.
La meta central de este artículo es disponer una metodología de la revisión de la seguridad del uso del Web que sea comprensiva, accesible, y repetible por los lectores que desean aplicar la sabiduría nosotros’los años excesivos ganados ve de realizarlos profesionalmente. Los pasos básicos en la metodología son
- perfile la infraestructura
- servidores del Web del ataque
- examine el uso
- ataque el mecanismo de la autentificación
- ataque los esquemas de la autorización
- realice un análisis funcional
- explote la conectividad de los datos
- ataque los interfaces de la gerencia
- ataque a cliente
- lance un ataque del negacio'n-de-servicio
El primer paso en la metodología es espigar una comprensión de alto nivel de la infraestructura del Web de la blanco. ¿Hay un cliente especial necesario para conectar con el uso? ¿Qué transportes utiliza? ¿Sobre qué puertos? ¿Los servidores de Howmany están allí? ¿Hay un balanceador de la carga? ¿Cuál es la marca y el modelo del server(s) del Web? ¿Los sitios externos se confían encendido para una cierta funcionalidad?
El número escarpado de las vulnerabilidades del software del servidor del Web que han sido marcas publicadas ésta del primera y generalmente la mayoría de los campos de investigación fructuosos para un hacker del Web. Si la administración del sitio es descuidada, usted puede golpear el jackpot aquí.
Si no se ha encontrado ningunas vulnerabilidades serias todavía, bueno para los diseñadores de uso (o quizá ellas’re afortunado justo). ¿Ahora la atención da vuelta a una examinación más granular de los componentes del uso sí mismo—qué clase de contenido funciona en el servidor? Examinar un uso del Web procura discernir se despliegan qué tecnologías del uso (ASP, ISAPI, Java, cgi, otros?), la estructura del directorio y la composición del archivo del sitio, cualquier contenido authenticado y los tipos de autentificación usados, acoplamiento externo (si cualquiera), y la naturaleza de datastores back-end (si cualquiera). Éste es probablemente uno de los pasos más importantes de la metodología, pues los descuidos aquí pueden tener efectos significativos en la exactitud y la confiabilidad totales de la revisión entera del uso.
Si cualquier contenido authenticado se descubre en el paso anterior, debe ser analizado a fondo, pues protege muy probablemente áreas sensibles de un sitio. Las técnicas para determinar la fuerza de las características de la autentificación incluyen la contraseña automatizada que conjetura los ataques, spoofing símbolo dentro de una galleta, etcétera.
Una vez que authentiquen a un usuario, el paso siguiente es atacar el acceso a los archivos y a otros objetos. Esto se puede lograr de varias maneras—con técnicas traversal del directorio, cambiando el principio del usuario (por ejemplo, alterando valores de la forma o de la galleta), solicitando objetos ocultados con nombres guessable, procurando los ataques del canonicalization, privilegios de extensión, y haciendo un túnel órdenes privilegiadas al servidor del SQL.
Otro paso crítico en la metodología es el
análisis real de cada función individual del uso. La esencia
del análisis funcional está identificando cada función componente
del uso (por ejemplo, entrada, confirmación, y orden de la orden que
sigue) y está procurando inyectar averías en cada receptáculo de la
entrada. Este proceso de la inyección procurada de la avería
es central a la seguridad del software que prueba, y se refiere a
veces como valida de la entrada
ataques del tion.
Algunos de los ataques más devastadores contra usos del Web se relacionan realmente con la base de datos back-end. ¿Después de todo, ese’s generalmente donde todos los datos jugosos del cliente se almacenan de todos modos, a la derecha? Debido a la miríada de las maneras disponibles para conectar usos del Web con las bases de datos, los reveladores del Web tienden para centrarse en la manera más eficiente de hacer esta conexión, más bien que el más seguro.
Hasta este momento, el asilo’t discutimos uno de los otros servicios esenciales en el cual funciona típicamente o alrededor de usos del Web: gerencia alejada. Los sitios del Web funcionan 24/7, que significa que él’s no siempre factible para que el Webmaster se siente en el centro de datos cuando algo necesita ponerse al día o fijar. Combinado con la propensión natural de la gente del Web para el telework alejado (ningún código del vestido requerido), él’s una buena apuesta que cualquier arquitectura dada del uso del Web tiene un puerto abierto en alguna parte permitir el mantenimiento alejado de servidores, contenido, bases de datos back-end, etcétera.
Además, apenas sobre cada producto del establecimiento de una red (hardware o software) se ha producido que desde que el 90s’mediados de envió probablemente con un interfaz de la gerencia de Web-based que funcionaba en un servidor encajado del Web.
En muchos años del uso profesional del Web que prueba, nosotros’darn visto ve poco tiempo apropiado de la toma de las revisiones para considerar ataques contra el lado del cliente de la arquitectura del uso del Web. Esto es un descuido grueso en nuestra valoración, puesto que ha habido algunos ataques de la devastación contra la comunidad de usuario del Web sobre los años, incluyendo trabajos scripting del cruz-sitio, como ésos publicados para los sitios eBay, de E*Trade, y’de Citigroup s del Web, así como gusanos Internet-llevados como Nimda que se podría poner en ejecucio'n fácilmente dentro de un sitio del Web del granuja y enviar hacia fuera vía el URL a millones de gente, o fijar a un newsgroup popular, o remitir vía charla en línea.
Si se asume que un hasn t’del atacante conseguido adentro a este punto en la metodología, el refugio pasado de una mente derrotada es negación del servicio (DOS), un componente triste pero verdadero del Internet’de hoy s. Como sugiere su nombre, el DOS describe el acto de negar funcionalidad del uso del Web a los usuarios legítimos. Es realizado típicamente publicando una inundación del tráfico a un sitio, ahogándose fuera de peticiones legítimas.
Online: 261 users browsing the articles directory
. |