ASP Security by Soroush Dalili - Intelligent Exploit

در بخش مربوط به مقابله Information Leakage and Improper Error Handlingبا--مطالبي گفته شد كه در اينجا نيز همگي بايد رعايت شوند.‏با اينكه بحث ما در مورد برنامه هاي كاربردي تحت وب است اما از آنجايي كه اين مورد با مبحث مادر ارتباط است،‏ آن را بيان مي كنيم:‏خود سرويس دهنده هاي وبIIS يا مثل Apache1در سرنامهارسالي خود به طرف كاربر اطلاعات مهمي نظير شماره نسخه ها را فاش مي كنند كه بايد با تنظيمصحيح آنها نه تنها اطلاعات درست از سرويس دهنده به سمت كاربر نفرستاد،‏ بلكه داده هاي جعلي وغلط در مورد سرويس دهنده به طرف كاربر نيز ارسال كرد.‏در كنار اين،‏ حذف پوشه ها و فايل هاي-پيش فرض در خود سرويس دهنده بايد انجام پذيرد چرا كه خود ممكن است باعث دادن اطلاعات و ياوقوع آسيب پذيري ديگري گردد.‏سعي كنيد نام فايل ها و پوشه ها را طوري انتخاب كنيد كه قابل حدس زدن نباشند.‏ براي مثال ميتوانيد از درهم شده MD5نام آنها با يك كليد محرمانه استفاده كنيد.‏اگرچه اين كار شناسايي راتقريبا غير ممكن مي سازد،‏ اما كار برنامه نويس را هم بسيار دشوار خواهد كرد و احتمال ثبت درموتورهاي جستجو نظير Googleرا نيز كاهش مي دهد.‏لذا مي توانيد از اين روش فقط براي پوشههاي مديريتي استفاده كنيد.‏ روش ديگر در همين حيطه مي تواند به اين شكل باشد كه پوشه ها و نامفايل ها طولاني ولي با معني باشد اما شيوه دسترسي به آنها فقط از طريق يك صفحه به شكل زيرممكن باشد:‏/index.jsp?pageid={xxxx-xxxx-xxxx-xxxx}&NewsID=10= فايل اصلي/News_RandomNumber/CompanyName_News_RandomNumber_Show.jsp1 Header126