Zaštita od hakovanja
Nisam neki vičan PHP koder (učim se polako) i imam jedan problem... imam skript (stranu) u kome se delovi učitavaju u zavisnosti od HTTP_GET_VARS-a, tj od parametara koje prosledim kroz link... u kodu to izgleda ovako
Kôd:
<? Kôd:
<? include $page.".php";?> kako da proverim da li se fajl koji učitavam nalazi na mom serveru i ako se nalazi, onda da dopustim da se smesti u varijablu tj. odštampa gde je potrebno? |
Sto bi rekao Harry Fuecks, ovaj tvoj nacin je "path to serious hair loss" :1064:
Elem, ako vec zelis da ukljucujes php strane u zavisnosti od request stinga, onda trebas da uradis sledece: 1) listu dozvoljenih vrednosti za tu 'page' variablu cuvas u nekom array-u tipa: PHP kôd:
3) Mozes koristiti jednostavan metod "kriptovanja" (ovo nije naravno pravo kriptovanje) sadrzaja query stringa sa base64_encode/base64_decode f-jama. I naravno, nikada ne veruj onome sto ti stize sa druge strane (usera). Za vise informacija, mozda da potrazis "Php Architect Guide to Security", mislim da se tako zove knjiga. |
Uh, kod koji sam postavio ne valja nista :)
Ako ti treba knjiga koju je Dinke spomenuo, javi mi se na pp i poslacu ti je... |
Pretpostavimo da je struktura ovakva:
Kôd:
/pages/ PHP kôd:
|
Uh bre, Misko, pa to je jedna od prvih "NO-NO" stvari koje treba da naučiš. Ima dosta članaka na temu security i PHP, trebalo bi da potrošiš par dana da pročitaš to pa onda da prepraviš svoj kod.
Možda izgleda kao veliki napor, ali veruj mi da ćeš se rešiti glavobolja kao što je ova. Pročitaš jednom i "vozi miško" :) |
Ilijin nacin ima i dobrih i losih stvari:
- na taj nacin, lako inkludujes nove stranice bez ikakvog 'instaliranja' - isto tako haker moze tako da ukljuci stranice koje ti ne zelis da javno prikazes. Jedan nacin bi bio da napravis (kako se zvase.... ) niz : ["p1"] = "page1.php"; ["p2"] = "otherpage2.php"; ........ Tako kad zelis da uradis include, prvo provjeris da li se element nalazi u nizu, ako jeste, inkludujes tacno stranicu koja je u nizu (a ti si napunio taj niz). |
Način funkcionisanja ove skriptice je prilično jednostavan:
* sve što je u /pages može biti prikazano automatski, nema "instaliranja"... * sve van /pages je nevidljivo skripti (tj. haker ne može da ga koristi) * pošto se koriti apsolutni path nema protokola tako da nema učitavanja resursa spolja * forsirana je .php ekstenzija tako da sama stranica mora da bude izvršiva Ako nešto ne želi da bude dostupno kroz index.php neka ga ne stavalja u /pages. Jako jednostavno... Ovo je jedno od onih "sipaš i ne misliš" rešenja. Strašno je jednostavno, a opet ga je teško oboriti. |
Ajde jedno pitanje, ako neko zna odgovor. Da se nadovezem na ovu temu.
Imao sam bas ovakav nacin upada pre neki dan na mom serveru. tip je bukalno imao kod ovog tipa: Kôd:
if (isset($_GET['page])) { i sta se desilo.... dosao pametni haker i poslao kao parametar za page neki svoj url, i onda mu se u okviru ovog sajta otvorila neka web konzola. I on je bukvalno kroz konzolu mogao da uploaduje fajlve na moj server, i da pokrece programe na mom serveru. E sad. Kako moze da radi upload?? Aj to cu i da shvatim, ali kako bre moze na taj nacin da pokrene neki program koji se izvrsava na mom serveru :1027: any hint? |
Onog momenta kada dodje u situaciju da izvrsi svoj PHP kod, moze da uradi sve sto je PHP-u doyvoleno a to manje/vise znaci sve.
imas u stvari jednostavan trik protiv toga, samo uvedi nekiprefiks za ime datoteke koju inkludujes tako daces da zeznes bilo kakav podmetnut sadrzaj. to je naravno samo brza precica, ali moze da odradi posao ko ti je nezgodno da odrzavas listu dozvoljenih skriptova. Jos je bolja opciaj da oznaka strane budeneki id a da se na osnovi ID-a u stvari odnekud procitakoji se tacno skript ucitava. Tadane moras da radis neku veliku proveru, prosto ako ID nije definisan, prijavis gresku. Na taj nacin ustvari najbolje izolujes hakera od include i require. |
Aleks: Nisam siguran, ali mislim da je moguce da ucita PHPShell i da na osnovu toga izvrsava fakticki bilo koju komandu. Ako nije to u pitanju, vidjao sam custom-made skripte koje dozvoljavaju takve akcije (cak sam imao tako nesto na disku).
