Комментарии к публикации «Защищаем сайт от атак на примере ХабраХабра»

23.07.2012 13:44:07 presto5

presto5 — Mon, 23 Jul 2012 13:44:07 GMT

htmlspecialchars не защищает от XSS с использованием UTF-7, нужно использовать htmlentities — http://stackoverflow.com/questions/3623236/htmlspecialchars-vs-htmlentities-when-concerned-with-xss

15.03.2012 15:02:28 MrFreeman

MrFreeman — Thu, 15 Mar 2012 15:02:28 GMT

И выражаю огромную благодарность хабре за более 200 человек целевой аудитории!

15.03.2012 13:35:30 Fragster

Fragster — Thu, 15 Mar 2012 13:35:30 GMT

От 95% XSS неплохо защищает сборка целиком через DOM, ну или только динамических полей. Да и код чище получается.

15.03.2012 12:24:35 gunya

gunya — Thu, 15 Mar 2012 12:24:35 GMT

И выборка трех тысяч записей не самое быстрое удовольствие, как и последующая их передача (У нас же репликация написана)

15.03.2012 12:23:04 gunya

gunya — Thu, 15 Mar 2012 12:23:04 GMT

Извините, но в данном конкретном приведенном mayorovp случае такое сделать нельзя. Автоинкрементный id (Насколько я понял) со значением sleep(1000) меня бы насторожил.

15.03.2012 10:50:39 MrFreeman

MrFreeman — Thu, 15 Mar 2012 10:50:39 GMT

Если бы вы создали проект, то убедилиь что данная функция реализована в первую очередь, называется она верификация или подтверждения прав на сайт, дабы защитить сайты от заказа со стороны конкурентов. Спасибо за интерес к нашему сервису!

15.03.2012 10:35:19 kafeman

kafeman — Thu, 15 Mar 2012 10:35:19 GMT

Между прочим, Хабр режет картинки на внутренние скрипты

15.03.2012 09:41:35 truezemez

truezemez — Thu, 15 Mar 2012 09:41:35 GMT

Аааа, Вы об этом… Я Вас неправильно понял.

15.03.2012 09:24:57 mayorovp

mayorovp — Thu, 15 Mar 2012 09:24:57 GMT

Хорошим способом является динамических токен, хранящийся в сессии пользователя и добавляемый во все формы как скрытый параметр.

Если параметра нет — сервер либо игнорирует запрос, либо показывает страницу вида «Вы уверены?»

15.03.2012 09:21:16 mayorovp

mayorovp — Thu, 15 Mar 2012 09:21:16 GMT

Сервисы google работают аналогично

15.03.2012 09:19:59 mayorovp

mayorovp — Thu, 15 Mar 2012 09:19:59 GMT

Не знаю, как ваша любимая СУБД, а SQL Server Express имеет ограничение на 2048 параметров запроса.

15.03.2012 09:17:25 Isis

Isis — Thu, 15 Mar 2012 09:17:25 GMT

Это не XSS, а CSRF

15.03.2012 09:14:43 Throwable

Throwable — Thu, 15 Mar 2012 09:14:43 GMT

Не обязательно для XSS использовать JavaScript. Например, если на сайте разрешена публикация картинки, то взломщик в качестве src может указать что-нибудь вроде «mysite.com/logout» или повесить менее безобидный action. При закрузке страницы браузер попытается загрузить данный image и вызовет action внутри сессии пользователя.

Хорошего способа от этого взлома нет: либо убрать полностью GET с сайта, либо производить жесткую валидацию внутренних URL-ей, либо вообще при отправке сервер пытается загрузить header имиджа.

15.03.2012 09:09:03 truezemez

truezemez — Thu, 15 Mar 2012 09:09:03 GMT

для таких запросов можно сделать так (php): stackoverflow.com/a/920523

15.03.2012 06:06:01 MaxF

MaxF — Thu, 15 Mar 2012 06:06:01 GMT

Если претендуете на легальность, то добавьте простенький функционал подтверждения прав на сайт (как у гугл или яндекс) — например, чтобы заказчик разместил на корне текстовый файл с вашим кодом.

15.03.2012 05:46:00 Rive

Rive — Thu, 15 Mar 2012 05:46:00 GMT

Туда можно sleep() запихнуть.
То есть запрос вида

select data1, data2, data3 from tbl where id=sleep(100) limit 10

подвешивает базу данных на тысячу секунд. Используя конструкцию if, взломщик может вытащить что-нибудь из базы данных, используя отклик «уснуло — не уснуло».
Трудоёмко, но чего только не сделают, чтобы удовлетворить любопытство.

15.03.2012 04:40:32

Thu, 15 Mar 2012 04:40:32 GMT

НЛО прилетело и опубликовало эту надпись здесь

14.03.2012 20:37:27 ishaba

ishaba — Wed, 14 Mar 2012 20:37:27 GMT

Ну а вот от такого рода «атак» защитится, как мне кажется, не представляется возможным.

14.03.2012 20:15:00 Dr_Logic

Dr_Logic — Wed, 14 Mar 2012 20:15:00 GMT

О сорри, не посмотрел на никнейм :)

14.03.2012 19:52:10 asm0dey

asm0dey — Wed, 14 Mar 2012 19:52:10 GMT

Я лично еще два года назад несмотря на использование JPA (Java) использовал конкатенацию и не понимал, почему же это плохо. Боже, каким же дубиной я был.

