ASP Security by Soroush Dalili - Intelligent Exploit

هميشه ويروسكش ها وديوار آتش و سرويس دهنده خود را به روز نگه داريد:‏با اين كار-جلوي اجراي سو استفاده هاي احتمالي آشكار شده از سرويس دهنده و برنامه كاربردي تحت وب تا حدزيادي گرفته مي شود.‏- در :ASPقوانيني كه در بالا گفته شد براي اين زبان كافي مي باشند.‏ ضمن اينكه در تنظيمات ،IISيك كاربر خاص براي اجراي هر سايت تعريف كنيد كه فقط به پوشه هاي همان سايت خاص مجوزدسترسي داشته باشد و از اجراي سايت ها با كاربر پيش فرض (IUSR)خودداري كنيد.‏اين كاربرتعريف شده،‏ در تنظيم سياست هاي گروهي Policy) (Groupويندوز نيز بايد از محدوديت هايكاربر پيش فرضIUSR) يا (Guestپيروي كند.‏Java EEدرمديريت امنيترا فعال كنيد تا از دسترسي فايل ها به خارج از پوشه ريشه:Java-وب جلوگيري كند.‏ همچنين هيچگاه از پيش فرضFileServletاستفاده نكنيد.‏.4.2.4روش مقابلهبا :Insecure Direct Object Referenceبهترين روش مقابله با اين آسيب پذيري،‏ استفاده از مسيرهاي غيرمستقيم است.‏ اگر هم مسير مستقيمبه يك شي مورد نياز است،‏ مطمئن شويد كه كاربر اجازه استفاده از آن را داشته باشد.‏ روش استفاده ازمسيرهايغير مستقيم بهيك شي،‏ در قسمت قبل توضيح داده شد.‏مواردي كه بايد در اينجا كنترلشوند عبارتند از:‏-پرهيز از نشان دادن مسير مستقيم يك شي محرمانه به كاربران:‏ تا جايي كه امكان دارد بايد ازچيزهايي مانند نام فايل ها يا كليدهاي اصلي به صورت مستقيم استفاده نشود.‏"Accept known good"اعتبار سنجي مراجعهبه يك شي محرمانه:‏استفاده از روند-پيشنهاد مي شود.‏113