Takodje nisam siguran (ideja) mislim da se u php.ini moze zabraniti include URL-a unutar parametara ili tako neka fora, ne znam na pamet. |
Citat:
|
>= PHP 5.1.0
//php.ini Kôd:
allow_url_include = Off a postoji i allow_url_fopen |
hm, ja licno znam za taj allow_url_include. I nije meni problem da zastitim svoj kod protiv ovakvih napada. Stavise, nijedna moja skripta nije ranjiva na ovakav tip napada. Nego mene zanima kako da napravim skriptu koja moze se tako includuje preko url-a i da radi na server na kome je includovana :)
|
Pa napravis kao i svaku drugu skriptu, samo moras da joj promenis ekstenziju da tvoj server posalje php kod a da ga ne izvrsi. Ovaj drugi include-uje sors i izvrsi ga.
|
lele, a ja sam mislio to neki teski hack :D Sramota :) Thnx
|
Hehe..
Sto se tice zastite od rfi-a, sledece stvari su korisne da se podese kako navedem sem ukoliko je neophodno za funkcionisanje skripte da se ne menja. Za pocetak ako ti skripta moze bez, obavezno iskljuci potencijalno opasne funkcije: Kôd:
disable_functions=system,exec,passthru,shell_exec ozbiljniju stetu na serveru, ali ako nisi u mogucnosti to da uradis, ali i ako jesi, u svakom slucaju procitaj ceo post i preporucljivo je da poslusas. :) Zatim nacin za zabranu pozivanja fajla van odredjenog direktorijuma se moze odraditi sa array-om kao sto je navedeno na 1 strani, ali ako ne zelite tako, mozda vam ovaj kod moze pomoci: Kôd:
<?php nisu sa .php ekstenzijom ali se nalaze u direktorijumu moduli/. Primer: Kôd:
http://www.serv.com/include.php?modul=nesto.txt? a $_get koristi samo tamo gde je namenjen, forsiraj post metod. Zatim iskljuci register_globals i allow_url_fopen, i gledaj kod skripti :) Preporucujem ti da pregledas security deo php manuala, dosta ces nauciti o ovim napadima. Takodje se pozabavi sql injectionom, daleko manje opasnim xss-om i komplikovanijimm csrf-om (ako je manji projekat, csrf mozes zaobici, za sad :) ). Ako imas dedicated onda ili unajmi nekog security experta da ti podesi sistem kako i kada bi doslo do includeovanja php shell skripte i dizanje nc-a da napadac ne moze da roota server, ali i redovno skidaj patcheve za sve daemone/servise koje se vrte na tvoj boxu... Nadam se da sam pomogao... |
Citat:
PHP kôd:
|
ili instaliras mod_security :) Ono sto sve zive nervira, ali radi pos'o :)
|
ma bre Ilija sta fali tome da imas niz u kome pisu sve stranice koje je moguce inkludovati...ccc, sto ste bre toliko lenji...ova omladina, sve bi automatski :D
em je znatno sigurnije, em kad otvoris kod posle x meseci znas odmah koje strane se ukljucuju za koji ulazni parametar, bez da trazis po direktorijumima i tumacis mogucnosti... |
jel to pokusavas da mi kazes da i ja trebam da stavim "old school" u svoj potpis ;) ?
|
Pa to je i najsigurniji nacin. Ja uvek hardkodiram inkludovanja. Manje boli glava, kod nije sporiji i naravno, definitivno je daleko pregledniji.
Samo sto eto, neki zele da pisu sto manji kod :), jer ih mrzi da kucaju (ponekad) par desetina puta include (require) |
Citat:
PHP kôd:
PHP kôd:
Citat:
Btw, ja bih od ovoga napravio klasu :) Prima dva parametra - odakle da pokupi ime stranice i gde su smeštene stranice. Dokle god je interfejs klase čitak bole me uvo šta je ispod haube. Tipa: PHP kôd:
|
pa, uvek moze da se napravi zaseban ini fajl sa spiskom fajlova za include.. tako izbegavas editovanje koda...
|
Hm, vidim da je ovde iznete dosta pametnih stvari ali ajde da probam da sumiram ...
