امروزه یکی از بزرگترین دغدغه های فعالان حوزه آی تی، برقراری امنیت اطلاعات می باشد. با پدید آمدن بانک های داده ای آماری و مالی حساسیت مسئله صد چندان می شود. در ادامه چک لیستی ارائه می نمایم که با کمک آن می توانید تا حدود بسیار خوبی امنیت نرم افزار تحت وب خود را برقرار نمایید. در برخی از موارد مثال هایی از تکنولوژی مایکروسافت آورده شده است که این بدلیل تخصص نویسنده در تکنولوژی های مایکروسافت می باشد، در صورتی که شما از تکنولوژی ها و زبان های سورس باز بهره می برید، می بایست معادل مورد ذکر شده را در زبان مورد استفاده خود بیابید.

ابتدا اجازه دهید مقداری با حملات آشنا شویم و سپس راه مقابله را در کنار هم بررسی نماییم. (با نت نیک همراه باشید)

مهمترین و خطرناک ترین حملات سطح وب:

حمله XSS

این نوع حملات بدین صورت است که هکر با استفاده از فرم های عمومی یا خصوصی (پنل های سایت) اقدام به ثبت کدهای مخرب جاوااسکریپت درون دیتابیس شما می نماید. همانطور که می دانید بیس اصلی سیستم های احراز هویت، ساخت فایل کوکی بر روی کامپیوتر کاربران می باشد. زمانی که مطلب ثبت شده هکر برای کاربران شما نمایش داده می شود، کدهای جاوا اسکریپت هکر روی مرورگر کاربر شما اجرا شده و اطلاعات کوکی های کاربر به راحتی برای سایت هکر ارسال می شود (معمولا هکر یک صفحه روی وب می سازه تا بتونه اطلاعات دریافتی از کدهای جاوا اسکریپت خود را دریافت و در جایی ذخیره کنه).

حال هکر به راحتی کوکی رو روی مرورگر خودش تنظیم می کنه و بعد وارد سایت شما میشه، سیستم شما اونو با کاربر شما اشتباه می گیره و با راحتی هکر به اطلاعات پنل کاربری کاربر(ان) شما دست پیدا می کنه.


حمله SQL Injection

این حمله معروفترین حمله است که تقریبا با قدرت می تونم بگم که درتکنولوژی ASP.Net با امکانات فوق العاده ای که بصورت توکار در دات نت در نظر گرفته شده است ، بصورت کامل به فراموشی سپرده شده است. فقط 2 تا نکته ریز هست که باید در کداتون رعایت کنین و تمام

در مورد حمله خدمت سروران عزیزم عارضم که بدین صورت است که هکر یک سری دستورات SQL رو توی کوئری استرینگ به صفحات تزریق می کنه و بدین صورت می تونه در کدهای کوئری TSQL شما اختلال ایجاد کنه و اطلاعات جداول شما رو بدست بیاره. در این نوع حمله ، هکر از طریق باگ سطح کد نویسی کدهای نرم افزار، به دیتابیس حمله می کنه و اطلاعاتی مثل نام کاربری و کلمه عبور ادمین یا کاربران رو می دزده و بعد میره داخل پنل و هر چی می تونه خرابکاری می کنه


حمله CSRF

این حمله یکی از جالت ترین و جذاب ترین نوع حملات است که هوش بالای دوستان هکر رو نشون میده. عبارت CSRF مخفف Cross Site Request Forgery است. (احتمالا دوستان ام وی سی باز این عبارت براشون آشناست.)

در این نوع حمله هکر یک فایل برای کاربر شما از طریق ایمیل یا روش های دیگه ارسال می کنه و کاربر رو به این سمت سوق میده که فایل رو باز کنه. کاربر یک فایل به ظاهر معمولی مثل عکس یا ... می بینه و فایل رو باز می کنه. وقتی فایل باز میشه دیتای خاصی دیده نمیشه و گاهی هم اروری مبنی بر ناقص بودن فایل یا ... به کاربر نمایش داده میشه و کاربر فکر می کنه که فایل ناقص برای ارسال شده...

اما در حقیقت با کلیک روی فایل و باز کردن اون یک درخواست POST از کامپیوتر کاربر برای سایت شما ارسال میشه که در صورتی که کاربر در اون زمان در سایت شما لاگین باشه، سایت درخواست رو با روی باز می پذیره و درخواست رو اجرا می کنه و بدین صورت هکر می تونه درخواست هایی رو به سرویس های سایت شما که مثلا برای حذف یک سری داده است رو ارسال کنه و اطلاعات کاربر رو حذف کنه.


حمله Brute Force

در این حمله هکر از یک سری تولز یا برنامه برای ارسال درخواست های مکرر به فرم های سایت شما استفاده می کنه و بدین صورت فرم های عمومی سایت شما مورد حجوم انبوهی از درخواست ها قرار می گیره که این امر در بهترین حالت موجب ثبت کلی دیتای اسپم در دیتابیس شما و در بدترین حالت موجب داون شدن سایت شما میشه.

