שאלה:
סיירתי בפורום וראיתי שהרבה פעמים נרשמת תגובה - האתר בנוי בצורה שקל לפרוץ אותו בקלות,
רציתי לדעת מה הכוונה
1-האם צריך לאבטח אתר שנמצא על שרת של GODADDY או שזה לא קשור לאבטחה?!,
2-ואו שבעצם מדובר באתר ובצורה שבה הוא נבנה ??
3- או שצריך חברה חיצונית לאבטח???
או שכולם ביחד,
מה הכוונה ומה הכי טוב ומוכרח להעשות?
בתודה מראש לתגובתכם
רוני

1. אבתחת האתר נקבעת בעיקר על איך שבנו אותו.
2. החברת איכסון פחות משפיעה. אבל יש כאלה שלא כתבו אותן טוב ואז אין מה לעשות כמעת. יכולות להיות גם בעיות שאי אפשר לעשות כלום (חוץ מי לדבר איתם או לעבור)כמו למשל גישה לקבצים של אחרים ו\או למערכת. גישה למסדי הנתונים וכו.

OK, אז בעצם אתה אומר שהשרת חשוב - לא ללכת לשרתים קטנים
אבל בקשר לתיכנות , באילו נקודות יכולה להיות האפשרות של פריצה לאתר שלי -וממה הכי כדאי להתרחק או לדאוג למגן?
CHECK OUT
או - בפתיחת פורום - או בלוג
או בתימחור המוצרים ודרך הלעתם לאתר
???
או שהפריצה לאתר לא תלויה בבנייה ספציפית ותלויה ב ?
בקיצור אני רוצה להבין אילו צעדים עלי לנקוט בכדי למגן את האתר שלי בצורה הכי טובה מפני פורצים ? וממה להזהר
בתודה מראש
רוני

כמה דרכים לייעול אבטחת האתר.

* לא לאפשר למשתמשים לכתוב קוד html בטפסים, במידה ואפשר ניתן להכניס לינק אשר יגנוב את העוגיות של המשתמש וככך ניתן להכנס במקומו (תקף גם לגבי מנהל האתר).
* לבדוק שאילתות המקושרות לבסיס הנתונים. על ידי שיטות מתוחכמות ניתן להגיע למידע במסד, את זה ניתן למנוע על ידי הגבלה ומניעת סימנים מסויימים לכתיבה ותחימה של השאילתה בתוך תבנית וסוג המידע הנכנס אליה.
* במידה והאתר רץ בעזרת PHP רצוי לבדוק שבהגדרות לא דלוקה האופצייה register_globals. אופצייה זו יכולה לספק מידע רב לגבי השרת.

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://muzx.net/files/public/avatars/1208187486.gif]

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://muzx.net/files/public/avatars/1188591880.gif]

תוספת קטנה.

*עם אתה כן אפשר להכניס קוד HTML תדאג לסנן תגים כמו <script>
או לאפשר רק הכנסת תגים מסוימים כמו <b> <u> וכו.
יש גם מערכות פורומים (כמו PHPBB או IPB) שמסננות את כל תגי ה-> < והם משתמשים ב ] [ ואחרי זה הופכים תגים מסויימים ל > <

*בקשר לשאילתות, פשוט לרוץ עם replace על כל התווים: & , "

בקיצור מה שנאמר בתגובה להעיל הוא שצריך להשתמש ב-BBCode, זהו דבר גלובלי והוא מתווסף לפורומים שצויינו ויכול להיות חלק מכל קוד.

לגבי השאילתות, סינון הוא חלק מן העניין צריך גם להתאים את מה שאנחנו מקבלים מן המטודה זאת אומרת לקבוע בוודאות מהוא סוג המשתנה וכך ניתן במידת מה למנוע כתיבה של קוד זדוני במקום פשוט כל כך.

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://muzx.net/files/public/avatars/1208187486.gif]

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://muzx.net/files/public/avatars/1188591880.gif]