ASP Security by Soroush Dalili - Intelligent Exploit

استراتژي ارزيابي good” “Accept known‏(مثلا فيلد ايميل حتما بايد از نوع ايميل باشد كهكاراكترهاي خاصي دارد و تركيب خاصي باهم دارند).‏نپذيرفتن داده هاي غير معتبر به جاي تلاش درتجزيه يا حذف داده هاي مخرب.‏ فراموش نكنيد كه پيغام هاي خطا نيز مي توانند شامل داده هاي غيرمعتبر باشند،‏ پس به آنها نيز اعتماد نكنيد.‏1- اجبار در استفاده از كمترين امتيازات : براي ارتباط با پايگاه داده يا سيستم هاي طرف سرويسدهنده از كاربري با بيشترين محدوديت استفاده كنيد.‏ براي نمونه،‏ هيچ گاه در ارتباط با MSSQL ازكاربر SA-استفاده نكنيد،‏ چرا كه قدرت آن به اندازه كاربر System در ويندوز است.‏پرهيز از نمايش جزئيات پيغام خطا:‏ كه به مهاجم كمك زيادي مي كند.‏SQLتوجه2براي استفاده از رويه هاي ذخيره شده :گرچه رويه هاي ذخيره شده در مقابل-مصون به نظر مي رسند،‏ اما توجه كنيد كه اگر در آنها از توابعي مانند exec()يا بهمInjection--پيوستن آرگومان ها استفاده شده باشد،‏ بازهم آسيب پذيرند.‏عدم استفاده مستقيم3از واسط هاي پرس و جوي پويا : نظير mysql_query() و مانند آن.‏عدم استفاده از توابع ساده جايگزيني كاراكترها:‏ مثل:‏Replace(InputData,"'"," ")چرا كه اين توابع ساده در برخي جاها قابل رد شدن هستند.‏-عدم گرفتن مستقيم نام جدول يا فيلدها از ورودي وقتي از توابع ساده كنترل استفاده ميكنيد:‏ چرا كه اين نام ها نيازي به"’"نداشته و مهاجم مي تواند حمله كاملي را طرح ريزي كند.‏مراقب خطاهاي اعتبار سنج ها باشيد:‏ورودي ها بايد ابتدا رمزگشايي و استاندارد شوند قبل از-اينكه به مرحله اعتبار سنجي برسند.‏مطمئن شويد كه برنامه كاربردي يك ورودي را بيشتر از يك بار1 Privilege2 Stored procedures3 dynamic query interfaces109