Gde podvući crtu sa prikazivanjem grešaka

[Ilija Studen]

Nije problem napraviti grešku. Problem je kad iz cele priče ne naučiš ništa i nastaviš da je praviš non stop

Btw, uveren sam da mnogo developera ne zna puno o sigurnosti baš zato što prave aplikacije koje ne nailaze na veliku popuparnost pa ne predstavljaju potencijalnu metu. I onda kad te odjednom baci da moraš da napraviš sigurnu aplikaciju odjednom frka. Znam da je meni jer tom delu ranije nisam posvećivao previše pažnje - nije bilo potrebe i nisam bio dovoljno plaćen. Što pre naučiš šta sve možeš da očekuješ i čega treba da se pažiš to bolje.

Daleko da kažem da možeš preko noći postati security ekspert, ali bar naučiš čega treba da se čuvaš i kako da odmah u startu sasečeš potencijalne probleme. A to je... priceless

[ivanhoe]

a jedno pitanje: ako je aplikacija u debug modu pretpostavka je da si ti autor koji je debaguje, zasto bi ti sam sebi slao XSS kod ?

Kolike su sanse da se napravi da neko drugi posalje XSS, a da se on tebi nadje u debug outputu ? Jer to kapiram da bi bilo vrlo opasno, bilo bi extremno lako na primer oteti sesiju adminu tako... ali mi nije bas najjasniji scenario u kom bi to bilo realno ostvarivo...

druga stvar su XSS napadi na komentare u blogovima, guestbooks i slicno, tu mi je jasno kako napadac moze da "ostavi" skript, kod debuga mi nije bas jasno...

[Ilija Studen]

Originalno napisao ivanhoe

druga stvar su XSS napadi na komentare u blogovima, guestbooks i slicno, tu mi je jasno kako napadac moze da "ostavi" skript, kod debuga mi nije bas jasno...

Ako je u pitanju public skripta (a aC jeste) neko slučajno može da ostavi skriptu u debug modu. Čovek razvijao plugin i samo šibnuo sve online, nije ni gledao debug mod ili je jednostavno zaboratio.

Poenta je da rupa postoji i da postoji scenario u kom ona može da bude iskorišćena. Ako ne trebaju meseci da je pokrpiš već to možeš da uradiš za 15 min što da ne? Jedan propust manje.

[Ivan]

Da se nastavim na Iliju i zextru ...

Ako je neko bas resio da te "obori" on ce to da uradi, u konkretnom primeru ce verovatno traziti nacin da ukljuci debug mode sto opet moze na vise nacina zavisno od same aplikacije.

Sad dolazimo do dela o kome niko ne razmislja preterano (a o kome spremam esej) a to je Socijalni Inzenjering. Ova metoda je najopasnija i u vecini slucajeva produktivna. Nebiste verovali sta su ljudi u stanju da urade za Vas ako im se predstavite na pravi nacin.

[Ilija Studen]

Originalno napisao Ivan

Sad dolazimo do dela o kome niko ne razmislja preterano (a o kome spremam esej) a to je Socijalni Inzenjering. Ova metoda je najopasnija i u vecini slucajeva produktivna. Nebiste verovali sta su ljudi u stanju da urade za Vas ako im se predstavite na pravi nacin.

Mislim da aC neće imati integrisano rešenje za ovaj problem u skorijoj budućnosti

Btw, to je čest odgovor na feature request

[Ivan]

Hehe ...

Taj feature nema nijedna kompanija kod nas, cak i one koje bi trebale da imaju.
Testirao sam ih malo ...

Ovo se resava jednostavnom obukom kadrova a najvise administratora koji je zaduzen da bude dosadan. Ali polako ne mozemo sve odjednom. Btw uz onaj esej gore ide bas i program za obuku kadrova ali nece to bas skorije.