XSS attacks
1 отговора
0 прегледа
Re: XSS attacks
Още една качествена тема, която седи незабелязано и никой не се наема да отговори.
Жалко.
ХСС атаките не са чак толкова популярни в БГ, но пък в големия широк свят --- лошо. Особено ако имаш Еком продукт, с който си изкарваш парите.
Две са нещата, които са задължителни за мен:
Данните подавани от потребителите винаги се валидират по тип, дължина и стойност.
Отделно - трия всичко, което не очаквам/ не държа да получа например: допускам А-Я0-9.,;?! като допустими стойности.
Всичко се чисти и се довежда до вид, който е безобиден.
Следва ремоте инклуди-те:
хттп://сайт.цом/паге.пхп?филе=хттп://ввв.дир.бг/индекс.пхп = ЛОШО!
хттп://сайт.цом/паге.пхп?гет=дир е далеч по-добре.
Но после в самия скрипт трябва да предвидим инклудването само на файлове, които очакваме, искаме.
Още: CHMOD на фолдери и файлове
проверка по реферал (лесно се байпасва)
хтаксес конфигуриране и отказ на достъп до отделни файлове, директории, видове заявки - аз лично ограничавам отделни файлове до само ГЕТ или само ПОСТ.
Автоматичен бан за юзъри, които удрят сървъра с прекалено много рекуести за единица време
И много важно, изчистване на всичко, което отива като вход на заявка към бази данни.
Има и още много неща които можем да направим за да намалим риска от успешен ХСС. Но като начало, толкова - дано и други се включат.
Don't worry about what people think; they don't do it very often
Жалко.
ХСС атаките не са чак толкова популярни в БГ, но пък в големия широк свят --- лошо. Особено ако имаш Еком продукт, с който си изкарваш парите.
Две са нещата, които са задължителни за мен:
Данните подавани от потребителите винаги се валидират по тип, дължина и стойност.
Отделно - трия всичко, което не очаквам/ не държа да получа например: допускам А-Я0-9.,;?! като допустими стойности.
Всичко се чисти и се довежда до вид, който е безобиден.
Следва ремоте инклуди-те:
хттп://сайт.цом/паге.пхп?филе=хттп://ввв.дир.бг/индекс.пхп = ЛОШО!
хттп://сайт.цом/паге.пхп?гет=дир е далеч по-добре.
Но после в самия скрипт трябва да предвидим инклудването само на файлове, които очакваме, искаме.
Още: CHMOD на фолдери и файлове
проверка по реферал (лесно се байпасва)
хтаксес конфигуриране и отказ на достъп до отделни файлове, директории, видове заявки - аз лично ограничавам отделни файлове до само ГЕТ или само ПОСТ.
Автоматичен бан за юзъри, които удрят сървъра с прекалено много рекуести за единица време
И много важно, изчистване на всичко, което отива като вход на заявка към бази данни.
Има и още много неща които можем да направим за да намалим риска от успешен ХСС. Но като начало, толкова - дано и други се включат.
Don't worry about what people think; they don't do it very often