مقالات آموزشی دانشجویی برنامه نویسی و الکترونیک و شبکه

حمله DDOS

این نوع حمله مانند حمله Brute Force است، با این تفاوت که درخواست به همه صفحات شما ارسال میشه و معمولا درخواست ها از چندین سرور مختلف برای سایت شما ارسال میشه و حجم درخواست ها به قدری زیاد است که عملا سرور شما هنگ می کنه و کاملا از دسترس خارج میشه. این نوع حمله در سطح کد راه حل زیادی نداره و در سطح سرور و فایروال باید حل بشه و حل اون هم بدین صورت است که درخواست های بیش از حد طبیعی از یک آی پی خاص تشخیص داده شده و به سرعت آی پی بلاک میشه و از اون به بعد درخواست های اون آی پی در فایروال از بین میره و دیگه به سرور نمیرسه

حملات دیگری هم هست که الان حضور ذهن ندارم و انشالاه در آینده این پست کامل تر و به یکی از مراجع مهم برنامه نویسان تبدیل میشه. کامنت های شما رو با روی باز می پذیریم


حمله SHELL

شل فایلی است خطرناکه اگر روی سرور سایت شما آپلود و اجرا شود، هکر از طریق آن دسترسی کامل به کل سرور سایت شما خواهد داشت.

ابنجاست که باید شدیدا مراقب فایل هایی که روی سایت شما آپلود می شوند باشید.


حمله SNIFF

در این نوع حملات هکر پکت های رد و بدل شده بین کاربران شما و سرور شما را شنود می نماید و به راحتی می تواند اطلاعات مهمی مثل نام کاربری و رمز عبور کاربران شما را بدست آورد.



چک لیست امنیتی پروژه های نرم افزاری تحت وب

  1. بررسی کامل ورودی های دریافتی از فرم های سایت، هم در سمت کلاینت و هم در سطح سرور. >> حمله XSS
  2. حتما در فرم های عمومی سایتتان از تصویر کپچا با امنیت بالا استفاده نمایید. >> حمله Brute Force
  3. حتما سیستم شخصی سازی صفحات ارور را فعال نمایید و از نمایش صفحات ارور حاوی اطلاعات مهم مانند صفحات ارور ASP.Net جلوگیری نمایید.
  4. استفاده از ORM ها یا استفاده از پروسیجرهای پارامتریک >> حمله SQL Injection
  5. لاگ کردن ارورهای سطح کد و سطح روتینگ >> حمله SQL Injection
  6. جلوگیری از ایندکس شدن صفحات لاگین مدیریت سایت
  7. لاگ کردن ورود و خروج افراد
  8. امن سازی سرویس های ای جکس و چک کردن  ای جکس بودن درخواست ها
  9. محدود کردن سرویس های حساس به درخواست های POST
  10. عدم استفاده از آی دی در پنل های کاربران بالاخص در آدرس صفحات (کویری استرینگ) و ..استفاده از کد غیر قابل پیش بینی مثل GUID و حتی الامکان بررسی مالکیت داده ها در همه بخش ها جهت محکم کاری بیشتر (خدای نکرده کاربر با تغییر ادرس نتومه به داده های یک کاربر دیگه دسترسی داشته باشه)
  11. حتی الامکان جداسازی فیزیکی پنل مدیران از کاربران جهت محکم کاری
  12. استفاده از الگوریتم های کدگذاری ترکیبی و کد کردن اطلاعات حساس قبل از ذخیره سازی در دیتابیس
  13. ساخت پروژه بصورت چند لایه
  14. اشتراک گذاری اینترفیس در سرویس های خارج برنامه ای و عدم اشتراک گذاری کلاس اصلی
  15. استفاده از تکنیک های مقابله با CSRF در همه سرویس های POST. در ام وی سی اتریبیوت AntyForgery استفاده گردد. >> حمله CSRF
  16. استفاده از سیستم های مدیریت نقش امن مانند IDENTITY در ام وی سی و یا استفاده از امکانات توکار دات نت در سیستم های مدیریت نقش شخصی سازی شده ( Custom Role Provider ها)
  17. بررسی فرمت و پسوند فایل های آپلود شده
  18. استفاده از تکنیک های لاگین چند سطحی برای پنل ادمین (در این روش شما حتی با داشتن نام کاربری و کلمه عبور ادمین، قادر نخواهید بود وارد پنل ادمین شوید)
  19. تنظیم iis  جهت جلوگیری از اجرای فایل های اجرایی در مسیر اپلود فایل ها >> حمله SHELL
  20. آپلود فایل ها در پوشه  App_Data و  دسترسی به فایل ها از طریق سرویس های خود شما.  این پوشه امن است و دسترسب مستقیم از طریق ادرس بار مرورگر به فایل های درون ان توسط iis داده نمی شود و ملت فقط می تونن از طریق سرویس های خود شما به فایل ها دسترسی داشته باشن و بدین صورت در اکشن می تونین با Cast کردن فایل ها به نوع خودشون (تصویر. پی دی اف یا ...) هکر رو نا امید کنین >> حمله SHELL
  21. استفاده از  SSL بسیار اهمیت دارد. بالاخص اگر Service Oriented کار می کنین و سرویس هایی برای اپلیکیشن های خارجی مثل اپلیکیشن اندروید و ... دارین. این مورد در صفحات لاگین نیز بسیار مهم است و باعث می شود نام کاربری و کلمه عبور کاربران شما بصورت هش شده بین کامپیوتر کاربر و سرور شما رد و بدل شود و عملا شنود پکت ها فایده ای برای هکر نخواهد داشت.  >> حمله SNIFF


* نسخه کامل تر مقاله رو می تونین از ایــــنــــــجـــــــــــا مطالعه نمایید.

نوشته شده در تاریخ پنجشنبه 8 مرداد 1394    | توسط: ح.م    | طبقه بندی: آموزش امنیت در asp.net،     | نظرات()