ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
Create successful ePaper yourself
Turn your PDF publications into a flip-book with our unique Google optimized e-Paper software.
و از آنجايي كه نفوذگر قبلا به اين پوشه سر زده و index.jspرا مروركرده است، حال كه پوشه هايزير كه وجود ندارند يا ممنوع هستند را مرور مي كند بازهم برايش صفحهزده شده نمايش داده مي شود بدون آنكه پيغام خطا يا تغيير مسير دريافت كند:index.jspدر همان آدرس/news/admin//news/test/با اين عمل تمام جستجوگرهاي خودكار از كار خواهند افتاد و حدس زدن نام پوشه ها و فايل هابرايشان غير ممكن مي شود.در عين حال، مهاجمان به صورت دستي نيز با مشكلات زيادي نظيرمحدوديت زمان روبرو مي شوند.- توجه داشته باشيد با تركيب روش هاي بالا با هم خواهيد توانست برنامه كاربردي خود را تا حدزيادي از حمله مهاجمان مصون نگه داريد. در كنار اين اگر سيستم ثبت وقايع براي يك برنامه كاربردييا وب سايت وجود داشته باشد، مي توان از وقوع حمله مطلع شد.2.3.4. دشوار سازي عملياتخواندن كدها و استفاده از آسيب پذيري ها:هميشه نمي توان نام فايل ها و پوشه هاي برنامه كاربردي وب را مخفي نگه داشت، چرا كه اكثر برنامههاي كاربردي تحت وب تنها براي يك جاي خاص نوشته نمي شوند و در بسياري جاهاي ديگر نيز نصبمي شوند و ممكن است در دسترس عموم نيز قرار گيرند. پس ديگر برنامه كاربردي تحت وب از حالتجعبه سياه خارج مي شود، و در اين حالت نفوذگران مي خواهند آسيب پذيري ها را به صورت جعبهسياه و جعبه سفيد پيدا كنند.اگر برنامه در حالت جعبه سياه آسيب پذيري از خود نشان ندهد،مهاجمان حرفه اي به سراغ كدهاي برنامه خواهند رفت.در اين حالت راه هايي وجوددارد كه بتوانيمصفحاتوJSP را از خوانده شدن مصون نگه داريم و خواندن آنها را سخت و حتي غير ممكن<strong>ASP</strong>كنيم:128
Change language