14.03.2012 18:53:22 MrFreeman

MrFreeman — Wed, 14 Mar 2012 18:53:22 GMT

В общем, советы те же, только теперь вам стоит немного потратиться на человека, который за деньги проверит ваш сайт на наличие уязвимостей и сообщит вам результаты.
Хочу предложить Вам в помощь сайт для проверки защиты вашего ресурса — по сути фриланс биржа для людей обладающих умением взлома. От вас требуется разместить проект, указать тип уязвимости и бюджет. Дальше просто — ждать предложения выполнить проект от экспертов взлома. Проект молодой и ждёт своих клиентов!
hackmysite.ru/

14.03.2012 17:53:18 kafeman

kafeman — Wed, 14 Mar 2012 17:53:18 GMT

Давно же вроде уже исправил…

14.03.2012 17:40:02 router

router — Wed, 14 Mar 2012 17:40:02 GMT

Я больше писал для информации для тех, кто, возможно, столкнется и не поймет, а не как претензию.
Если вам не сложно, исправьте пожалуйста.

14.03.2012 15:49:03 Homakov

Homakov — Wed, 14 Mar 2012 15:49:03 GMT

лол взломал то я и ответственно заявляю что rails сам ый секьюрный фреймворк. На эту тему как раз готовлю «разоблачительный» пост а то после бурления говна все всё не так поняли

14.03.2012 15:09:16 gunya

gunya — Wed, 14 Mar 2012 15:09:16 GMT

Cамый безопасный способ, который я видел — у vk.
Собственно, вся авторизация — на login.vk.com, там хранится мастер-куки, назову его так.
При авторизации на любом сайте или сервисе идет редирект на login.vk.com, где проверяется мастер-куки, и делается редирект на страницу, на которой ставится куки-токен для нужного сайта.
Мастер-куки имеет долгий срок жизни, не зависит от ip или чего-либо еще. Куки-токен при смене IP или чего-либо еще сбрасывается. То есть кража куки-токена через XSS ничего не даст, при этом доступа к мастер-куки нет. Единственное, что может быть — xss на login.vk.com, но ИМХО гораздо проще защитить одну страницу, чем весь сайт.

14.03.2012 15:03:06 Terion

Terion — Wed, 14 Mar 2012 15:03:06 GMT

Ах, да, еще все формы укрываю CSRF-кодами

14.03.2012 15:00:00 Terion

Terion — Wed, 14 Mar 2012 15:00:00 GMT

Конечно, уязвимости есть везде. Но тотальная фильтрация всего ввода и ВСЕГДА контроль клиентских действий на стороне сервера — это то что я делаю на всех сайтах, без исключения.
Первое и главное правило: код на стороне клиента — код в руках врага.

14.03.2012 14:56:26 SilentBrain

SilentBrain — Wed, 14 Mar 2012 14:56:26 GMT

Я ж написал, это не мой код :) а про attr_protected знаем.

14.03.2012 14:40:35 kafeman

kafeman — Wed, 14 Mar 2012 14:40:35 GMT

Исправлю текст в топике — устроит?

14.03.2012 14:34:55 gunya

gunya — Wed, 14 Mar 2012 14:34:55 GMT

Да, возможно, я был слишком категоричен, но с другой стороны, такую конкатенацию в общем случае использовать нельзя. Ваш случай — скорее исключение и довольно-таки слабо связан с уязвимостями веба (По крайней мере, я не вижу способа все сломать как-либо)

14.03.2012 14:34:02 Hint

Hint — Wed, 14 Mar 2012 14:34:02 GMT

Еще в качестве совета можно предложить использование HttpOnly для всех cookie (в этом случае их нельзя будет получить через XSS).

14.03.2012 14:33:13 Dr_Logic

Dr_Logic — Wed, 14 Mar 2012 14:33:13 GMT

Prepared statements доступно и без ORM. ORM — это уже больше к логической организации данных из БД в памяти приложения, она уместно далеко не всегда.

14.03.2012 14:28:47 Dr_Logic

Dr_Logic — Wed, 14 Mar 2012 14:28:47 GMT

Из-за рельсов вроде недавно Гитхаб взломали, не? Не с помощью xss конечно, но стоит помнить, что сам не без греха :)

14.03.2012 14:27:45 router

router — Wed, 14 Mar 2012 14:27:45 GMT

По-моему, это лишает наглядности. Я могу подключить Cisco, а сфоткаю Juniper.

14.03.2012 14:26:42 mayorovp

mayorovp — Wed, 14 Mar 2012 14:26:42 GMT

Да, пользовательского ввода там нет.

Но когда программист пишет «where id=» + $id, он порой тоже думает, что $id никак не является пользовательским вводом…

Это я к тому, что ваше НИКОГДА является слишком категоричным.

14.03.2012 14:23:45 gunya

gunya — Wed, 14 Mar 2012 14:23:45 GMT

но, я правильно понимаю, что пользовательского ввода там нет?

14.03.2012 14:12:39 mayorovp

mayorovp — Wed, 14 Mar 2012 14:12:39 GMT

Это — кустарная репликация базы, запускаемая по таймеру. 3000 записей бывает только при запуске сервера (т.е. раз в неделю/год в зависимости от воли уборщицы), потому и не оптимизируем.

14.03.2012 14:08:45 gunya

gunya — Wed, 14 Mar 2012 14:08:45 GMT

три тысячи записей в вебе?
у меня есть ощущение, что вы что-то делаете не так.

14.03.2012 13:39:48 kafeman

kafeman — Wed, 14 Mar 2012 13:39:48 GMT

Упс — не работает, я не заметил, что вы ссылку на чей-то профиль дали :-)

14.03.2012 13:39:28 mayorovp

mayorovp — Wed, 14 Mar 2012 13:39:28 GMT

Не любая база данных поддерживает prepared statements.
Кроме того, бывают (редко, правда) еще и запросы вида
SELECT * FROM Table1 WHERE Id in (<3000 записей>)