Веб-безопасность: OWASP Top 10

Эльвин написал свой первый сайт: страница входа, комментарии, профиль. Для честных пользователей всё работает идеально. Веб-безопасность задаёт другой вопрос: что будет, если пользователь пришлёт что-то неожиданное? Ответы на этот вопрос годами собирает в свой список сообщество OWASP.

OWASP Top 10

Инъекции: когда данные становятся кодом

Когда SQL-запрос «склеивают» с текстом пользователя как строку, база данных не может отличить данные от команд. Специально подобранный ввод с кавычкой может досрочно закрыть строку и дописать своё условие — например, всегда истинное. Итог — вход без пароля или утечка всей таблицы. Лекарство — параметризованный запрос: текст SQL и значения передаются отдельно, и значение никогда не читается как код.

def find_user(conn, username):
    query = "SELECT id, email FROM users WHERE username = '" + username + "'"
    return conn.execute(query).fetchall()

def find_user(conn, username):
    query = 'SELECT id, email FROM users WHERE username = ?'
    return conn.execute(query, (username,)).fetchall()

import sqlite3

conn = sqlite3.connect(':memory:')
conn.execute('CREATE TABLE users (id INTEGER, username TEXT)')
conn.executemany('INSERT INTO users VALUES (?, ?)', [(1, 'aysel'), (2, "o'neil")])

name = "o'neil"   # a real surname with an apostrophe
try:
    conn.execute("SELECT id FROM users WHERE username = '" + name + "'").fetchall()
except sqlite3.OperationalError as error:
    print('String building failed:', error)

rows = conn.execute('SELECT id FROM users WHERE username = ?', (name,)).fetchall()
print('Parameterised query:', rows)

String building failed: near "neil": syntax error
Parameterised query: [(2,)]

XSS: чужой скрипт в браузере

Межсайтовый скриптинг (XSS) возникает, когда текст пользователя вставляется в страницу без экранирования и браузеры других посетителей выполняют его как код. Такой скрипт может украсть сессионную cookie или совершать действия от имени жертвы. Защита: экранировать вывод с учётом контекста (шаблоны с автоэкранированием), заголовок Content-Security-Policy и cookie с флагом HttpOnly.

import html

comment = "<script>alert('hi')</script> Nice lesson!"
print('Raw:    ', comment)
print('Escaped:', html.escape(comment))

Raw:     <script>alert('hi')</script> Nice lesson!
Escaped: &lt;script&gt;alert(&#x27;hi&#x27;)&lt;/script&gt; Nice lesson!

CSRF и ошибки аутентификации

CSRF (межсайтовая подделка запроса): пользователь вошёл в интернет-банк, затем открыл другой сайт, а тот тайно отправил в банк форму. Браузер автоматически прикладывает cookie банка, и запрос выполняется от имени жертвы. Защита: случайный анти-CSRF-токен в каждой форме с проверкой на сервере, cookie с SameSite=Lax или Strict, проверка заголовка Origin и повторное подтверждение важных действий.

Ошибки аутентификации — это отсутствие ограничения на число попыток (именно так работает массовая проверка утёкших паролей), разрешение слабых паролей, неизменный идентификатор сессии после входа и незавершённая сессия при выходе. Лекарство: ограничение частоты запросов, MFA, cookie с Secure и HttpOnly, новая сессия после входа.

Заголовки безопасности

function escapeHtml(text) {
  // replace & first, then < > " '
  return text;
}

console.log(escapeHtml('Tom & Jerry'));
console.log(escapeHtml('<b>bold</b>'));
console.log(escapeHtml(`<img src="x" alt='y'>`));
console.log(escapeHtml('&lt;'));

Tom & Jerry
<b>bold</b>
<img src="x" alt='y'>
<