SEOSERVISE - Защита сайтов от хакеров.

 
   
 

Главная


 


Идентификация серверов баз данных Идентификация баз данных требует более серьезных навыков, нежели идентифи­кация внешних серверов и серверов приложений, поскольку последние взаимодейст­ вуют через протокол HTTP и определяются посредством его элементов: URL -адресов, HTTP -заголовков и данных cookie . С серверами баз данных все обстоит иначе. Дело в том, что они взаимодействуют с внутренними серверами с помощью языка SQL и позволяют определить лишь зна­ чения полей входных форм и параметры URL . Поэтому единственный способ иден­ тификации серверов баз данных посредством URL заключается в генерировании ошибок сервером приложения и последующем их выводе в окно броузера. Рассмотрим два примера URL -адресов. В первом URL -адресе указан РНР-файл index . php , который, как свидетельствует параметр Ш=27, взаимодействует с базой данных. Второй же адрес обрабатывается приложением ColdFusion и также выполняет запрос к базе данных. Для того чтобы заставить сервер баз данных вьщать ошибку, необходимо изменить значения параметров в рассмотренных запросах. В первом URL -адресе заменим зна­ чение 27 параметра ID нечисловым значением. Второй URL -адрес предварительно усечем, а затем заменим значение 3 символом одинарной кавычки '. Предоставим читателю самому разобраться с тем, какой вред может принести ин­ формация, содержащаяся в этих окнах броузеров. Подсказка: сообщение об ошибке, выдаваемое сервером ColdFusion SQL Server , содержит достаточно информации для формирования запроса, который будет удаленно выполнять команды на сервере баз данных с правами администратора. Контрмеры В этой главе были представлены методы, которые обычно используются взломщи­ ками для получения полной информации о Web -приложении. Идентификация ис­ пользуемых технологий играет важную роль для хакинга в Web , поскольку позволяет подобрать подходящие средства для взлома Web -приложения. Возможно, остановить хакера будет не так уж легко. Однако при этом всегда не­ обходимо следовать двум эмпирическим правилам, в основе которых лежит прин­ цип минимального уровня привилегий. Правило 1. Минимизация информации в HTTP - заголовке Большинство Web -серверов настроены таким образом, что возвращают минимум информации в HTTP -заголовке. При этом в HTTP -заголовке не должна содержаться информация о серверах приложения, которые используются как надстройки.

 

 

 

 

 

 
 

1 |2 |3 |4 |5 |6 |7 |8 |9 |10 |11 |12 |13 |14 |15 |16 |17 |18 |19 |20 |21 |22 |23 |24 |25 |26 |27 |28 |29 |30 |31 |32 |33 |34 |35 |36 |37 |38 |39 |40 |41 |42 |43 |44 |45 |46 |47 |48 |49 |50 |51 |52 |53 |54 |55 |56 |57 |58 |59 |60 |61 |62 |63 |64 |65 |66 |67 |68 |69 |70 |71 |72 |73 |74 |75 |76 |77 |78 |79 |80 |81 |82 |83 |84 |85 |86 |87 |88 |89 |90 |91 |92 |93 |94 |95 |96 |97 |98 |99 |100 |