Интернет защита

Большую помощь в процессе аудита средств авторизации может оказать матрица ролей (role matrix). В матрице ролей перечисляются все пользователи (или все типы пользователей) приложения и все выполняемые ими операции. Суть использования матрицы состоит не в получении инструмента для проверки каждой разрешенной операции, а в качестве накопите¬ля информации о том, как эти операции выполняются, а также того, какие маркеры сеансов при этом используются. Пример такой матрицы приведен в табл. 6.1.

Читать полностью

Лучший способ воспрепятствования внедрению SQL является проверка вводимых данных (см. главу 8). Однако следует подчеркнуть, что при аутентификации проверка вводимых данных становится нетривиальной задачей. Проверить, насколько корректно введено имя пользователя, в общем-то, несложно, поскольку в большинстве случаев пользователи выбирают в качестве идентификаторов простые значения. Как правило, пользовательские идентификаторы пред¬ставляют собой алфавитно-цифровую последовательность длиной 6—10 символов. Однако, если на Web-узле реализуется строгая политика выбора паролей, от пользователей требуется приме¬нять длинные пароли и использовать в них специальные символы, что усложняет задачу провер¬ки корректности вводимых данных. Поэтому необходимо компромиссное решение, заключаю¬щееся в запрете на использование в паролях опасных символов, таких как одинарная кавычка.

В данной книге, построенной по принципу двустороннего подхода, который был позаим¬ствован из первой книги серии "Секреты хакеров..." (и который, кстати, продолжает с успе¬хом использоваться вот уже в третьем издании этой книги), демонстрируется, как можно ре¬шить проблему создания безопасных Web-приложений.

Читать полностью

Существует несколько разновидностей описанного выше сканирования по протоколу TCP, разработанных для повышения точности, скорости и маскировки. Хорошее описание всех видов и методов сканирования портов можно найти по адресу http://www.insecure.org/nmap. Вот наиболее важные для практического применения методы сканирования портов.

Читать полностью

Для авторов этой книги программа SuperScan, написанная Робином Кеиром (Robin Keir) из компании Foundstone, остается «п."им из любимых средств сканирования портов. Это бы¬страя и мощная программа с графическим интерфейсом, которая доступна по весьма привле¬кательной цене — бесплатно! Она позволяет гибко задавать IP-адреса и списки портов инте¬ресующих хостов. Особенно удобна кнопка Extract from File (извлечь из файла). Программа SuperScan поставляется с одним из самых полных списков портов, который мы когда-либо видели. Для более тонкой настройки существует возможность ручного выбора или отмены номеров портов для сканирования. Также программа SuperScan обеспечивает достаточно вы¬сокую скорость работы. На рис. 3.5 показано окно программы SuperScan при работе в сети класса С. Обратите внимание, что работающие хосты, на которых выявлены открытые порты, отмечены зелеными галочками, а также отображаются идентификационные маркеры служб