Web uygulamaları güvenlik açıklarını test: en iyi yöntemler?

4 Cevap php

Ben bir web uygulaması geliştiriyorum. Gibi, uygun bir, ben harika şeyler yapmak için geçmişte Joomla gibi şeyler kullandım ama şimdi nihayet PHP, MySQL ve CodeIgniter ile kirli ellerimi var.

Eğer büyük miktarda veri hallederim ciddi web uygulamaları yapıyoruz ne zaman veri girişleri tam olarak sterilize karşı, ne gibi önlemler almalıyım? Ben vb kaçan bariz Döşeme, xss temizlik var, biliyorum - ama ben veritabanına içine enjeksiyon durdurmak için başka hangi teknikleri içermelidir?

, Ama ben tüm girişleri test edebilirsiniz herhangi bir tahribatsız veritabanı enjeksiyon kod var sadece? Olduğu gibi, bu visibile şey enjekte edeceğiz, ama aslında benim test veritabanına herhangi bir zarar yapmak değil mi? Ben tam bir hacker değilim ve bu konuda rehberlik biraz gerekiyor.

Ne diğer yaygın yöntem korsanları yok etmek ya da okumak kullanıcının verilerini ve nasıl kendimi bu kontrol ya kullanıyorsunuz? Ben sadece 16 yaşındayım ama bilgisayar ile iyi bir deneyime sahip beri güvenlik danışman kiralamak için para yok ve ben onlar ne kadar bazı ipuçları verilirse ben bir kaç hileler koparmak olabilir emin değilim.

Ben bu soruları bir bütün yükü biliyorum ama özetlemek için, emin her şey% 100 güvenli yapmak için ne yapmalıyım?

Kriko

4 Cevap

SQL Injection ve XSS programcılar yapmak en yaygın hataları vardır. İyi haber sürece doğru yazılımı gibi, otomatik olarak test etmek için kolay olmasıdır. Ben web uygulama güvenlik açıklarını bulmak için Sitewatch veya Wapiti kullanmak pentest olduğumda. Acunetix üzerinden fiyatlandırılır.

Ama, sadece bazı otomatik aracını kapalı yangın ve her şeyi işe bekleyemezsiniz. Seçtiğiniz ANY açığı tarayıcı ile almalıdır önlemler vardır.

1) emin olun display_errors = php.ini SQL Injection testler yanıt sayfalarında mysql hata iletileri görmek için edememek güveniyor On! Hiçbir hata, hiçbir güvenlik açığı tespit edildi!

2) uygulama doğrulanmış alanları tarayın. Özellikle test için bir kullanıcı hesabı oluşturun. Acuentix bir giriş dizisi oluşturabilirsiniz kolay sihirbazı vardır. Eğer Wapiti kullanıyorsanız, kapalı yangın sonrası bir isteği Wapiti Wapiti veya vermek için bir çerez verebilir ama bu zor türüdür.

AFTER you have tested your application then test your server for misconfiguration. To test your server then you need to run OpenVAS which is the new more free version of Nessus which is now a commercial product. Then you should follow this up with PhpSecInfo. These tests will notify you of problems with your configuration or if you are running old vulnerable software.

Hiç bir şey,% 100 güvenli olacak EVER. Olursa olsun ne çatlaklar olsa kayacak güvenlik açıkları vardır. Hiçbir araç için test edebilirsiniz bir uzlaşma götüren tüm geliştirme platformları güvenlik açıkları vardır. Kullandığınız test araçları hatalar da vardır. Sadece don't work, iyi bir örnek ben aslında okunaklı açıklarını bulur otomatik bir CSRF aracı görmedim sahte Posties ve yanlış negatif ve bazı testler vardır. Acunetix en CSRF testi tam bir zaman kaybıdır.

Daha ayrıntılı gider OWASP testing guide ki de vardır. Bu OWASP Top 10 hangi ile karıştırılmamalıdır değil, aynı zamanda mükemmel bir kaynaktır. PHP Security Guide de php programcıları için büyük bir kaynaktır.

I don't have the money to hire a security consultant since I'm only 16
You are 16 doesn't mean you don't have money to hire :D .
You don't need to hire anybody. There are many free online tools which you can use to test the vulnerability of your web application.

  1. Kullanmayı deneyin http://www.zubrag.com/tools/sql-injection-test.php to test SQL Injection vulnerability

  2. http://www.parosproxy.org, web traffic recorder, web spider, hash calculator, and a scanner for testing common web application attacks such as SQL injection and cross-site scripting

  3. HP WebInspect yazılım [özgür olmayan] ortak bir parametre enjeksiyon gibi web saldırıları, cross-site scripting, dizin kastetmek, [o Googling denemek] testleri

  4. http://portswigger.net/suite/, Burp Suite is an integrated platform for attacking web applications. It contains all of the Burp tools with numerous interfaces between them designed to facilitate and speed up the process of attacking an application. All tools share the same robust framework for handling HTTP requests, persistence, authentication, upstream proxies, logging, alerting and extensibility.

Eğer OWASP de bir göz atabilirsiniz.

SQL Injection açıklarını taramak WebCruiser Web Vulnerability Scanner kullanmak, WebCruiser otomatik bir SQL Injection Tool, bir XPath Enjeksiyon Aracı, bir XSS aracı değil, sadece bir Web Güvenlik Tarama Aracı, aynı zamanda.