Beveiliging
Dit is puur bedoeld voor zelfstudie en het opleveren van kwaliteit producten, dus niet om te misbruiken.
Ik ben op zoek naat tip's, methodes en wegen om je creaties, producten en projecten zo goed mogelijk te testen. Zonder honderden euro's neer te moeten tellen om dit via bedrijven te doen.
Dan heb ik het over MySQL injection, en andere gevoeligheden voor verkeerd programmeren of webserver configuratie.
Titel is aangepast op verzoek van Chris (beheerder)
Gewijzigd op 16/05/2012 16:37:23 door Chris PHP
Veel informatie is vaak out-dated want dan ben je eindelijk klaar met lezen en zie ke plots post dates van 2005 enzo staan.
Tevens lijkt het me handig voor meerdere mensen hier die nog in het vroege stadia van PHP en MySQL zitten.
toevoeging: Ik heb nu de eerste 2 pagina's van Google gehad met deze zoekterm: "Hoe beveilig je een website", en dan kom je wat over .htaccess tegen (wat zeker relevant is!).
Maar ook wat jokers die de volgende dingen roepen.
- 'no-rightclick' scripts is beveiliging,
- een password genereren en dan aanraden het zo op te slaan (zonder encryptie).
- een virusscanner aanraden (waar komen die mensen vandaag 1900?)
- update's van Joomla, Wordpress en Drupal aanraden (alleen handig als je het gebruikt)
Maar nergens wordt dan ook daadwerkelijk verteld hoe je de beveiliging zelf kunt testen. Dus doormiddel van een hack uit te voeren.
Gewijzigd op 16/05/2012 13:51:29 door Chris PHP
Hoe kun je nou je eigen site testen op zaken als sql injectie, xss enzovoorts?
Lijkt me een goed idee om alle tips in dit topic te verzamelen!
Wat kun je bijvoorbeeld invullen in (een) invoerveld(en) om te testen of je site lek is? Wie kan wat concrete voorbeelden geven?
Ja dat vond ik ook, we passen overal wel goede technieken toe zoals escapen, casten, etc. Maar ik weet geen tool/manier om dit op alle aspecten te testen.
Er zijn wel wat tooltjes die je site vol met SQL Injection gooien, maarja dat is dan alleen het SQL verhaal. Niets over slechte foutafhandeling (errors die te veel info vrijgeven waar hackers gebruik van kunnen maken), etc.
Misschien bestaat er wel één tooltje waar je gewoon een url kunt invoeren en dat de website dan vervolgens "getest" wordt op allerlei mogelijke gevaren?
http://short.nu/Bg
Havij is een vrij bekende tool, deze is beschikbaar in een freeware versie en een betaalde versie(meer mogelijkheden). Ik heb deze al een aantal keren gebruikt en werkt leuk.
Echter voor de rest kan ik niet veel vinden, zodra ja maar op 'hacking tool' durft te zoeken krijg je vanalles naar je hoofd. Maar niet de dingen die je als ontwerper wilt hebben.
Tijdens mijn minor wat over dit onderwerp ging heb ik veel geleerd op het gebied van beveiligen. Zowel van email-handtekeningen tot xss en sql injectie voor websites.
Het beste om je site te testen op bijvoorbeeld xss en sql injectie is door je hier zelf in te verdiepen.Zelf te proberen, weten hoe het werkt, en hoe hackers te werk gaan. Zo weet jij hoe hackers het doen en wat je moet doen om je er tegen te beveiligen. Vraag het ook eens aan een ander 'betrouwbaar' iemand om eens te kijken.
Tegen sql injectie en xss is vaak simpel te beveiligen. TamperData is een mooie tool die je hiervoor kan gebruiken om te testen. Maar je hebt meer op dit gebied dan alleen deze twee. Er is hier genoeg van te vinden op het www.
