ASP Security by Soroush Dalili - Intelligent Exploit

فصل دومبررسي آسيب پذيري هاي برنامه هاي كاربردي تحت وب به زبان هاي:JSP و ASP.1.2مقدمه اي بر آسيب پذيري هاي وب:‏آسيب پذيري هاي وبرا ميتوان به دو دسته كلي تقسيم كرد.‏يك دسته آسيب پذيري هاييست كه،Linuxناشي از محيط اجرا و اجزايي است كه برنامه هاي كاربردي در آنها با هممشتركند؛ مانندو نظاير اينها.‏دسته ديگر آسيب پذيري ها،‏خود برنامه هايOracle،IIS،Apache،Windowsكاربردي تحت وب را هدف مي گيرد.‏ به عبارت ديگر دسته دوم خطاهاي برنامه نويسي در يك برنامه راشامل مي شود كه براي نمونه مي تواند موجب فاش شدن جزئيات كارت اعتباري كاربران،‏ اجرايدستورات در پايگاه داده و يا اجراي فرمان سيستمي در سرويس دهنده گردد.‏در اين پروژه ما تنهادسته دوم را بررسي مي كنيم چرا كه هدف ما امن سازي خود برنامه هاي كاربردي به زبان ASPوJSPاست.‏ البته به تنظيمات نادرست سرويس دهنده كه باعث در معرض خطر قرار گرفتن برنامه هايكاربردي مورد نظرمان مي شود،‏ در حين مباحث مربوط اشاره خواهيم داشت.‏در عين حال،‏ آسيب پذيري هاي برنامه هاي كاربردي وب نيز بسيار گسترده بوده و اين گستردگي روزبه روز با آمدن تكنولوژي هاي جديد و ايده هاي نو،‏ بيشتر و بيشتر مي شود.‏ لذا در اينجا فقط به مواردمهم آسيب پذيري هاي برنامه هاي كاربردي تحت وب اشاره كرده و موارد ديگر را با ذكر مرجع به عهدهخواننده علاقه مند مي گذاريم.‏نكته اي كه اينجا حائز اهميت است،‏ تفاوت بين آسيب پذيري ها وحملات است تا بتوان آنها را از هم تميز داد،‏ چرا كه در بسياري از منابع اين دو را در كنار هم نوشتهاند.‏ طبق تعريف داريم:‏ حملات تكنيك هايي هستند كه از آسيب پذيري ها سو استفاده مي كنند.‏26