Prvo i najvaznije pravilo koje svi treba da zapamtimo je: Filtrirati ulaz i escajpapovati izlaz. Sto znaci da ulazni podaci mogu biti samo oni koje nasa aplikacija moze i sme da koristi. U konkretnom slucaju, najpamentnije resenje sa gledista sigurnosti je koriscenje switch-a. Tj za svaki zahtev postoji deo koda koji barate njime. Sve ostale metode se mogu lakse ili teze exploitovati, dodavanjem specijalnih karaktera ili losom konfiguracijom servera. Dalje npr, ako su nam potrebni samo brojevi u nasam scriptu koje dobijamo preko GET-a onda ogranicite te varijable na brojeve. Ne ostavljajte mesta za nehendlovane situacije. Sto se tice izlaza, uvek treba prikazivati samo ono sto smemo da prikazemo a to znaci da sav kod koji moze da se izvrsi u browseru usera a ne treba biti izvrsen treba sanitizovati. Za pocetak je dovoljno poslusati ovaj savet gore jer cete se tim nacinom kodovanja osloboditi vecine XSS, CSLF, SQL injectiona, Directory Traversal, include propusta ... Neko je vec rekao da treba forsirati POST sto je delimicno tacno jer ce tako skinuti scriptkiddie sa vrata ali to ipak nije pravo resenje. Citat:
Neko je pomenuo mod_security, a takodje i neka podesvanja u samom php-u ... Sve ovo resava neke sigurnosne probleme ali poenta je napisati siguran kod bez pomocnih sredstava jer u svakom trenutku moze doci do promene konfiguracije servera. Citat:
http://phpsecurity.org/ http://phpsec.org/projects/guide/sr/ E kad ovo predjete onda krece pravo zezanje :p Ajax, CSRF, i sl ... |
Citat:
|
Citat:
Pazi ovo, samo malo discipline i zdravog razuma: u /pages direktorijum samo stavljaš one stranice koje želiš da budu dostupne kroz index.php, nikakve druge gluposti. To je prvo i poslednje pravilo. Skripta radi ostatak. Off Topic: Citat:
:1075: TO je izuzetno praktična stvar dokle god ga koristiš sa osnovnom dozom zdravog razuma, a trudim se da verujem da je prosečan PHP developer ima ;) Bah, i evo mene opet u ovakvim diskusijama i sa istim tonom. A obećao sam da neću više :D |
Citat:
PHP kôd:
|
Uhhh... ovo se zove serija konstruktivnih odgovora... hvala puno svima... rešio sam problem :1042:
|
Citat:
Citat:
PHP kôd:
PHP kôd:
Zip... |
Citat:
...ili okacite na Host011 tracker :) |
Ja sam svakako za koriscenje nizova i samo nizova sem kada je izricito receno da se ne radi sa nizovima :-))
Najlaksa 100% sigurna varijanta. |
Citat:
Ako te zanima zasto je to tako, onda malo vise procitaj ili razmisli o tome ... Btw, spusti se na zemlju jer ni tvoj kod nije bas tako siguran ... :1074: |
Citat:
|
Citat:
POzdrav! EDIT By Dinke: Bez warez linkova na forumu! Kome treba moze da koristi pp za razmenu. |
Citat:
|
OMG, ne ponovo ...
Odgovorio sam tako zbog Ilijinog stava. Zar nije bilo bolje da pita zasto je tako to sto sam napisao ? Ne, on je odmah rekao da pricam gluposti ... |
Citat:
Citat:
Što se sigurnosnih propusta u activeCollabu tiče ljudi su ih prijavljivali, ja sam ih ispravljao i tako dan za danom, pred kockastim ekranom. Sudbina većine web aplikacija koje počnu da se distribuiraju je da pre ili kasnije nalete na sigurnosne probleme. Ja new kid on the block, a takvo tržište (sistemi su heterogeni, ne možeš da pružiš auto update itd)... Pogreši čovek. Ono što je bitno je vreme u kome možeš da reaguješ i doturiš pokrpljen kod korisnicima. Btw, govorio si o ČITLJIVOSTI koda ;) |
@Ilija
Zbog tvog oholog stava ostavicu te da mislis o temi ... |
Sorry, ali sve što vidim je verbalni terorizam (a must read tekst btw).
Btw, za ovu priču automatsko razrešavanje lokacije fajla koji sadržaj stranice vs. definisanje niza ili ini fajla naiskrenije sam ubđen da je prvo bolje rešenje. Dodaje na kompleksnosti aplikacije, ali smanjuje kompleksnost korišćenja jer ukida jedan korak pri definisanju novog sadržaja (to je inače jedan od principa razvoja koji smatram da je OK). Sorry ako je zvučalo oholo (pošto mi to uopšte nije bila namera). Sve je bilo samo posmatranje par konkurentnih rešenja - njihove prednosti i mane. |
Svaka cast za link Ilija.
Najbolje mi je: Primetio sam da su oni koji se ne slažu sa mojom sledećom tezom uglavnom neobrazovani. [sledi teza] aka Najbolje je koristiti nizove/ini fajl/ automatsko razresivanje stranica, ko se ne slaze neka procita malo vise literature... :-)) |
Vreme je GMT +2. Trenutno vreme je 16:40. |
Powered by vBulletin® Verzija 3.6.8
Copyright ©2000 - 2024, Jelsoft Enterprises Ltd.
Copyright © DevProTalk. All Rights Reserved.