Das zentrale Ziel dieses Artikels ist, eine Netzanwendung Sicherheit Berichtmethodenlehre festzulegen, die komplett wiederholbar ist, approachable, und durch Leser, die die Klugheit anwenden möchten wir’ve gewonnene Überjahre von sie professionell durchführen. Die grundlegenden Schritte in der Methodenlehre sind
|
|
- profilieren Sie die Infrastruktur
- Angriff Netzbediener
- überblicken Sie die Anwendung
- nehmen Sie die Authentisierung Einheit in
Angriff
- nehmen Sie die Ermächtigung Entwürfe in
Angriff
- führen Sie eine Funktionsanalyse durch
- nutzen Sie die Datenkonnektivität aus
- nehmen Sie die Managementschnittstellen
in Angriff
- greifen Sie den Klienten an
- stoßen Sie einen Ablehnung-von-Service Angriff aus
Der erste Schritt in der Methodenlehre ist, ein hochqualifiziertes Verständnis der Ziel Netzinfrastrukturs aufzulesen. Gibt es ein spezieller Klient, der notwendig ist, an die Anwendung anzuschließen? Welche Transporte verwendet sie? Über welchen Toren? Howmany Bediener sind dort? Gibt es ein Last Stabilisator? Was ist die Marke und das Modell des Netz server(s)? Werden externe Aufstellungsorte an für etwas Funktionalität gebaut?
Die blosse Zahl web- serversoftware-Verwundbarkeit, die erschienene Marken diese von der ersten und normalerweise die meisten fruchtbaren Bereiche der Forschung für einen Netzhacker gewesen sind. Wenn Aufstellungsortleitung nachlässig ist, können Sie das jackpot hier schlagen.
Wenn keine ernste Verwundbarkeit schon gefunden worden ist, gut für die Anwendungsentwickleren (oder möglicherweise sie’bezüglich gerechten glücklichen). Jetzt wendet Aufmerksamkeit an eine granuliertere Prüfung der Bestandteile der Anwendung selbst,—welche Art des Inhalts auf den Bediener läuft? Das Vermessen einer Netzanwendung versucht, zu erkennen, welche Anwendung Technologien entfaltet werden (Asp, ISAPI, Java, cgi, andere?), die Verzeichnisstruktur und der Akte Aufbau des Aufstellungsortes, irgendeines beglaubigten Inhalts und der Arten der Authentisierung benutzt, des externen Gestänges (falls vorhanden) und der Natur von Hinterdatastores (falls vorhanden). Dieses ist vermutlich einer der wichtigsten Schritte in der Methodenlehre, da Aufsicht hier bedeutende Effekte auf der gesamten Genauigkeit und der Zuverlässigkeit des gesamten Anwendung Berichts haben kann.
Wenn irgendein beglaubigter Inhalt im vorhergehenden Schritt entdeckt wird, sollte er gänzlich analysiert werden, da er das meiste wahrscheinliche empfindliche Bereiche eines Aufstellungsortes schützt. Techniken für das Festsetzen der Stärke der Authentisierung Eigenschaften schließen das automatisierte Kennwort ein, das die Angriffe schätzt und spoofing Zeichen innerhalb eines Plätzchens und so weiter.
Sobald ein Benutzer beglaubigt wird, ist der folgende Schritt, Zugang zu den Akten und zu anderen Gegenständen in Angriff zu nehmen. Dieses kann in den verschiedenen Weisen durch—traversal Techniken des Verzeichnisses vollendet werden und die Benutzergrundregel ändern (zum Beispiel, durch das Ändern von von Form- oder Plätzchenwerten), um versteckte Gegenstände mit guessable Namen bitten, canonicalization Angriffe, entwickelnde Privilegien versuchen, und vorrangige Befehle einen Tunnel anlegen zum SQL Bediener.
Ein anderer kritischer Schritt in der
Methodenlehre ist die tatsächliche Analyse jeder einzelnen Funktion
der Anwendung. Das Wesentliche der Funktionsanalyse kennzeichnet
jede Teilfunktion der Anwendung (zum Beispiel, der aufspürende
Auftrag Eingang, Bestätigung und Auftrag) und versucht, Störungen in
jede Eingang Aufnahmewanne einzuspritzen. Dieser Prozeß der
versuchten Störung Einspritzung ist zur prüfenden
Software-Sicherheit zentral und gekennzeichnet manchmal als Eingang
valida
tion Angriffe.
Einige der verheerendsten Angriffe auf Netzanwendungen beziehen wirklich auf der Hinterdatenbank. Schließlich dieses’s normalerweise, wo alle saftigen Kunde Daten irgendwie gespeichert wird, nach rechts? Wegen der Myriade der Weisen, die, zum von von Netzanwendungen mit Datenbanken anzuschließen vorhanden sind, neigen Netzentwickler, auf die leistungsfähigste Weise, diese Beziehung herzustellen, anstatt das sicherste zu konzentrieren.
Bis jetzt besprachen wir’Hafen t eine der anderen wesentlichen Dienstleistungen, die gewöhnlich auf oder um Netzanwendungen läuft: Fernverwaltung. Netzaufstellungsorte lassen 24/7 laufen, das daß es s’nicht immer durchführbar bedeutet, damit das Webmaster im Rechenzentrum sitzt, wenn etwas aktualisieren oder regeln muß. Kombiniert mit der natürlichen Neigung der Netzvölker für Remotetelework (kein Kleidcode erfordert)’, es s eine gute Wette, daß jede mögliche gegebene Netzanwendung Architektur hat ein Tor, das irgendwo, Fernwartung der Bediener, Inhalt, Hintergeöffnet ist datenbanken zu ermöglichen und so weiter.
In der Hinzufügung gerade über jedes Netzwerkanschlußprodukt (Kleinteile oder Software) das produziert worden ist, seit das mittlere’90s wahrscheinlich mit einer Netz-gegründeten Managementschnittstelle versendete, die auf einen eingebetteten Netzbediener läuft.
In vielen Jahren der professionellen prüfenden Netzanwendung, wir’ve gesehenes Gestopftes wenig passende Zeit des Berichtnehmens, Angriffe gegen die Klient Seite der Netzanwendung Architektur zu betrachten. Dieses ist eine grobe Aufsicht in unserer Schätzung, da es einige Verwüstenangriffe gegen die Netzbenutzergemeinschaft über den Jahren, einschließlich Kreuz-Aufstellungsort scripting Tricke, wie die gegeben hat, die für eBay, E*Trade und Citigroup s’Netzaufstellungsorte, sowie Internet-getragene Endlosschrauben wie Nimda veröffentlicht werden, das innerhalb einer Gauner Web site leicht eingeführt werden und über URL zu den Millionen Leuten heraus verschickt werden, oder zu einem populären newsgroup bekanntgegeben werden, oder über on-line-Schwätzchen nachgeschickt werden könnte.
Annehmen, daß ein Angreifer hasn’t, das innen an diesem Punkt in der Methodenlehre, der letzte Schutz eines besiegten Verstandes erhalten wird, Leistungsverweigerung (DOS) ist, ein trauriger aber zutreffender Bestandteil heutiger Tag’s des Internets. Wie der Name schon andeutet beschreibt DOS die Tat des Verweigerns von von Netzanwendung Funktionalität zu den gesetzmaßigen Benutzern. Es wird gewöhnlich durchgeführt, indem man eine Flut des Verkehrs zu einem Aufstellungsort herausgibt und aus gesetzmaßigen Anträgen ertrinkt.
Online: 961 users browsing the articles directory
|
|