[S] Hakin9 11/08 – hakowanie RSS Feeds na talerzu…

Na ponad 80 stronach listopadowego wydania Hakin9 króluje tematyka bezpieczeństwa aplikacji internetowych. Po przebrnięciu przez kilka stron newsów ze świata IT i opisów zawartości dołączonego nośnika (a tam m.in.: ModelMaker Code Explorer 6 i ModelMaker 9 for Visual Studio Delphi C#) oraz wybranych programów natkniemy się właśnie na artykuł o dokładnie takim tytule.

Bezpieczeństwo aplikacji internetowych zdominowało numer…

Cezary Cerekwicki, autor publikacji wspierając się kilkoma przykładowymi partiami kodu oraz opierając swoją analizę na tworzeniu serwisów internetowych oraz aplikacji desktopowych opisuje krok po kroku na czym polega problematyka niedostatecznego zabezpieczenia kodu i w jaki sposób można stosować podstawowe techniki przeciwdziałania temu procederowi. Czytelnik dowie się tu m.in.:

• które umieszczane na serwerze dane powinny być publiczne, a które nie,
• dlaczego nawet szyfrowanie haseł baz danych w programach nie jest całkowicie bezpieczne,
• czemu należy ograniczać do niezbędnego minimum przywileje użytkowników bazodanowych,
• o podstawach technik filtracji wejść oraz potrzebie nadpisywania nieużywanych już i wrażliwych danych podatnych na nieuprzywilejowane przejęcie.

O fakcie przystępnego i prostego w zrozumieniu przedstawienia tematu możecie się przekonać pobierając tą publikację ze strony magazynu.

Temat zawsze aktualny, czyli ochrona stron internetowych opartych na PHP…

Jeśli znasz podstawy PHP, rozpoczynasz pisanie hobbistycznych skryptów bądź serwisów w tym języku to ten art jest dla Ciebie. Konkretnie odnosi się on do elementarnych zasad obrony przed różnymi atakami. Limitowanie wysyłania plików via formularz, błędne konfiguracje PHP związane z naleciałościami z jej poprzednich wersji (np. związane z włączeniem dyrektywy register_globals) oraz manipulacja w postaci SQL Injection, Shell Injection, czy związana z preparowaniem wejścia za pomocą tagów to główne tematy tej części magazynu. Jesteś ciekaw na co narażone są Twoje produkcje? Chcesz poznać przykłady zabezpieczenia się przed magicznym „hacked” na swojej stronie? Potrzebujesz prologu do pisanych przeze mnie artykułów o bezpieczeństwie w PHP? Te kilka stron o „BHP w PHP” na pewno Cię zaciekawi…

Temat przewodni – hakowanie RSS Feeds!

To co mi się spodobało w stylu publikacji to fakt, że przed przejściem do meritum sprawy mamy przed swoimi oczami szeroko przedstawione podstawy danego zagadnienia. Nie każdy wie przecież w jaki sposób z technicznego punktu widzenia RSS działa. Właśnie tego typu informacyjny schemat przedstawia autor dając nam podstawy do zrozumienia problemu tego typu ataków.

Sam temat pomimo, że zakwalifikowany jako trudny w dużym stopniu zazębia się z w.w. już problemami z bezpieczeństwem. Co z resztą można dostrzec po terminologii użytej w obydwu reportażach. Ich przyswojenie w dużym stopniu może pomóc w zrozumieniu aspektów takich jak sprawdzanie wywoływanych ścieżek, problemy z parsowaniem XML, modyfikacje nagłówków, czy wspomniane już dziś SQL Injection. Twórca publikacji posiłkując się przykładami stara się właśnie te elementy wytłumaczyć uwidaczniając jak to nierozsądne projektowanie, czy programowanie danego skryptu może negatywnie oddziaływać na mechanizm RSS.

Co jeszcze w numerze?

• „Wizualizacja ruchu sieciowego, a bezpieczeństwo”
• „Bezpieczne gniazda w Perlu” – przedstawienie obiektów komunikacji sieciowej w tymże języku.
• „Mój system – moja twierdza” – opis zestawu darmowych narzędzi Linuksa chroniących komputer przed włamaniami.
• „Protokół HTTPS w Apache”
• „Szyfrowanie w Postgresie”
• „Cyfrowa twierdza” – metody skutecznego szyfrowania danych.

Moja ocena…

Jestem pozytywnie zaskoczony. Przede wszystkim poprzez tematykę zbliżoną do tej jaką poruszam na moim blogu. Prosiłbym jednak autorów o większą dawkę praktycznej wiedzy, konkretnych przykładów. Poruszanie praktycznego tematu to jeszcze nie praktyka sama w sobie. Trzeba je w taki sam sposób opisać, odnosząc się do konkretnych przykładów. Mowa tu oczywiście o tematach o wyższym stopniu skomplikowania, kiedy to suchy kod z nawałem teorii nie zawsze do końca obrazuje dany problem. To chyba moje jedyne zastrzeżenie.

Reasumując myślę jednak, że warto wydać te 29,80 zł bo informacje poruszane w tymże numerze są bardzo przydatne, szczególnie dla osób które z tego typu sprawami jeszcze nie miały styczności, a zamierzają w przyszłości w tych dziedzinach „zawojować rynek” :] I pomimo, że jeszcze nie mam żadnego świeżego odniesienia do innych numerów czasopisma to… szczerze polecam!