Интернет защита

JavaScript. Если это слово присутствует в списке механиз¬мов, обеспечивающих безопасность приложения, будьте уверены, что приложение защищено не настолько хорошо, как вам кажется. Сценарии JavaScript, выполняемые на стороне клиента, яв¬ляются обычными JavaScript-сценариями, которые загружаются в Web-броузер пользователя для создания динамического содержимого страниц или для осуществления некоторых типов проверок вводимых данных. Следовательно, учитывая все особенности клиентской технологии, все эти проверки могут быть элементарно обойдены. Некоторые персональные прокси-серверы, персональные брандмауэры и программы для работы с файлами cookie позволяют блокировать рекламные блоки и другие надоедливые компоненты Web-страниц. Большинство профессиона¬лов (параноиков?), работающих с компьютерами, отключают поддержку JavaScript в своих сис¬темах с целью предотвращения попадания в систему вирусов, распространяющихся по элек¬тронной почте. Короче говоря, существует достаточное количество предпосылок для того, что¬бы пользователь Internet отключил поддержку сценариев JavaScript в своей системе.

Читать полностью

Вначале рассмотрим пример с Groupwise. При нормальном HTTP-запросе получаем сле¬дующий ответ.

$ ./getit.sh www.victim.com /servlet/webacc?user.html=login.htt

GroupWise webAccess Login < !login.htm>

Читать полностью

Взломы такого типа направлены на страницы, которые используют файлы шаблонов или любые другие ссылки, используемых вместо реальных файлов на Web-сервере. В простейшей форме взлом данного типа позволяет получить доступ к системным файлам, расположенным вне корневого каталога Web-сервера, добавлением к запросу строки, подобной следующей: ../../../../../../../../../.. /boot. ini. Наиболее часто используемые Web-серверы (такие, как IIS и Apache), конечно же (мы на это искренне надеемся), имеют средст¬ва предотвращения подобных действий. Однако старые версии программы Compaq Insight Manager беспрепятственно позволяют пользователю получить доступ к файлам, которые рас¬положены вне корневого каталога Web-сервера.

Читать полностью

Изучение Web-служб (DISCO— Discovery of Web Services) является запатентованной тех¬нологией компании Microsoft, которая входит в состав операционной системы .NET Server, а также в другие .NET-ориентированные продукты. Для установки Web-службы, использую¬щей DISCO, необходимо всего лишь создать файл с именем . disco и поместить его в вирту¬альный каталог (vinual root — vroot) Web-службы вместе с остальными файлами, необходи¬мыми для работы Web-службы (такими, как . asrax, . wadl, . xsd и файлы других типов). По сути, файл .disco является документом XML, который содержит ссылки на другие ресурсы, описывающим Web-службу. Документ .disco очень похож на документ согласования ин¬терфейсов WSDL. В следующем примере показан простой файл D/SCO.

Читать полностью

Сутью данных взломов является внедрение вредоносного программного кода, обычно на¬писанного на языке JavaScript, в такие области Web-узла, где другие пользователи могут уви¬деть результаты работы этого кода. Объектами взлома могут быть поля адресов, комментарии в досках объявлений и т. д. В том случае, если хакеру удалось провести подобный взлом, он получает возможность похищения файлов cookie, что позволяет ему идентифицироваться на других Web-узлах под именем данного пользователя. Даже такие крупные Internet-компании, как Hotmail и AOL, были подвержены подобным взломам.

Читать полностью