安全なWebアプリケーションを作成する12のスキル

この記事には啓示は含まれていません。 まず、一般的な脆弱性とそれらを解決する方法に関する情報は、初心者にとって有用です。 経験豊富な開発者はすべてこれを知っているか、自分自身をそう考えているかどうかを知る必要があります。

ほとんどのコード例は特定のプログラミング言語に関連付けられていませんが、わかりやすくするために、PHPを使用します。

行きましょう。

1. SQLインジェクションに対する保護

ユーザー名入力フォームを備えたWebサイトがあるとします。 データベース内の名前の存在を確認するには、次のコードを使用します。

$query = "SELECT * FROM `Users` WHERE UserName='" . $_POST["Username"]. "'";
mysql_query($query);

$_POST[«Username»] — .

Username

' or '1'='1

, :

SELECT * FROM `Users` WHERE UserName = '' OR '1'='1'

, , .

:

a';DROP TABLE `Users`; SELECT * FROM `userinfo` WHERE 't' = 't

:

SELECT * FROM `Users` WHERE `UserName` = 'a';DROP TABLE `Users`; SELECT * FROM `userinfo` WHERE 't' = 't'

SQL injection:

, . PHP MySQLi

$stmt = $db->prepare('update people set name = ? where id = ?');
$stmt->bind_param('si',$name,$id);
$stmt->execute();

• escaping

PHP mysql_real_escape_string, escape . :
$query = sprintf("SELECT * FROM `Users` WHERE UserName='%s'",
mysql_real_escape_string($_POST["Username"]));
mysql_query($query);


2. ross Site Scripting (XSS)

XSS , - , : , , . XSS - Javascript , , .

? , . . .

:

<form id="myFrom" action="showResults.php" method="post">
<div><textarea name="myText" rows="4" cols="30"></textarea><br />
<input type="submit" value="Submit" name="submit" /></div>
</form>

showResults.php:

echo("You typed this:");
echo($_POST['myText']);

, . :


, javascript . htmlentities() :

echo("You typed this:");
echo(htmlentities($_POST['myText']));

3. HTTPS

. , — HTTPS. - .

4.

-, . , .

public_html/files, mysecretdoc.pdf mysecurewebsite.com/files/mysecretdoc.pdf.

:

• c files ,
• .htaccess

5.

—

. (MD5+salt), , .

— , - . , .

— (-) RSA . .

— , Facebook, Twitter OpenID. .

6.

, , . , , . , .

, . , , .

PHP: ionCube, ZendGuard, SourceGuardian

: Thicket Obfuscator for PHP

7.

, , , .

. / . , .

MySQL.

delimiter |

CREATE TRIGGER insert_encrypt BEFORE INSERT ON cars
  FOR EACH ROW BEGIN
    SET NEW.Model = AES_ENCRYPT(NEW.Model,"my passphrase");
  END;
|

delimiter |

CREATE TRIGGER update_encrypt BEFORE UPDATE ON cars
  FOR EACH ROW BEGIN
    SET NEW.Model = AES_ENCRYPT(NEW.Model,"my passphrase");
  END;
|

SQL

SELECT
...
AES_DECRYPT(Model,"my passphrase"),
...
FROM carscars

. , . .

:
—
—

8. (PHP, shared server)

, , - .

PHP:

userName|s:5:"admin";accountNumber|s:9:"123456789";

:
—
— . PHP session_set_save_handler

9.

. .

, . PHP :

error_reporting(0);
@ini_set('display_errors', 0);

, , . PHP set_error_handler(). , set_error_handler().

10.

. , SSL MySQL PHP.

11. form spoofing

: example.com/edit_user.php?id=12345. 12345 . .

, GET POST . . , POST .

, . , .

, . - .

<input name="gender" type="radio" value="m" />Male
<input name="gender" type="radio" value="f" />Female

, m f, .

.

<input name="gender" type="text" value="m';DROP TABLE `Users`; ... " />

mysql_real_escape_string(), ( ).

:

substr($_POST['gender'],0,1)

12. Cross-site request forgery (CSRF)

XSS, . , Vasya , :

<img src="http://mysecurebank.com/withdraw?account=petya&amount=1000000&for=vasya" />

Petya,

http://mysecurebank.com/withdraw?account=petya&amount=1000000&for=vasya

, , Petya , , , .

— GET POST ( ). . :

<form id="f" action="http://mysecurebank.com/withdraw" method="post">
        <input name="account" value="petya" />
        <input name="amount" value="1000000" />
        <input name="for" value="vasya" />
    </form>

— . .

?

• HTTP . . , . .
• , . , (XmlHttpRequest ).
• ( ). — .

:
http://en.wikipedia.org/wiki/Cross-site_request_forgery
http://www.codinghorror.com/blog/2008/09/cross-site-request-forgeries-and-you.html

. . PHP (Yii, CakePHP, CodeIgniter, Zend, Symfony) (PHPRunner) . , , , . — .