ASP Security by Soroush Dalili - Intelligent Exploit

استفاده از مسيرهاي غير مستقيم به يك شي:‏براي مثال نام فايلي را كه مي خواهد استفاده-شود مستقيم ننويسيم و از درهم شده MD5آن با يك كليد از قبل تنظيم شده‏(براي جلوگيري ازBrute force-و حدس زدن)‏ استفاده كنيم.‏ در واقع جدولي از نام فايلها درست مي كنيم و با استفادهاز يك پارامتر كنترل شده ديگر كه قابل حدس زدن نباشد،‏ به نام فايل ها اشاره مي كنيم.‏ در كنار اينبايد ورودي ها را نيز ارزيابي كنيم تا از تغيير پارامترها جلوگيري كنيم.‏استفاده از مكانيزم هاي بررسي نام فايل:‏ استفاده از توابعي كه صحت نام يك فايل را با استفادهاز استراتژي"Accept known good"اعلام مي كند و قوانيني براي جلوگيري از دسترسي به فايلهاي مهم دارد،‏ اكيدا پيشنهاد مي شود.‏مثلا اين تابع مي تواند علاوه بر تاييد درستي نام يك فايل،‏پسوند درخواستي فايل را نيز كنترل كند.‏استفاده از ديوار آتش:‏براي جلوگيري از ارتباط سرويس دهنده وب با اينترنت يا سرويس دهنده--هاي ديگر داخلي پيشنهاد مي شود.‏ براي سيستم هاي با ارزش بالا،‏ ايزوله كردن سرويس دهنده وب ازساير منابع در يك VLAN خاص يا يك subnet خصوصي،‏ پيشنهاد مي شود.‏بررسي فايلها و نام فايلها:‏ در جاهايي كه فايل هاي كاربران را مي پذيرند مانند PDFها 1 يا تصاويربايد كنترل دقيقي بر نام فايل ها و همچنين پسوند آنها و نيز محتويات آنها وجود داشته باشد.‏پياده سازي يكيا مكانيزم هاي:sand box بدان معني كه برنامه ها را ازchroot jail-يكديگر و منابع سيستم ايزوله نگه داريد تا مهاجمان نتوانند به ساير منابع حتي در صورت uploadفايل دسترسي پيدا كنند.‏ضمن اينكه در محلفايل ها،‏ اجازه اجرا(Execute) از فايلهايuploadupload شده،‏ بايد گرفته شده باشد.‏1 Portable Document Format112