ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
-دسترسي را در لايه نمايش بگذاريم و منطق برنامه را بدون حفاظت رها كنيم. همچنين، تنها يك دفعهبررسي درست نيست، بلكه بايد در هر بار تقاضاي دسترسي به يك فايل يا تابع، دسترسي كاربر كنترلشود. به عبارت ديگر اينطور نبايد باشد كه در فايل هاي ترتيبي مهاجم بتواند به دومين فايل بدون نيازبه كنترل دسترسي وارد شود، به اين دليل كه تنها در فايل اول دسترسي ها كنترل مي شوند.براي جلوگيري از اين آسيب پذيري و ايجاد كنترل هاي دسترسي بايد به موارد زير توجه داشت:اطمينان از اينكه ماتريس كنترل هاي دسترسي، بخشي از منطق، معماري و طراحي برنامهكاربردي تحت وب است.اطمينان از اينكه تماميURLها و توابع برنامه با مكانيزم هاي كنترل دسترسي موثر،-حفاظت شده اند:كه به نقش كاربر و پردازشي كه بايد صورت بپذيرد رسيدگي مي كنند.مطمئن-شويد كه اين عمل در هر مرحله انجام مي شود و نه فقط در اول يك پردازش چند مرحله اي.1يك آزمون نفوذ اجرا كنيد: پيش از برپاسازي يا تحويل دادن كدها، براي اطمينان از عدم آسيب-پذيري برنامه توسط يك نفوذگر حرفه اي، خود آزمون هاي نفوذ عليه برنامه كاربردي تحت وب را اجراكنيد.-توجه خاصي به فايل هاي كتابخانه اي داشته باشيد: مخصوصا وقتي اين فايل ها پسوندهاي قابلاجرايي نظيردارند.<strong>ASP</strong> اگر امكان دارد بايد آنها را از قسمتي كه از طريق وب در دسترس هستند،خارج كرد.همچنين بايد بررسي كرد كه آيا دسترسي مستقيم به آنها مي تواند خطرناك باشد يا نه.افتاد.بهترين كار اين است كه اين فايل ها فقط شامل توابع و روال ها و مانند اينها باشند كه نياز به صداكردن داشته باشند؛ با اين كار اگر اين فايل ها مستقيما مورد دسترسي قرار بگيرند، هيچ اتفاقي نخواهد1 Penetration test123