ASP Security by Soroush Dalili - Intelligent Exploit

تامين امنيت برنامه كاربردي تحت وب در مقابل آسيب پذيري ها ازطريق.2.4كدهاي برنامه:‏در اين قسمت مي خواهيم راه حل هايي مناسب جهت مقابله با آسيب پذيري هاي گفته شده در فصلدوم ارائه دهيم.‏مقابله با آسيب پذيري ها از درون برنامه مي تواند طوري باشد كه بتوان گفت يكبرنامه كاربردي تحت وب به طور%100امن است.‏ هرچند كه با وجود ضعف هاي منطقي كه از منطقبرنامه و برنامه نويس برمي خيزد،‏ هيچگاه نمي توان ادعا كرد كه امنيتبگوييم امنيت بالايي داريم.‏%100داريم و فقط مي توانيم:Cross Site Scripting (XSS).1.2.4روش مقابله باXSSرا مي توان به طور %100در درون كدها مهار كرد.‏بهترين روش حفاظت در مقابلXSSاستفاده از تركيب ارزيابي list” “white1براي داده هاي ورودي به علاوه رمز نگاري تمام داده هايخروجي مي باشد.‏ با ارزيابي داده هاي ورودي مي توان حملات را آشكار كرد و با رمز كردن خروجي هانيز جلوي اجراي موفق اسكريپت هاي تزريق شده گرفته مي شود.‏توجه داشته باشيد منظور از رمزكردن در اينجا همانEncode-2شكل هاي اين حمله را بشناسيد .كردن است.‏ خواندن صفحه ترفندهاي XSS نيز كمك مي كند تا انواعبراي جلوگيري از حمله XSS اجراي روند زير به طور كامل نياز است:‏ارزيابي ورودي ها:‏ استفاده از مكانيزم هاي اعتبار سنجي استاندارد در تمامي ورودي ها براي اندازه،‏نوع،‏ تركيب و طرز كاربرد آنهاقبل از اينكه داده ها نمايش پيدا كنند يا ذخيره شوند.‏استفاده ازاستراتژي ارزيابيgood” “Accept known ‏(مثلا فيلد ايميل حتما بايد از نوع ايميل باشد كه1 Encoding2 http://ha.ckers.org/xss.html - http://sla.ckers.org/forum/read.php?2,15812 -http://sla.ckers.org/forum/read.php?3,880106