Websecurity - Веб безпека

При проведенні аудиту безпеки веб сайта ви можете зіткнутися з наявністю на сайті баз даних. У випадку коли використовується СУБД Oracle, то для проведення дослідження на предмет SQL Injection вам може стати у нагоді пам’ятка з SQL Injection в Oracle. Існує одна подібна і детальна пам’ятка.

Oracle SQL Injection Cheat Sheet

В даній пам’ятці наводяться стандартні запити при проведенні перевірок на наявність SQL ін’єкцій в Oracle.

При проведенні аудиту безпеки (чи хакерської атаки ) веб сайта ви можете зіткнутися з наявністю на сайті баз даних. У випадку коли використовується база Microsoft Access, то для проведення дослідження на предмет SQL Injection вам може стати у нагоді пам’ятка з SQL Injection в MS Access. Існує одна подібна і дуже детальна пам’ятка.

MS Access SQL Injection Cheat Sheet

В даній пам’ятці надаються рекомендації стосовно різних перевірок на наявність SQL ін’єкцій в Access.

Продовжу тему “Warning” Гугл хакінга (”Warning” Google hacking). Котрий є різновидом Гугл хакінга - використання пошукових систем (зокрема Гугла) для пошуку уразливостей на сайтах.

Дана методика передбачає використання Гугла (чи інших пошукових систем) з метою пошуку повідомлень на сайтах про помилки, і дозволяє знайти важливу інформацію стосовно даних сайтів. За допомогою спеціальних пошукових запитів (дорків) можна знайти Full path disclosure та Information disclosure уразливості на різноманітних сайтах в Інтернеті.

Новий перелік “варнінг” пошукових запитів (dorks):

Warning: Cannot modify header information

Warning: array-map

Warning: array-multisort

Warning: array-pad

Warning: array-pop

Warning: array-product

Warning: array-push

Warning: array-rand

Warning: array-reverse

Warning: array-search

Warning: array-shift

Warning: array-slice

Warning: array-splice

Warning: array-sum

Warning: array-unique

В своїй презентації Insecurities 2.0, Martin Johns розповідає про сучасні уразливості веб додатків. Зокрема він порівнює уразливості для Веб 1.0 та Веб 2.0, відзначаючи їх особливості. Та детально розповідає про уразливості характерні для Веб 2.0.

Після виходу в минулому місяці попередньої телепередачі зі мною на 1+1, очікується нова телепередача на початку березня.

Нещодавно я знявся для телепередачі для журналістів телеканалу Інтер. Яка буде показана на ТБ наступного тижня. Сюжет з моєю участю вийде 5 березня на Інтері в програмі “Ранок з Інтером” в рубриці “Ваші гроші”, яка за звичай виходить в ефір в 7:15 (але варто починати дивитися в 7:00, щоб завчасно). В передачі буде йти мова про фішинг-атаки.

Так що всі бажаючі можуть в наступну середу подивитися телепрограму з моєю участю .

P.S.

Можете переглянути дане відео в своєму плеєрі:

http://websecurity.com.ua/uploads/articles/tv_video2.flv

В своїй презентації “Безпека JavaScript”, Jason Harwig розповідає про особливості мови JavaScript в контексті безпеки.

JavaScript Security

В презентації розповідається про особливості безпеки в JavaScript та про різні секюріті аспекти та різновиди атак з використанням можливостей мови JavaScript.

На початку місяця я знявся для телепередачі для журналістів телеканалу 1+1. Яка була показана на ТБ минулого тижня (в ранковому ефірі).

В даному матеріалі я розповів про основні загрози в Інтернеті: фішинг, хакерські атаки та спам. Та розповів про різновиди даних атак та надав поради Інтернет користувачам, як вберегти себе від шахрайства в Мережі. І деяка інформація увійшла до телепередачі.

Детально про дану передачу ви можете прочитати в статті Хіт-парад шахрайства в Інтернеті. До речі, в відео була продемонстрована одна свіже знайдена мною і робоча уразливість на одному веб сайті .

Можете також переглянути дане відео в своєму плеєрі:

http://websecurity.com.ua/uploads/articles/tv_video1.flv

В своїй презентації “Безпека PHP”, Mugdha і Anish розповідають про безпеку веб додатків на даній платформі.

PHP Security

В презентації розповідається про важливість безпеки в PHP та про різні секюріті аспекти та поширені уразливості в PHP додатках. Та надаються поради для покращення їх безпеки.

В своєму записі Book Review: The Pragmatic CSO, RSnake зробив огляд однієї книги. “Прагматичний CSO”, так називається дана книга, що написана Майком Ротманом, нещодавно вийшла (і доступна як в бумажному, так і електронному вигляді).

В книзі розповідається про те, як стати кращим Chief Security Officer (CSO). Майк ділиться своїм досвідом CSO і розповідає як стати майстром в галузі безпеки.

В своїй презентації “Безпека Ruby on Rails”, Jonathan Weiss розповідає про безпеку веб додатків на даній платформі.

Ruby on Rails Security

В презентації розповідається про різні секюріті аспекти та можливі уразливості в Ruby додатках. Та надаються поради для покращення їх безпеки.