OWASP Top 10 Puipuiga lamatia | Vaaiga lautele
Lisi o Mataupu
O le a le OWASP?
OWASP ose fa'alāpotopotoga e leai ni tupe fa'apitoa e tu'ufa'atasia mo a'oa'oga mo le puipuiga o le initaneti.
O mea a'oa'oga a le OWASP e mafai ona maua ile latou upegatafa'ilagi. E aoga a latou meafaigaluega mo le faʻaleleia atili o le saogalemu o talosaga i luga o le initaneti. E aofia ai pepa, meafaigaluega, vitio, ma fono.
O le OWASP Top 10 o se lisi o loʻo faʻamaonia ai popolega pito i luga mo le saogalemu mo luga o upega tafaʻilagi i aso nei. Latou te fautuaina kamupani uma e aofia ai lenei lipoti ia latou faiga e faʻaitiitia ai lamatiaga saogalemu. O lo'o i lalo le lisi o fa'alavelave saogalemu o lo'o aofia i le lipoti a le OWASP Top 10 2017.
tui SQL
Ole tui ole SQL e tupu pe a lafo e se tagata osofaʻi faʻamatalaga le talafeagai i se upega tafaʻilagi e faʻalavelave ai le polokalame ile talosaga.
O se faʻataʻitaʻiga o se SQL Injection:
E mafai e le tagata osofaʻi ona tuʻuina se fesili SQL i totonu o se pepa faʻapipiʻi e manaʻomia ai se igoa ole igoa ole igoa. Afai e le fa'amautu le pepa fa'atumu, o le a i'u i le fa'atinoina o se fesili SQL. Lenei ua tuuina atu e pei o tui SQL.
Ina ia puipuia talosaga i luga o le upega tafaʻilagi mai tui faʻailoga, ia mautinoa o loʻo faʻaogaina e au atinaʻe le faʻamaoniaina o mea i luga o faʻamatalaga tuʻuina atu e le tagata. O le fa'amaoniga i'i e fa'atatau i le teenaina o fa'aoga le aoga. E mafai fo'i e le pule o fa'amaumauga ona tu'u pulega e fa'aitiitia ai le aofa'i o faʻamatalaga e mafai ia faailoa atu i se osofaiga tui.
Ina ia taofia le tui ole SQL, ua fautuaina e le OWASP le tuʻu ese o faʻamatalaga mai faʻatonuga ma fesili. O le filifiliga sili o le faʻaaogaina o se saogalemu API e taofia ai le fa'aogaina o se fa'aliliuupu, po'o le fa'asolo atu ile Object Relational Mapping Tools (ORMs).
Fa'amaoniaga Gausia
O faʻafitauli faʻamaonia e mafai ona faʻatagaina se tagata osofaʻi e faʻaoga faʻamatalaga tagata faʻaoga ma faʻafefeteina se faiga e faʻaaoga ai se faʻamatalaga faʻapitoa.. E mafai e le tagata solitulafono i luga ole laiga ona fa'aoga se tusitusiga e fa'ata'ita'i ai le faitau afe o fa'aupuga fa'aupuga i luga ole faiga e va'ai ai po'o fea e aoga. O le taimi lava e ulufale ai le tagata solitulafono i luga o le initaneti, e mafai ona latou faʻasese le faʻamatalaga o le tagata faʻaoga, tuʻuina atu ia i latou le avanoa i faʻamatalaga faalilolilo.
O lo'o iai se fa'aletonu fa'amaoni malepe i luga ole laiga i luga ole laiga e mafai ai ona ulufale fa'aautomate. O se auala taʻutaʻua e faʻasaʻo ai faʻamaoniga faʻaletonu o le faʻaogaina lea o le faʻamaoni faʻateleina. E le gata i lea, e mafai ona fa'atapula'a le saini ole fua ia aofia ai i luga o le upega tafaʻilagi e puipuia ai osofaʻiga faʻamalosi.
