ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
ASP Security by Soroush Dalili - Intelligent Exploit
You also want an ePaper? Increase the reach of your titles
YUMPU automatically turns print PDFs into web optimized ePapers that Google loves.
اكثر حملات به برنامه هاي كاربردي تحت وب شامل فرستادن ورودي فريبنده به سرويس دهنده است،تا باعث ايجاداتفاقي شود كه موردخواست يا انتظار طراح برنامه كاربردي نيست.در زير مثال هايي ازثبت كردن داده هاي فريبنده كه منجر به رسيدن به اين هدف مي شود آمده است:تغيير دادن قيمت يك محصول ارسال شده درفيلدمخفي ،HTML به منظور ارزان تر خريدن آن-محصول.-تغيير نشانه نشست ارسال شده در يك كوكي، به منظور دزديدن نشست يك كاربر معتبر ديگر.پاك كردن پارامترهاي مشخصي كه معمولاشوند، ثبت بايدبه منظور يافتن شكافي منطقي در-پردازش برنامه كاربردي.نياز به گفتن نيست كه SSLاز ثبت كردن وروديفريبنده توسطمهاجم جلوگيري نمي كند.اگربرنامه كاربردي از SSLاستفاده كند، اين به اين معناست كه ديگر كاربران شبكه نمي توانند داده درحال انتقال مهاجم را مشاهده كنند يا آن را تغيير دهند. از آنجايي كه مهاجم سمت تونل SSL خود راكنترل مي كند، مي تواند از طريق اين تونل هرچه مي خواهد به سرويس دهنده بفرستد. اگر هر كدامFAQ 1از حملاتذكر شده موفقيت آميز بود ، برنامه كاربردي، بدون توجه به اينكهچه مي گويد،حتما آسيب پذير است!1.2.2. عواملكليدي مشكل:مشكل اصلي امنيتي در برنامه هاي كاربردي تحت وب زماني ايجاد مي شود كه برنامه كاربردي بخواهدداده نامطمئني را كه ممكن استباشد، مخربتاييد و پردازش كند.با اين حال، در مورد برنامه هايكاربردي تحت وب، فاكتورهاي زيادي وجود دارند كه اين مشكل را تشديد مي كنند، و اين مسئله را كه1 Frequently Asked Question28