Ik heb hier nog wel documenten over liggen, als je hier interesse in hebt wil ik wel het een en ander doorsturen wanneer ik tijd heb.
Die link wordt geblocked door de proxy met de melding 'hacking' dus kan ik helaas niet zien.
Toevoeging op 16/05/2012 14:32:46:
@Niek,
Ik zal ook vanavond eens daarop zoeken, kijken wat ik gevonden kan krijgen. Is TamperData een gratis of betaalde variant?
Daarom vraag ik hier ook om hulp, ik weet zo geen SQL injections te creeren. Wellicht dat hier mensen dat wel weten.
Ja die documenten zijn uiteraard altijd welkom, je mag deze altijd sturen als je er de tijd voor hebt.
Als ik dingen tegenkom in 't topic die niet kloppen naar mijn idee, zal ik dit wel aangeven, maar ik ga verder niet uitgebreid in over de zaken. Ik doe dit nu al 5 jaar, research, try & error, uit 't bolle koppie. Het is overigens vrij simpel om het tegen te gaan, je moet alleen letten op "kleine" details.
Ik heb overigens een checklist liggen die ik gebruik bij security audits. Deze kun je, alleen in dit topic, downloaden in ruil voor een tweet. De checklist heeft 20 punten en hier ga ik technisch niet op in in dit document zelf. Dat doe ik d.m.v. de volledige audit rapportage.
Verdere vragen? Ask 'm!
Jij zegt "je moet alleen letten op "kleine" details"... "
Kun je eens een voorbeeld geven van (enkele van) die kleine details?
Vertrouw nooit data die wordt verzonden door een client. Dus ook géén MIME-types en POST-variabelen. Een select-box is niet meer dan een input-veld en kan dus worden aangepast. Als je drie opties geef, moet je controleren of de opgegeven data geldig is, is de opgegeven data één van de drie opties?
Gebruik jij ook dat Havij programmaatje (waar kun je dat krijgen trouwens)? En vil je daar dan gewoon de (root van een) url in? Werkt het zo simpel?
Ik snap echter heel goed dat je je hard verdiende informatie en kennis hier niet open en bloot op het net legt. Dat zou ik ook niet doen, je verdient er je brood mee.
Ik ga niet naar shady site's, puur omdat ik die niet vertrouw. Ik doe veel dingen op mijn pc zoals bankzaken, klantadministratie, ontwerpen, programmeren, etc. Geen zin dat er een logger, trojan, malware of andere onwillige dingen op komen.
Ja ik heb een goede virusscanner, ja ik heb een goede firewall, ja ik gebruik gezond verstand. Echter zijn er veel dingen die er tussendoor glippen (kijk naar het NU.nl virus een maand geleden).
Vandaar dat ik om tips, methodes en wellicht wat 'betrouwebare' tooltjes vraag, en niet een crash course hacken.
Het is immers het zelfde als met inbrekers, als ze erin willen komen ze toch wel binnen.
Dank je voor de 20 point list, ik zal je vanaaf een tweet geven.
Toevoeging op 16/05/2012 14:51:59:
@Ozzie, je kunt die krijgen bij de link die ik je gestuurd heb. Dat is de officiele site.
hier hoe het werkt.
http://www.devilscafe.in/2012/01/sql-injection-tutorials-and-sql.html
Ik ga denk ik eens al die lijsten voldoen voor een 'klein' cms.
Eerste punt dat ik zal doen is een bruteforce voorkomen.
Dem
Gewijzigd op 16/05/2012 15:11:55 door - Diov -
Ik ben overigens blij dat je het idee van de tweet begrijpt, én waarom ik hier niet alles ga neerzetten.
Ik wil nog wel even benadrukken dat het plaatsen van links naar fora's die te maken hebben met hacken, niet zijn toegestaan. Het plaatsen van blogs met artikelen die te maken hebben met beveiliging (lees het duidelijke verschil!) zijn wél toegestaan.[/modedit]