Fa'aaliga Fa'amatalaga Ma'ale'ale
Afai e le puipuia e 'upega tafa'ilagi le au osofa'i ma'ale'ale e mafai ona fa'aoga ma fa'aoga mo latou manuia. O se osofa'iga i luga o le ala o se auala lauiloa mo le gaoia o fa'amatalaga ma'ale'ale. Ole a'afiaga ole fa'aalia e mafai ona la'ititi pe a fa'aigoa uma fa'amatalaga ma'ale'ale. E tatau ona fa'amautinoa e le au atina'e i luga o le upega tafa'ilagi e leai ni fa'amatalaga ma'ale'ale e fa'aalia i luga o le su'esu'ega po'o le teuina fa'afuase'i.
XML Vaega i fafo (XEE)
E mafai e se tagata solitulafono i luga o le initaneti ona tuʻuina atu pe aofia ai mea leaga XML, tulafono, poʻo tulafono i totonu o se pepa XML. O lenei mea e mafai ai ona latou matamata i faila i luga o le polokalama faila faila. O le taimi lava latou te maua ai le avanoa, e mafai ona latou fegalegaleai ma le 'auʻaunaga e faʻatino osofaʻiga faʻatauga a le server-side request (SSRF)..
XML osofa'iga fa'alapotopotoga i fafo e mafai ia taofia e fa'atagaina talosaga i luga o le upega tafa'ilagi e talia fa'amatalaga fa'aitiitiga lavelave pei ole JSON. O le fa'agataina o le fa'agasologa o fa'alapotopotoga i fafo o le XML e fa'aitiitia ai fo'i avanoa o se osofa'iga a le XEE.
Pulea Avanoa Gagana
O le fa'atonuga o avanoa ose faiga fa'apolokalame e fa'agata ai tagata fa'aoga le fa'atagaina i fa'amatalaga ma'ale'ale. Afai e malepe se faiga e pulea ai avanoa, e mafai e tagata osofaʻi ona pasia le faʻamaoni. E maua ai e i latou le avanoa i fa'amatalaga ma'ale'ale e pei o lo'o iai la latou fa'atagaga. E mafai ona fa'amautu le Pulea Avanoa e ala i le fa'atinoina o fa'ailoga fa'atagaga ile saini a le tagata fa'aoga. I luga o talosaga uma e faia e se tagata faʻaoga aʻo faʻamaonia, o le faʻatagaga faʻatagaina ma le tagata faʻaoga e faʻamaonia, faʻailoga e faʻatagaina le tagata faʻaoga e faia lena talosaga.
Faasaoga le faʻasaʻo
O le faaletonu o le saogalemu o se mataupu masani lea cybersecurity tagata fa'apitoa e mata'ituina i talosaga i luga ole laiga. E tupu lenei mea ona o le faʻaseseina o ulutala HTTP, gau le avanoa, ma le faʻaalia o mea sese e faʻaalia ai faʻamatalaga i luga o le upega tafaʻilagi.. E mafai ona e fa'asa'o se Saogalemu Misconfiguration e ala i le aveeseina o mea e le'i fa'aaogaina. E tatau fo'i ona e fa'apipi'i pe fa'afou au afifi polokalama.
Lisi o Nofoaga Tusitusia (XSS)
O le fa'aletonu XSS e tupu pe a fa'aogaina e le tagata osofa'i le DOM API o se 'upega tafa'ilagi fa'atuatuaina e fa'atino ai tulafono leaga i totonu ole su'esu'ega a le tagata fa'aoga.. O le faʻatinoina o lenei tulafono leaga e masani ona tupu pe a kiliki e se tagata faʻaoga i luga o se soʻotaga e foliga mai e sau mai se upega tafaʻilagi faatuatuaina. Afai e le puipuia le upega tafaʻilagi mai le XSS vaivai, e mafai ia fetuutuunai. Le code leaga lea ua fasiotia e tu'uina atu i le tagata osofa'i le avanoa i le saini a tagata fa'aoga, fa'amatalaga o pepa aitalafu, ma isi fa'amatalaga ma'ale'ale.
Ina ia puipuia le Fa'asinoala i luga ole laiga (XSS), ia mautinoa o lo'o fa'amama lelei lau HTML. E mafai ia ausia e filifili fa'avae fa'atuatuaina e fa'atatau i le gagana e filifilia. E mafai ona e fa'aogaina gagana pei ole .Net, Ruby on Rails, ma React JS aua latou te fesoasoani e fa'avasega ma fa'amama lau HTML code. O le togafitia o faʻamatalaga uma mai tagata faʻamaonia poʻo tagata e le faʻamaonia e pei o le le talitonuina e mafai ona faʻaitiitia ai le lamatiaga o osofaʻiga XSS.
