Cracker vs. programátor

Na každém webu o programování se dočteme, že by jsme měli dělat bezpečné weby. Bohužel, víc se toho nepíše (alespoň já jsem neviděl). Má představivost končí na nastavení resp. nenastavení chmod 777 na všechny složky. Mohli by zkušenější programátoři napsat pár rad? Nemyslím tím info typu "bacha na sql injection, je to sviňárna", ale uvítal bych pár ukázek, jakým kódům se mám vyhnout, jestli třeba ukončovat spojení s mysql (což je podle mne blbost - nechám se rád poučit) a tak dále. Díky za všechny co to budou číst a dozví se něco nového.

Nejlepší jak si zabezpečit svůj RS je koukat se na web očima hackera a zkusit si ho hacknout :)

grimword: Zjisti si něco o XSS, CSRF, SQL injection, atp.... PHP obsahuje několik funkcí, pomocí kterých můžeš vše dostatečně zabezpečit. Ale jak se říká: "Nic nejde na 100%". Vždycky tam nějaká skulinka je :)Jako studium zkus http://security-portal.cz , http://soom.cz , wiki a různá fóra.Každý kód se dá zprasit na milión způsobů. :D

dejme tomu ze takove zlate zakladni pravidlo je zabezpecovani vstupu proti tzv. sql injection ci jakymkoliv manipulacnim vstupum - php se o to v mnoha pripadech stara diky magic quotes samo, ale treba ja magic quotes nemam rad a zasadne ho nepouzivam, protoze zasahuje i tam kde nema. osetruji vstupy z formularu apod. do mysql pomoci mysql_real_escape_string . Dale vystupy cehokoliv se zapezpecuji z toho duvodu, ze se da udelat tzv. XSS utok ci jine. V zasade je to chyba, ktera v mnoha pripadech vede k ukradeni cookie napr. prihlaseneho administratora = mas pristup do administratorskeho uctu jen diky chybe na strance (vzhledem k tomu ze tohle jsem si uz sam vyzkousel na jednech nezabezpecenych strankach meho znameho, vim ze to spolehlive funguje). Tim zabezpecenim vystupu je mysleno nevypusteni nebezpecnych html kodu, scriptu atd. v ciste podobe do kodu. Teoreticky staci fce htmlentities, ale urcite me jeste nekdo doplni... Tohle co jsem psal teoreticky zajisti zakladni zabezpeceni (urcite ale ne zdaleka dobre zabezpeceni). Rozhodně nemej iluzi ze kdyz se budes ridit tim co jsem psal ze jsi za vodou, chyba se nemusi zdaleka vyskytovat jen na vstupech do mysql a na vystupech neceho co napsali ostatni. Muze byt kdekoliv a jeji zabezpeceni muze byt ruzne. Zkratka je potreba pri programovani cehokoliv hned premyslet co bych mohl udelat abych to nejak zmenil, obesel a pak budes vedet jak to zabezpecit. Chyba se muze totiz vyskytovat leckde, hold je potreba koukat se na svou praci taky trochu jinejma ocima nez ocima vyvojare. Doporucuji cist clanky o tom jak provadet tyto utoky pripadne jak se proti nim chranit, oboji ti da hodne zkusenosti.

Napsal MzK;183342

Nejlepší jak si zabezpečit svůj RS je koukat se na web očima hackera a zkusit si ho hacknout :)

Hmm, to nieje az tak moc pravda, taketo veci sa robia uz ked nieco je spravene.Ale ked niekto zacina robit, tak si je treba uvedomit ine veci.Hmm. Samozrejme dobre studovanie a poznanie jazyka, pouzivat urcite komponenty, anti xss , vzdy parametrizovat sql query z jazyka a podobne.Nejake knizky existuju, ale clovek sa nauci na praxi najviac.

nordic Myslel jsem to jinak. Napisu si aplikaci, osetrim vstupy a pak zkousim co jde, zkousim vyvolat chyby, testuji, vkladam parametry, zkousim menit cookies, xss, sql... proste si zkusim hacknout svoji aplikaci, myslim jako utocnik a hledam diry

Na http://soom.cz je několik dobrých článků. XSS - http://www.soom.cz/index.php?name=articles/show&aid=485CSRF - http://www.soom.cz/index.php?name=articles/show&aid=484+ stačí tam hledat. Samozřejmě i jinde. Jak jsem již psal. Nic nejde zapezpečit na 100%. Vždycky tam nějaká chyba bude. Jak trénink XSS můžete zkoušet třeba http://skola.security-portal.cz/xss_testing.php nebo SQL injection http://flack.security-portal.cz/

zkus se na internetu poohlidnout po nejakem auditorovi ... ti jsou myslim to prave co bych potreboval ... sice jejich sluzby stoji docela dost, ale pak to bude dobry