1. Michal Špaček, @iz228 VŠE, květen 2013
www.michalspacek.cz @spazef0rze
Slajdy jsou bez mých poznámek,
nedávají tedy moc smysl pro toho, kdo na semináři nebyl.

2. Útoky na web
SQL Injection
Cross-Site Scripting
Full Path Disclosure
…
a stovky dalších
Michal Špaček
@spazef0rze
www.michalspacek.cz

3. Full Path Disclosure (FPD)
Vyzrazení plné cesty ke skriptu
http://devblog.cz/2012/04/fpd-aneb-full-path-disclosure/
Michal Špaček
@spazef0rze
www.michalspacek.cz

4. Michal Špaček
@spazef0rze
www.michalspacek.cz

5. Michal Špaček
@spazef0rze
www.michalspacek.cz

6. Michal Špaček
@spazef0rze
www.michalspacek.cz

7. Řešení?
display_errors = Off
Michal Špaček
@spazef0rze
www.michalspacek.cz

8. log_errors = On
Michal Špaček
@spazef0rze
www.michalspacek.cz

9. Cross-Site Scripting (XSS)
Útočník vloží na naši stránku
vlastní HTML nebo JS kód
Michal Špaček
@spazef0rze
www.michalspacek.cz

10. Michal Špaček
@spazef0rze
www.michalspacek.cz

11. Michal Špaček
@spazef0rze
www.michalspacek.cz

12. Michal Špaček
@spazef0rze
www.michalspacek.cz

13. HTML Injection (Hi)
hledej?search=a“><img src=“…
value=“a“><img src=“…“>
Michal Špaček
@spazef0rze
www.michalspacek.cz

15. Řešení?
htmlspecialchars($string)
Michal Špaček
@spazef0rze
www.michalspacek.cz

16. htmlspecialchars($string, ENT_QUOTES)
Michal Špaček
@spazef0rze
www.michalspacek.cz

17. Nepoužívat
strip_tags()
proti XSS
Michal Špaček
@spazef0rze
www.michalspacek.cz

18. SQL Injection
Útočník modifikuje SQL dotaz
Michal Špaček
@spazef0rze
www.michalspacek.cz

19. Michal Špaček
@spazef0rze
www.michalspacek.cz

20. Michal Špaček
@spazef0rze
www.michalspacek.cz

21. "… WHERE znacka = '{$_GET['znacka']}'"
Michal Špaček
@spazef0rze
www.michalspacek.cz

22. Michal Špaček
@spazef0rze
www.michalspacek.cz

23. '… WHERE id = ' . $_GET['id']
Michal Špaček
@spazef0rze
www.michalspacek.cz

25. Michal Špaček
@spazef0rze
www.michalspacek.cz

26. ' OR 1=1; -Michal Špaček
@spazef0rze
www.michalspacek.cz

27. SELECT jmeno, adresa
FROM vozidla
WHERE rz = '$prectena';
Michal Špaček
@spazef0rze
www.michalspacek.cz

28. 1AM 1337
SELECT jmeno, adresa
FROM vozidla
WHERE rz = '1AM 1337';
Michal Špaček
@spazef0rze
www.michalspacek.cz

29. ' OR 1=1; -SELECT jmeno, adresa
FROM vozidla
WHERE rz = '' OR 1=1; --';
Michal Špaček
@spazef0rze
www.michalspacek.cz

31. Řešení?
Prepared statements (PDO)
Michal Špaček
@spazef0rze
www.michalspacek.cz

32. SELECT jmeno, adresa
FROM vozidla
WHERE rz = ?;
' OR 1=1; -Michal Špaček
@spazef0rze
www.michalspacek.cz

33. Michal Špaček
@spazef0rze
www.michalspacek.cz

34. mysql_set_charset()
mysql_real_escape_string()
Michal Špaček
@spazef0rze
www.michalspacek.cz

35. Nepoužívat
addslashes()
proti SQLIA
Michal Špaček
@spazef0rze
www.michalspacek.cz

36. 2012 …
Michal Špaček
@spazef0rze
www.michalspacek.cz

37. 2012 … 56
Michal Špaček
@spazef0rze
www.michalspacek.cz

38. 2011 … 51
2010 … 59
2009 … 82
Michal Špaček
@spazef0rze
www.michalspacek.cz

39. Cross-Site
Port Attack
(XSPA)
Michal Špaček
@spazef0rze
www.michalspacek.cz

40. Michal Špaček
@spazef0rze
www.michalspacek.cz

41. Michal Špaček
@spazef0rze
www.michalspacek.cz

42. Distributed
Denial-of-Service
(DDoS)
Michal Špaček
@spazef0rze
www.michalspacek.cz

45. Hashování hesel
Nepoužívat MD5
Ani SHA-1
Michal Špaček
@spazef0rze
www.michalspacek.cz

46. Michal Špaček
@spazef0rze
www.michalspacek.cz

47. Řešení?
SHA-512 a salt?
hash_hmac()
Michal Špaček
@spazef0rze
www.michalspacek.cz

48. oclHashcat
md5($pass.$salt)
md5($salt.$pass)
sha1($pass.$salt)
sha1($salt.$pass)
Michal Špaček
@spazef0rze
www.michalspacek.cz

49. Lepší řešení?
scrypt
Michal Špaček
@spazef0rze
www.michalspacek.cz

50. bcrypt
Blowfish hashing
Michal Špaček
@spazef0rze
www.michalspacek.cz

51. crypt() salt=$2y$…
password_hash()
password_verify()
Michal Špaček
@spazef0rze
www.michalspacek.cz

52. Michal Špaček
@spazef0rze
www.michalspacek.cz

53. Michal Špaček
@spazef0rze
www.michalspacek.cz

54. robots.txt
Michal Špaček
@spazef0rze
www.michalspacek.cz

55. Michal Špaček
@spazef0rze
www.michalspacek.cz

56. /.svn/entries
Michal Špaček
@spazef0rze
www.michalspacek.cz

57. http://hostname/.svn/text-base/index.php.svn-base
Michal Špaček
@spazef0rze
www.michalspacek.cz

58. That's it. That's me.
Michal Špaček
www.michalspacek.cz
@spazef0rze
Přijďte na školení
http://www.michalspacek.cz/skoleni