Le Fa'asa'oga Deserialization
Deserialization o le suiga o faʻamaumauga faʻasalalau mai se server i se mea. Deserialization o faʻamaumauga o se mea masani i le atinaʻeina o polokalama. E le saogalemu pe a faʻamaumauga ua deserialized mai se puna e le talitonuina. E mafai lenei atonu fa'aalia lau talosaga i osofa'iga. Le fa'aletonu le fa'amanino e tupu pe a fa'ate'aina fa'amatalaga mai se puna e le fa'atuatuaina e ta'ita'i atu ai i osofa'iga a le DDOS, osofa'iga fa'atino fa'ailoga mamao, po'o le fa'amaoniaina o le fa'amaonia..
Ina ia aloese mai le faʻaleagaina le mautinoa, o le tulafono o le lima matua o le aua lava neʻi faʻalagolago i faʻamatalaga a tagata faʻaoga. O faʻamatalaga faʻaoga uma e faʻaoga e tatau ona faatatauina as atonu leaga. Aloese mai le fa'aseseina o fa'amaumauga mai fa'apogai e le talitonuina. Ia mautinoa o lo'o galue le deserialization i ia faʻaaogaina i lau 'upega tafaʻilagi e saogalemu.
Fa'aaogaina o Vaega e Maua Ai Fa'aletonu
Libraries ma Frameworks ua fa'avavevave le atina'eina o upegatafa'ilagi e aunoa ma le mana'omia e toe fa'afouina le uili. Ole mea lea e fa'aitiitia ai le fa'aogaina ile su'esu'ega code. Latou te saunia le ala mo tagata atiae e taulaʻi atu i vaega sili atu ona taua o talosaga. Afai e maua e le au osofaʻi mea faʻaoga i totonu o nei faʻavae, o faʻamaumauga uma e faʻaogaina ai le faʻavae ia fetuutuunai.
E masani ona ofoina atu e le au atina'e vaega o le puipuiga malu ma fa'afouga mo faletusi vaega. Ina ia aloese mai faʻafitauli faʻaletonu, e tatau ona e aʻoaʻo e faʻafou au tusi talosaga faʻatasi ma faʻamaufaʻailoga saogalemu fou ma faʻaleleia.. O vaega e le faʻaaogaina e tatau aveese mai le talosaga e tipi osofaʻiga vectors.
Le lava Fa'amau ma Mata'ituina
E taua le fa'amauina ma le mata'ituina e fa'aalia ai gaioiga i lau 'upega tafa'ilagi. O le logging e faigofie ai ona su'e mea sese, Mataitu fa'aoga logins, ma gaoioiga.
Le lava le fa'amauina ma le mata'ituina e tupu pe a le fa'amauina ni fa'alavelave mata'utia lelei. E fa'aaoga e le au osofa'i le mea lea e faia ai ni osofa'iga i lau talosaga a'o le'i i ai se tali iloga.
E mafai ona fesoasoani le logging i lau kamupani e sefe ai tupe ma taimi aua e mafai e au atiaʻe faigofie su'e ni mea sese. O lenei mea e mafai ai ona latou taulaʻi atili i le foia o faʻamaʻi nai lo le suʻeina. O lona uiga, e mafai ona fesoasoani le logging e fa'atumauina au saite ma 'au'aunaga i luga ma fa'agaoioi i taimi uma e aunoa ma latou o'o i ai so'o se taimi fa'aletonu.
iʻuga
E leai se tulafono lelei tonu e uiga i galuega, e uiga i le tausia o au tagata faʻaoga ma talosaga saogalemu. O le OWASP Top 10 o se lisi o faʻafitauli sili ona mataʻutia o le saogalemu o talosaga o se punaoa sili e leai se totogi mo tagata atiaʻe e tusia ai upega tafaʻilagi ma telefoni feaveaʻi.. O le a'oa'oina o le au atia'e i lau 'au e iloilo ma fa'amauina tulaga lamatia e mafai ona fa'asaoina taimi ma tupe a lau 'au i le lumana'i. Afai e te mana'o iai a'oa'o atili pe fa'apefea ona toleni lau 'au ile OWASP Top 10 kiliki iinei.
