tot_ra 15 янв 2009 в 07:48

20 критических уязвимостей в программе

1 мин

542

Чулан

+10

Комментарии 18

maxic 15 янв 2009 в 08:01

Неплохо показать еще примеры, для каждого пункта ;)

pieceofsummer 15 янв 2009 в 08:36

Ну, эдак нужно по отдельной статье почти на каждый пункт писать… :)

iBear 15 янв 2009 в 08:12

Валидация на стороне клиента но не на стороне сервера не является ошибкой в том случае, если параллельно присутствует валидация на сервере :)

tFirma 15 янв 2009 в 09:45

Может, фразой "но не на стороне сервера" автор именно это и имел в виду?

mace 15 янв 2009 в 08:30

А какая тема… Ведь можно было столько написать по этому поводу… Собственно опытные люди об этом прекрасно знают, а неопытные ничего не поймут.

Error_403_Forbidden 15 янв 2009 в 10:02

Опытными людьми не рождаются, а становятся из неопытных.
А такие статьи помогают в данном метаморфозе :)

mace 15 янв 2009 в 10:05

Это не статья — это список уязвимостей без объяснений, что они означают, примеров таких уязвимостей и методов, которые помогают их избежать. Поэтому она и вряд ли чем-нибуть сможет помочь.

Error_403_Forbidden 15 янв 2009 в 11:34

Что не статья, согласен. А что не поможет — не согласен

EugeneKudashev 15 янв 2009 в 11:41

Ну, вот там по ссылке оригинал статьи на английском (Top25). В этой статье каждая ошибка снабжается подробным описанием и советами — как действовать, чтобы избежать появления этих ошибок в своих разработках.

Огромная она, перевести целиком — большой труд. Хотя, если в этой ветке найдутся желающие, можно выполнить коллективный перевод (сами-знаете-где :)).

UseShots 15 янв 2009 в 09:43

А мне картинки понравились: Чтоб у программы гарантированно не было проблем с безопасностью, нужно на самом начальном этапе отказаться от её создания.

ptaxa 15 янв 2009 в 09:48

19 ну любые случайные числа генерируемы компом «недостаточно случайны»)) Правда недавно был пост о случайных числах типа курса доллара или счета матча)
зы картинки действительно забавные

lorc 15 янв 2009 в 16:42

Ну энтропию можно откуда-то набрать.
Классические варианты — временные промежутки между нажатиями клавиш, кликами мышки, активность в локальной сети, шум на микрофонном входе и т.д.
Вполне себе случайные вещи (что конечно не освобождает от проверки набранных данных на случайность). Накопив таким образом случайную информацию — можно начинать генерировать действительно случайные числа.

В некоторых системах есть специальные аппаратные датчики случайных чисел. Так что не всё так плохо :)

Narada 15 янв 2009 в 09:48

Маловато будет, но уже очень хорошо и полезно. Про ресурсы можно добавить, чтоб подчищали.

Вообще когда пишешь в стиле extreme coding(без проектирования и прочего) такая памятка пригодится, чтоб совсем не краснеть за свой говнокод :)

PS Давайте каждый, кто знает, где ещё нужно уделять внимание, поделится знаниями.
PPS Имхо новичкам тоже очень полезно ;)