ASP Security by Soroush Dalili - Intelligent Exploit

-دسترسي را در لايه نمايش بگذاريم و منطق برنامه را بدون حفاظت رها كنيم.‏ همچنين،‏ تنها يك دفعهبررسي درست نيست،‏ بلكه بايد در هر بار تقاضاي دسترسي به يك فايل يا تابع،‏ دسترسي كاربر كنترلشود.‏ به عبارت ديگر اينطور نبايد باشد كه در فايل هاي ترتيبي مهاجم بتواند به دومين فايل بدون نيازبه كنترل دسترسي وارد شود،‏ به اين دليل كه تنها در فايل اول دسترسي ها كنترل مي شوند.‏براي جلوگيري از اين آسيب پذيري و ايجاد كنترل هاي دسترسي بايد به موارد زير توجه داشت:‏اطمينان از اينكه ماتريس كنترل هاي دسترسي،‏ بخشي از منطق،‏ معماري و طراحي برنامهكاربردي تحت وب است.‏اطمينان از اينكه تماميURLها و توابع برنامه با مكانيزم هاي كنترل دسترسي موثر،‏-حفاظت شده اند:‏كه به نقش كاربر و پردازشي كه بايد صورت بپذيرد رسيدگي مي كنند.‏مطمئن-شويد كه اين عمل در هر مرحله انجام مي شود و نه فقط در اول يك پردازش چند مرحله اي.‏1يك آزمون نفوذ اجرا كنيد:‏ پيش از برپاسازي يا تحويل دادن كدها،‏ براي اطمينان از عدم آسيب-‏پذيري برنامه توسط يك نفوذگر حرفه اي،‏ خود آزمون هاي نفوذ عليه برنامه كاربردي تحت وب را اجراكنيد.‏-توجه خاصي به فايل هاي كتابخانه اي داشته باشيد:‏ مخصوصا وقتي اين فايل ها پسوندهاي قابلاجرايي نظيردارند.‏ASP اگر امكان دارد بايد آنها را از قسمتي كه از طريق وب در دسترس هستند،‏خارج كرد.‏همچنين بايد بررسي كرد كه آيا دسترسي مستقيم به آنها مي تواند خطرناك باشد يا نه.‏افتاد.‏بهترين كار اين است كه اين فايل ها فقط شامل توابع و روال ها و مانند اينها باشند كه نياز به صداكردن داشته باشند؛ با اين كار اگر اين فايل ها مستقيما مورد دسترسي قرار بگيرند،‏ هيچ اتفاقي نخواهد1 Penetration test123