Итак, вы решили создать security отдел… / Comments / Habr

dmitrye1 Jul 3 2013 at 08:00

На второй день, ты уже устроился, но еще не купил кружку соответствующую статусу.
Открываешь в браузере проект, в первом же месте меняешь в запросе ?id=14, на ?id=TEST и вуаля — на экране появляется ошибка с текстом SQL запроса. Далее бежишь доказывать, что это не правильно, успешно, тебе обещают поправить.
Для более качественного анализа получаешь исходный код. Через 5 минут становиться понятным, что это систематическая ошибка.
Еще через полчаса понимаешь, что проверки в принципе никто не делает. Пишешь скриптик для анализа масштаба проблемы и тот находит 3000 мест, где осуществляется передача параметров запроса без проверок. Более того, однотипные модули были реализованы под copy-paste, что говорит о низкой культуре кода и тяжкой перспективе что-то объяснить.
Возвращаешься к разработчикам, тебя сходу уверяют, что над твоим первым пришествием они долго думали и поправят ошибку, как только освободится ответственный за тот код программист, где-то через неделю. Умножаешь неделю на 3000, пытаешься представить сколько это. Запутавшись в вычислениях приобретаешь спокойствие — с этим надо как-то жить дальше. Вываливаешь разработчикам свои 3000 засеченных косячка, отмечаешь copy-paste, тщательно подбирая цензурные выражения. Оказываются, что разработчики слышали про атаки на WEB, но все как-то времени нет это все систематизировать, описать, донести и внедрить. Иными словами это твоя работа! Тут же узнаешь, что проект старый, сложный, писанный кому не лень было. Действующая команда вынуждена продолжать традиции, да еще постоянная нехватка сил на необходимое развитие.
Возвращение на рабочее место и поиск ответа на «Что делать ?». mod_security одним махом прикроет множество проблем! Находишь тестовый сервер, просишь развернуть проект, поднимаешь mod_security. Тестируешь сайт. Он работает лишь частично. mod_security тебе рассказывает, что в запросах обнаруживается нечто, сильно похожее на SQL: «select id,username .....». Изучаешь код страницы и обнаруживаешь симпатичный самописный фреймворк, которой на javascript генерит SQL запросы на основании действия пользователя.

Идешь покупать кружку.