Найпопулярніше питаня до нас це “Як зробити, щоб нічого не робити, а сайт був супер-безпечний”, і постійно ми відповідали по різному максимально приховуючи АБСОЛЮТНО-СУПЕР-СЕКРЕТНУ технологію, що була розроблема століння назад. І лише сьогодні цім секретом поділимося ), тож якщо ви хочете створювати безпечний сайт, то ось 5 рекомендацій:
- При програмуванні використовуйте фреймворки, типу ЗендФреймворка, КодеІгнайтера, Джанго, чи інших подібних. Використання фреймворків захищає вас від банальних помилок. Якщо говорити про Джанго, то в нім по замовчуванні є влаштований захист від майже всіх типів атак – SQL-inj, CSRF, XSS. Ці фреймворки написані великою кількістю розумних людей, тому помилок там дуже мало. Набагато менше, ніж якщо б ви цей функціонал писали самі.
- Закривайте все по IP.
- Закривайте все по IP.
- Закривайте все по IP, якщо в вас є адмінка на сайті, то вхід до неї також закривайте по IP. Це дуже просто і супер надійно. Звичайно трішки “неудобства” добавить вам в зв’язку з необхідністю використуванням VPN коли не з основного місця працюєте, але це того варте. Наприклад, якщо зловмисник навіть дізнається адмінський пароль, то він абсолютно нічого не зможе зробити. Це просто реалізується в усіх веб-серверах, а я юзаю nginx, і в нім в конфігі є такі рядки:
location /admin/ {
allow 127.0.0.1;
deny all;
...
}
- І знову – закривайте все по IP, якщо в вас є MySQL, FTP і все інше, то все це закривайте файрволом. На сервак повинен бути доступ з будь якого IP лише до ssh з сертифікатом і великим паролем.
Оце і всі ті основні правила, що ви повинні знати і їх використовувати. Звичайно в цім ділі багато інших ньюансів, і якщо вам потрібно надійно захистити свій сайт – то звяжіться з професіоналами в цій сфері.
AntiBdoor є безкоштовною, вузловою СВВ, з відкритим вихідним кодом (Host-based IDS, HIDS). Вона забезпечує аналіз цілісності файлів, виявлення потенційно небезпечних програм, активні заходи у відповідь на загрозу.
Для розробки системи використано технології PHP, SQL, XHTML, CSS, AJAX. Read more…
Виявляється з Google Wave можна досить легко добути трохи унікальних відвідувачів на свій блог. На цю вразливість наштовхнув мене life_is_shit, за що йому велике спасибі 
. Отже як це зробити читаєм під катом 
Read more…
Почнемо з того, що сьогодні з `явився новий вірус для icq – на ім’я “Piggy“.
Після реверсу вірусу за допомогою Olly, я зрозумів як працює алгоритм.
Piggy був написаний на Delphi, це я зясував за допомогою peid.
Read more…
December 29th, 2009
Dimi4
27.10.09
Програма: efront
Версія 3.5.5
Рівень небезпеки: Низький
Опис:
Вразливість дозволяє віддаленому користувачу провести XSS атаку.
На сайті efrontlearning.net запевняють що в релізі 2009/11/23 v3.5.5 build 5208 :
• Added additional sanitization to eliminate xss attacks
Read more…
December 27th, 2009
Dimi4
27.10.09
Програма: efront
Версія 3.5.3
Рівень небезпеки: Низький
Опис:
Вразливість дозволяє віддаленому користувачу провести XSS атаку.
Вразливість існує через недостатню фільтрацію вхідних данних в параметрах “lessons_ID“, “message” в сценарії index.php. Read more…
І знову про Oracle
Header
Уявімо ситуацію:
1. Back-end: Oracle Database Sever (8i-10g).
2. Front-end: Apache + php (будь-http сервер + будь-який інтерпретатор, не важливо який, але для наочності візьмемо php, саме його я і використовував при написанні цієї статті).
3. Завдання: обійти обмеження і отримати якомога більше інформації
4. Захист: фільтр where, set, insert у запиті.
5. Ми будемо розглядати ін’єкцію в pl / sql процедуру, яка, в свою чергу, вже виконує sql запит
Read more…
Написав нескладний exploit, що використовує уразливість в DBMS_SQLHASH.GETHASH. Exploit для роботи потребує sql ін’єкцію в pl / sql процедурі (зазвичай, на Oracle Application server, там і належать такі процедури по дефолту користувачеві з правами, яких нам достатньо). Загалом можна запитати, навіщо нам exploit, якщо є ін’єкція? Я відповім, що часто в таких процедурах йде простий sql select / update / insert, а в них ми можемо використовувати тільки простий sql. Даний exploit дозволяє виконати pl / sql, маючи при цьому тільки ін’єкцію у процедурі, яка виконує, скажімо, select і права тільки create_session.
Read more…
Писав вже давно, лежало в RoA на античаті, тепер думаю немає ніякого сенсу зберігати його в приваті.
http://uasc.org.ua/files/compactcms.php.txt
Read more…
Останні коментарі