خبرکاو:

در این مقاله، OWASP و 10 آسیب‌پذیری برتر برنامه‌های وب را که آنها شناسایی کرده‌اند، تحلیل می‌کنیم. این یک موضوع مفید هم برای آزمایش‌کنندگان قلم برنامه‌های وب و هم برای شکارچیان باگ فضل است.

چه وجه مشترکی بین تست‌کننده‌های قلم برنامه‌های وب و شکارچیان جایزه باگ دارند؟ آنها هر دو در حال شکار حشرات هستند، اما دومی پول بیشتری به دست می آورد ;)

امنیت برنامه های کاربردی وب یک موضوع گسترده است. راه های زیادی وجود دارد که می توان از یک برنامه وب سوء استفاده کرد. این می تواند یک چالش برای مهندسان امنیت باشد، به خصوص اگر آنها در حال شروع کار خود هستند.

OWASP ، مخفف Open Web Application Security Project، سازمانی است که به بهبود امنیت نرم افزار اختصاص دارد. OWASP ابزارها و منابعی را برای مهندسین امنیت فراهم می کند تا به ایمن تر کردن برنامه هایشان کمک کند.

مهمترین سهم OWASP در امنیت سایبری فهرست 10 آسیب پذیری برتر OWASP است. این فهرست شامل 10 خطر مهم امنیتی برنامه های وب است که باید تحت نظارت و پیشگیری قرار گیرند.

دانستن این 10 خطر امنیتی به شما کمک می کند تا خطر حملات علیه دارایی های وب شرکت خود را کاهش دهید. همچنین به شکارچیان باگ باونتی کمک می‌کند تا در هنگام ممیزی برنامه‌های وب به دنبال چه چیزی بگردند.

بیایید هر آسیب‌پذیری OWASP را با جزئیات تحلیل کنیم.

حملات تزریقی

تزریق نوعی آسیب‌پذیری است که در آن مهاجم کدهای مخرب را به یک برنامه وب تزریق می‌کند. تزریق می تواند منجر به دسترسی غیرمجاز به داده های حساس، از دست دادن داده ها یا حتی به خطر افتادن کامل سیستم شود.

نمونه ای از حملات تزریقی SQL Injection است. اینجاست که مهاجم کد SQL مخرب را به پرس و جوی SQL یک برنامه وب تزریق می کند. این زمانی انجام می شود که ورودی های برنامه وب به درستی تحلیل نشده باشند. در صورت موفقیت آمیز بودن، کد مخرب توسط سرور پایگاه داده اجرا می شود.

مثال دیگر Command Injection است. در اینجا، یک مهاجم دستورات مخرب پوسته را به یک برنامه وب تزریق می کند. این می تواند منجر به عواقب مخربی از جمله تصاحب کامل سیستم شود.

برای جلوگیری از حملات تزریق، تمام ورودی های کاربر را تحلیل و ضدعفونی کنید. پاکسازی حذف داده های مضر یا مخرب وارد شده به جعبه ورودی است.

به عنوان مثال، اگر کاربر هر کاراکتری غیر از یک رشته الفبایی را وارد کند، می‌توانید قبل از ارسال آن به باطن، آن‌ها را حذف کنید و آن را در باطن نیز تحلیل کنید. این به حذف محتوای مضر یا مخرب کمک می کند و در برابر تهدیدات امنیتی محافظت می کند.

همچنین، همیشه به جای ایجاد پرس و جوهای SQL در جریان، از پرس و جوهای آماده SQL در باطن استفاده کنید. علاوه بر این، تمام نرم افزارها و کتابخانه ها را با آخرین وصله های امنیتی به روز نگه دارید.

نظارت و ثبت نام کافی

نظارت و ثبت نام کافی به عدم نظارت و ثبت نام مناسب برای سرور وب یا پایگاه داده اشاره دارد. این امر تشخیص و واکنش به حوادث امنیتی را دشوار می کند.

به عنوان مثال، اگر سیستمی ورود به سیستم مناسبی نداشته باشد، تشخیص زمانی که یک مهاجم سعی می کند سیستم را به خطر بیندازد، دشوار خواهد بود. بدون نظارت زمان واقعی، تشخیص به موقع حوادث امنیتی دشوار خواهد بود.

برای رسیدگی به نظارت و ثبت نام کافی، باید سیستم های نظارتی قوی را پیاده سازی کنید که طیف وسیعی از رویدادها را ثبت می کند. این شامل دسترسی ورود به سیستم به داده های حساس، ترافیک شبکه و گزارش های سیستم است.

