מה המצב

הרבה שואלים אותי האם המערכת שבניתי מאובטחת...

אני לא מגיע מעולם האקינג... איך אני יכול ליכול לדעת האם המערכת שלי מאובטחת

המערכת שאני בונה נבנת על בפריימוורק של codeigniter

כל המעררכת עוברת ולידציה ב JS ולאחר מכן גם ב PHP

כל נתון שצריך להיכתב ב DB עובר בדיקת XSS

אשמח לדעת האם יש עוד דברם חשובים שאני צריך לעבוד עליהם

תודה

איפה ההתייחסות שלך כאן לאבטחה?


נתחיל בהרשאות. איך אתה מבדיל בין כניסת מנהל לכניסת משתמש ללא הרשאות או אורח?
עוגיות? סיישן? מידע בכתובת?
איך את שומר את המידע?

כל מקום שאתה מבצע פעולות עם המסד נתונים ויש התייחסות למידע חיצוני, כמו הרשמה לאתר. אתה חייב לוודא שהמשתמש יכניס רק נתונים תקניים ולא קוד HTML או SQL INJECTION כלשהו.

זה גם ל PHP וגם לJS. כבר ראיתי כמה אתרים שלא מתייחסים לקוד JS מספיק ברצינות :/


ודבר נוסף זהו SSL/TLS תקשורת מאובטחת בין המשתמש לאתר.



אולי יש עוד בעיות... מי שמכיר שידבר.
לדעתי דנו פה בפורום ובPHP הרבה בנושא תערוך חיפוש...

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://fresh.clanteam.com/list.png]

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://fresh.clanteam.com/?https://2010-uploaded.fresh.co.il/2010/09/21/52868411.gif,http://www.boredpanda.com/blog/wp-content/themes/mimbo2.2/images/subscribe-panda-605px.png]

הרשאות יש
SQL INJECTION יש

בגדול הדבר היחד שאני שומר בסיישן זה את ה ID של היוזר ואת ההרשאה שלו

על כל המידע שעובר ב URL יש ולידציה... לא מתקבל נתון לא מוכר

הURL שלי נראת כך

domain/lang/key/value/key/value/key/value

key/value כמה שצריך

SSL/TLS זה אמור להשתלב רק באתרי מכירות לא?!?!

וכמובן שאם יוזאר לא LOGIN יש נתונים שהוא לא יכול לראות...

אני שומע הרבה אנשים שלא מכירים את המערכת שלי או ראו אותה
"אני בטוח שאני יכול לפרוץ לך אותה"

כאילו אם אני לא משתמש בוורדפרס גומלה או דרופל זה לא טוב...

הדברים האלו אלו דברים בסיסיים בשלוף שהמערכת מבצעת אני בטוח שיש עוד דברים שהיא מאבטחת

אשמח שתרשמו פה רשימה על איזה דברים מאוד חשוב לשמור.. בנושא אבטחה

תודה לעוזרים

לא התכוונתי לשאלות של כן\לא.
אלו הנקודות הקריטיות שדרכם אפשר להוציא ממך מידע שמור.
ה"יש ויש" לא תורם כאן לדיון בכלל. אם עשית את זה בצורה לא טובה אז הוא לא מאובטח.


למשל, ב"מידע חיצוני" (זו הגדרה שלי) זו הכתובת אותה נתת כדוגמא.
אתה צריך לודא שאם אני מכניס ערכים אחרים לשם אז אני יוכל להכנס אליהם רק אם באמת יש לי גישה אליהם.
אין צורך שתענה לי בכן\לא. זה הקוד שלך ואין לי מושג מה עשית שם.
אתה יכול להעלות לכאן דברים ספציפיים או כמו שכבר הצעתי לך לחפש מאמרים שקיימים ברשת בנושא.


וכמובן המבחן המעשי. לתת לאנשים לבדוק את האתר.

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://fresh.clanteam.com/list.png]

[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://fresh.clanteam.com/?https://2010-uploaded.fresh.co.il/2010/09/21/52868411.gif,http://www.boredpanda.com/blog/wp-content/themes/mimbo2.2/images/subscribe-panda-605px.png]

תוודא רק שאתה מגריל session id חדש כל הזמן.. אחרת אתה חשוף כאן לפירצה..
היה על זה הרבה בלאגן בתחילת השנה כאשר יצאו האפליקציות לכרום שפשוט השתלטו על sessions שרצו באותו חיבור (לצורך העניין אותו חיבור wifi)

תודה