Раньше я глумился над тем, как начинающие php-кодеры создают свои первые странички, учатся писать сначала в файлы, потом в БД, подключают отправку сообщений на e-mail, добираются до крупномасштабных проектов по созданию гостевого раздела с коментариями и смайликами, самозабвенно игнорируя учебники и статьи, где подробно рассказывалось о том, что входящие переменные нужно проверять, а использование globals == зло…

… теперь мне страшно смотреть на то, как те же люди, так и не научившись на своих и чужих ошибках, лепят дырявые ужасные сайты в роли фрилансеров для серьезных проектов, пишут модули для интернет-магазинов, через которые можно уронить БД сайта и пр.

В этой статье я популярно покажу на примерах методы использования и защиты от уязвимостей XSS, SQL-injection, script-injection, а также ткну пальцем в частые ошибки, чтобы никто из прочитавших не вытворял подобное и продвигал простые истины дальше в массы, исключая глупые и опасные ошибки в скриптах

Один весьма мной уважаемый гн Ден Каминский (Dan Kaminsky — известен благодаря обнаружению им фундаментальной уязвимости в DNS ) предложил очень интересную универсальную технику защиты от SQL injection и XSS.

Метод очень просто и от того гениален.

Softpedia.com сообщает о взломе интернет-магазина Symantec. Румынский хакер по прозвищу Unu (известный ранее по взлому американской версии Интернет-магазина ЛК и BitDefender) на этот раз использовал инъекцию SQL-запроса в БД вебсайта pcd.symantec.com.


Unu смог достаточно легко добраться до таблицы в БД, связанной с Интернет-магазином вендора. Там его внимание привлекло наличие раздела «PaymentInformationInfo», в котором содержались адреса, данные по кредитным картам (месяц и год окончания карты, номер, тип, адреса почты, имена и фамилии владельцев, секретный код и так далее).


Кроме того, он также получил доступ к базе, в которой хранились логины и пароли посетителей сайта, включая информацию о покупках и выданных ключах на продукты.

Введение

Этот топик — начало небольшого цикла о панацеях от различных уязвимостей Web-приложений.

Так уж случилось, что SQL-инъекциями страдает большое количество Web-приложений. И сколько не пишется статей, сколько не публикуется багрепортов — все равно, программисты забивают забывают, что пользователь может подставить в параметры их приложению все, что им захочется.