Veb təhlükəsizliyi: OWASP Top 10

Elvin ilk saytını yazdı: giriş səhifəsi, şərhlər, profil. Dürüst istifadəçilər üçün hər şey mükəmməl işləyir. Veb təhlükəsizliyi isə başqa sualla maraqlanır: istifadəçi gözlənilməz məlumat göndərsə, nə olacaq? Bu sualın cavabları illər boyu OWASP icmasının siyahısında toplanıb.

OWASP Top 10

İnyeksiya: məlumat koda çevriləndə

SQL sorğusu istifadəçinin mətni ilə sətir kimi «yapışdırılanda» verilənlər bazası məlumatla əmri ayıra bilmir. Dırnaq işarəsi olan xüsusi hazırlanmış mətn sətri vaxtından əvvəl bağlayıb sorğuya öz şərtini, məsələn, həmişə doğru olan şərti əlavə edə bilər. Nəticədə parolsuz giriş və ya bütün cədvəlin sızması baş verir. Çarə parametrli sorğudur: SQL mətni və dəyərlər ayrıca göndərilir və dəyər heç vaxt kod kimi oxunmur.

def find_user(conn, username):
    query = "SELECT id, email FROM users WHERE username = '" + username + "'"
    return conn.execute(query).fetchall()

def find_user(conn, username):
    query = 'SELECT id, email FROM users WHERE username = ?'
    return conn.execute(query, (username,)).fetchall()

import sqlite3

conn = sqlite3.connect(':memory:')
conn.execute('CREATE TABLE users (id INTEGER, username TEXT)')
conn.executemany('INSERT INTO users VALUES (?, ?)', [(1, 'aysel'), (2, "o'neil")])

name = "o'neil"   # a real surname with an apostrophe
try:
    conn.execute("SELECT id FROM users WHERE username = '" + name + "'").fetchall()
except sqlite3.OperationalError as error:
    print('String building failed:', error)

rows = conn.execute('SELECT id FROM users WHERE username = ?', (name,)).fetchall()
print('Parameterised query:', rows)

String building failed: near "neil": syntax error
Parameterised query: [(2,)]

XSS: brauzerdə yad skript

Saytlararası skriptinq (XSS) o zaman baş verir ki, istifadəçinin mətni səhifəyə ekranlaşdırılmadan qoyulur və digər ziyarətçilərin brauzeri onu kod kimi icra edir. Belə skript seans kukisini oğurlaya və ya qurbanın adından əməliyyat edə bilər. Müdafiə: çıxışı kontekstə uyğun ekranlaşdırmaq (avtomatik ekranlaşdıran şablonlar), Content-Security-Policy başlığı və HttpOnly kukilər.

import html

comment = "<script>alert('hi')</script> Nice lesson!"
print('Raw:    ', comment)
print('Escaped:', html.escape(comment))

Raw:     <script>alert('hi')</script> Nice lesson!
Escaped: &lt;script&gt;alert(&#x27;hi&#x27;)&lt;/script&gt; Nice lesson!

CSRF və autentifikasiya xətaları

CSRF (saytlararası sorğu saxtakarlığı): istifadəçi bank saytına daxil olub, sonra başqa sayta keçir, o sayt isə gizlicə banka forma göndərir. Brauzer bank kukisini avtomatik əlavə etdiyi üçün sorğu qurbanın adından icra olunur. Müdafiə: hər formada serverin yoxladığı təsadüfi anti-CSRF tokeni, SameSite=Lax və ya Strict kukilər, Origin başlığının yoxlanması və vacib əməliyyatlar üçün təkrar təsdiq.

Autentifikasiya xətaları isə cəhdlərin sayının məhdudlaşdırılmaması (sızmış parolların kütləvi yoxlanması məhz belə işləyir), zəif parollara icazə, girişdən sonra seans identifikatorunun dəyişməməsi və çıxışda seansın bağlanmamasıdır. Çarə: sorğu limitləri, MFA, Secure və HttpOnly kukilər, girişdən sonra yeni seans.

Təhlükəsizlik başlıqları

function escapeHtml(text) {
  // replace & first, then < > " '
  return text;
}

console.log(escapeHtml('Tom & Jerry'));
console.log(escapeHtml('<b>bold</b>'));
console.log(escapeHtml(`<img src="x" alt='y'>`));
console.log(escapeHtml('&lt;'));

Tom & Jerry
<b>bold</b>
<img src="x" alt='y'>
<