Những lỗi bảo mật web thường gặp ở phần application

GNTech Seminar Những lỗi bảo mật web thường gặp ở phần application

Mục đích buổi seminar Load balancer Web server Application MySQL Memcached ... Những phần khác application thì cả thế giới đều dùng chung nên cả thế giới đều ra sức bịt lỗi bảo mật. Còn phần application lập trình viên tự viết nên phải tự giải quyết. => Chúng ta là lập trình viên web. Buổi seminar này nâng cao hiểu biết về các lỗi bảo mật thường gặp ở phần application, phần do chính chúng ta tự tay tạo ra ! ,[object Object],[object Object],[object Object],[object Object],...

Triết lí để tránh lỗi bảo mật ,[object Object],[object Object],[object Object]

Input: Lợi dụng lòng tin của server dành cho user Output: Lợi dụng lòng tin của user dành cho server

Căn bản về session Nhiều lỗ hổng liên quan đến session => Trước hết chúng ta ôn lại về session

WHAT: Session là gì? Server Client Cùng 1 client Server nhận nhiều request độc lập Vấn đề là server phải làm sao để nhận biết chúng cùng thuộc về 1 user => Khái niệm session Request Request Request

Ví dụ thực tế ,[object Object],[object Object],[object Object],[object Object]

HOW: Các cách lưu session ,[object Object],Nhóm 1: Chỉ lưu ở client * Nhúng vào URL (href của link hoặc action của form) * Cookie Nhóm 2: Lưu ở cả client và server * Client: chỉ lưu key (lưu ở URL hoặc cookie) * Server: lưu key và value (lưu ở file, memory, ở máy khác (DB, memcached v.v.)) Chắc chắn phải lưu cái gì đó ở client Session thường được biểu diễn dưới dạng hash (key-value)

Demo ,[object Object],[object Object],[object Object]

A: Header Key – Value Key – Value Body Header Key – Value Set-Cookie – Value Key – Value Body Header Key – Value Cookie – Value Key – Value Body Client Server Cookie là opaque data: server set cái gì trong response thì client lần request sau sẽ trả về nguyên xi Response Request Request

Q: Làm thế nào để thực hiện tính năng login cho trang web?

Lời khuyên về session ,[object Object],[object Object],[object Object],[object Object]

Mục lục ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

SQL injection ,[object Object],[object Object],[object Object],[object Object]

CSRF Trên blog của mình, nạn nhân Camanh viết: Khóc... như một đứa trẻ bị người khác giật lấy 200 trang nhật ký... xé tan... Q: 2 screenshot giống nhau ở điểm nào? http://vnexpress.net/Vietnam/Vi-tinh/Hacker-Virus/2007/03/3B9F3B21/ http://vnexpress.net/Vietnam/Vi-tinh/2007/03/3B9F3BF1/

[object Object],[object Object],[object Object],[object Object],[object Object]

[object Object],[object Object],[object Object]

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Redirection (một trong nhiều cách phising) ,[object Object],[object Object]

Cookie replay ,[object Object],[object Object],[object Object],[object Object],[object Object]

XSS ,[object Object],[object Object],[object Object]

Session fixation ,[object Object],[object Object],[object Object],[object Object],[object Object]

Tham khảo ,[object Object],[object Object]

Những lỗi bảo mật web thường gặp ở phần application

Recomendados

Recomendados

Más contenido relacionado

La actualidad más candente

La actualidad más candente (19)

Destacado

Destacado (20)

Similar a Những lỗi bảo mật web thường gặp ở phần application

Similar a Những lỗi bảo mật web thường gặp ở phần application (20)

Más de Ngoc Dao

Más de Ngoc Dao (20)

Những lỗi bảo mật web thường gặp ở phần application