का प्रयास करें

 <script>alert(1)</script> 

या

 "> <script>alert(1)</script> <!-- 

यदि एक विंडो "1" नंबर के साथ पॉप अप होती है, तो आपकी साइट इस तरह के हमलों के लिए अतिसंवेदनशील है। अब पटाखा के लिए आपको एक विशेष लिंक भेजना काफी है, जिस पर क्लिक करने पर आप उसे अपने खाते तक पूरी पहुंच प्रदान करेंगे। अर्थ सक्रिय XSS के समान है, केवल अब पटाखा आपको "लिंक" फीड करने की आवश्यकता है!

अन्य स्वीकृत जानकारी की जाँच करना

आपको न केवल एचटीएमएल टैग और उद्धरण, बल्कि उपयोगकर्ता से प्राप्त अन्य जानकारी को फ़िल्टर करने की आवश्यकता है। तर्क का पालन करना विशेष रूप से महत्वपूर्ण है और कभी भी उपयोगकर्ता पर भरोसा न करें! आपको एक उदाहरण के लिए बहुत दूर नहीं जाना होगा - हैबर, "असीम रूप से निष्फल कर्म" पर किसी भी ट्रोल का पोषित सपना, आज तक काफी संभव था :-)

यदि आप पहले से ही अपने कर्म को रीसेट कर चुके हैं और इसे फिर से करना चाहते हैं, तो आपको छिपे हुए फॉर्म को दिखाई देने और "रीसेट" पर क्लिक करने के लिए अपने ब्राउज़र में "डेवलपर टूल" का उपयोग करने की आवश्यकता है!

उदाहरण के लिए, मैंने एक "वर्चुअलाइक" बनाया, उसके लिए कर्म डाला, शून्य किया, फिर से विलय किया, फिर से शून्य किया और इसी तरह ...





निष्पक्षता में, यह ध्यान देने योग्य है कि मेरे प्रिय virtualchik को इसके लिए रीड-ओनली मोड में रखा गया था। यह अच्छा है कि खाता स्वयं नहीं खो गया है।

मैं आपको एक बहुत ही दिलचस्प उदाहरण दूंगा। जब हम एक नया लेख प्रकाशित करते हैं या किसी पुराने को संपादित करते हैं, तो "सैंडबॉक्स" के साथ "topic_type" फ़ील्ड की जगह आपको "सैंडबॉक्स से" बॉक्स प्राप्त करने की अनुमति देता है।



आपको इसकी आवश्यकता क्यों है? उदाहरण के लिए, मुझे नहीं पता, ऐसे विषय अक्सर प्लस होते हैं ...

मैं इस मामले में क्या सलाह दे सकता हूं? खैर, निश्चित रूप से, यह नियंत्रित करें कि उपयोगकर्ता आपको क्या भेजते हैं! यदि आपको कर्म को रीसेट करने के लिए अनुरोध भेजा जाता है, तो यह देखने के लिए जांचें कि क्या उपयोगकर्ता ने इसे पहले ही मंजूरी दे दी है, और यदि उपयोगकर्ता "सैंडबॉक्स से" विषय को प्रकाशित करने की कोशिश कर रहा है, तो जांचें कि क्या यह वास्तव में वहां से है।

एसक्यूएल इंजेक्शन

नौसिखिया वेब डेवलपर्स के बीच ऐसी कमजोरियां बहुत आम हैं। मुझे होबे पर ऐसा नहीं मिला, लेकिन एक हब्बर-उपयोगकर्ता ने पीएम में मुझसे दावा किया कि यह है। मैंने उनके प्रयोग को दोहराया, लेकिन इसका कुछ भी नहीं आया - उन्होंने शायद इसे बंद कर दिया।

सुरक्षा के लिए, आपको उद्धरण और अन्य विशेष वर्णों को फ़िल्टर करने की आवश्यकता होती है जो आपके अनुरोध के तर्क का उल्लंघन कर सकते हैं। इसके अलावा, जब आपके पास कोई संख्या हो, तो स्पष्ट रूप से एक नंबर पर डालना सुनिश्चित करें।

CSRF भेद्यता

अगर बब्बुमुरम ने सुपर-फ्लैश ड्राइव के साथ हैबर की अपनी विजय शुरू की, तो मुझे पिछले साल मिले सीएसआरएफ भेद्यता की बदौलत रात में TOP5 उपयोगकर्ता मिल गए।

आप मेरे विषय को यहाँ पढ़ सकते हैं। अब मैं यह लिख रहा हूं क्योंकि मैंने हाल ही में एक और पाया है और वह अपने virtualchiks को इंटरनेट एक्सप्लोरर 6 का उपयोग करने वाले उपयोगकर्ताओं की मदद से हैबर को आमंत्रित कर सकता है। यह ध्यान देने योग्य है कि उनमें से कई नहीं थे।

सुरक्षा के लिए, आपको प्रत्येक प्रपत्र में सम्मिलित करना होगा या एक विशेष सीएसआरएफ टोकन का अनुरोध करना होगा जो एक हमलावर को पता नहीं होना चाहिए। कुछ रूपरेखाएँ इस टोकन को आपके रूपों में स्वचालित रूप से सम्मिलित करती हैं।

संबंधित लिंक

विकिपीडिया - एक्सएसएस , एसक्यूएल इंजेक्शन , सीएसआरएफ ।

मेरी राय में एक और दिलचस्प लेख , जिसमें सभी मुख्य कमजोरियों का एक साथ वर्णन किया गया है।