همچنین با استفاده از خدماتی مانند Snort ، نظارت بر دستگاه‌های شبکه را نیز لحاظ کنید. Snort یک سیستم تشخیص نفوذ و جلوگیری از نفوذ شبکه منبع باز رایگان است. همچنین، برای شناسایی روندها و حوادث امنیتی احتمالی، داده های گزارش را به صورت دوره ای تحلیل و تجزیه و تحلیل کنید.

احراز هویت شکسته

احراز هویت شکسته به نقاط ضعف در فرآیند احراز هویت اشاره دارد. این شامل مسائلی مانند رمزهای عبور ضعیف یا به راحتی قابل حدس زدن، عدم مدیریت صحیح رمز عبور و استفاده از مکانیسم‌های احراز هویت آسیب‌پذیر است.

برای مثال، یک مهاجم می‌تواند با حدس زدن رمزهای عبور رایج از فهرستی مانند rockyou.txt از سیستمی سوء استفاده کند که رمزهای عبور ضعیف را مجاز می‌کند. آنها همچنین می توانند از ابزارهای brute-force مانند Hydra و سایر ابزارهای شکستن رمز عبور برای شکستن رمزگذاری در صورت استفاده از الگوریتم ضعیف استفاده کنند.

مثال دیگر استفاده از سوالات امنیتی قابل حدس زدن است، مانند "نام دختر مادرت چیست؟". مهاجمی که تحقیقات اولیه را روی هدف انجام داده است به راحتی می تواند به این سوالات پاسخ دهد.

برای جلوگیری از احراز هویت شکسته، مکانیسم های احراز هویت قوی مانند احراز هویت چند عاملی (MFA) را فعال کنید. سیاست های بازیافت رمز عبور را اعمال کنید که کاربران را ملزم به تغییر دوره ای رمز عبور می کند.

قرار گرفتن در معرض داده های حساس

قرار گرفتن در معرض داده های حساس به ذخیره و انتقال اطلاعات حساس بدون امنیت مناسب اشاره دارد. این شامل گذرواژه‌ها، شماره کارت اعتباری و اطلاعات شخصی قابل شناسایی (PII) می‌شود.

شایع ترین دلیل این امر عدم رمزگذاری است. رمزگذاری فرآیند رمزگذاری اطلاعات است. این فرآیند متن اصلی را که به عنوان متن ساده شناخته می شود، به یک فرم جایگزین به نام متن رمز تبدیل می کند. در حالت ایده‌آل، فقط اشخاص مجاز می‌توانند یک متن رمز شده را به متن ساده رمزگشایی کنند و به اطلاعات اصلی دسترسی داشته باشند.

به عنوان مثال، اگر پایگاه داده ای دارید که در آن رمزهای عبور را ذخیره می کنید، باید از نوعی رمزگذاری برای محافظت از رمزهای عبور مشتری خود استفاده کنید. اگر آنها را به عنوان متن ساده ذخیره کنید، در صورت افشای رمز عبور مشتریان خود را در معرض خطر قرار خواهید داد.

بدون روش‌های حفاظتی مانند رمزگذاری، قرار گرفتن در معرض داده‌های حساس می‌تواند منجر به رهگیری، سرقت یا دستکاری داده‌ها توسط مهاجم شود. برای کاهش این خطر، همیشه اطلاعات حساس را هنگام ذخیره و انتقال رمزگذاری کنید.

همیشه رمزهای عبور رمزگذاری شده را به جای رمزهای عبور متن ساده ذخیره کنید. برای اطمینان از اینکه فقط پرسنل مجاز می توانند به داده های حساس دسترسی داشته باشند، کنترل های دسترسی را فعال کنید.

موجودیت های خارجی XML

XML External Entities یک آسیب پذیری است که بر پردازنده های XML تأثیر می گذارد. این زمانی اتفاق می‌افتد که ورودی XML را از یک کاربر بدون اعتبارسنجی مناسب تجزیه و تحلیل کنند.

این آسیب پذیری به مهاجم اجازه می دهد تا کد XML مخرب را به یک سند XML تزریق کند. این می تواند منجر به افشای اطلاعات حساس، انکار سرویس و حتی اجرای کد از راه دور شود.

برای جلوگیری از حملات XXE، برنامه‌ها باید ورودی XML را تأیید و پاکسازی کنند. غیرفعال کردن موجودیت خارجی XML و پردازش DTD به طور پیش فرض.

در صورت امکان، از یک قالب داده کمتر پیچیده مانند JSON استفاده کنید. اکثر APIها اکنون مبتنی بر JSON هستند، پس دور شدن از XML به JSON یک برد برد خواهد بود.

کنترل دسترسی خراب

در حالی که احراز هویت به ما می گوید که آیا کاربر می تواند به یک سیستم دسترسی داشته باشد، کنترل دسترسی به ما می گوید که چه کسی می تواند به یک منبع خاص در یک سیستم دسترسی داشته باشد.

کنترل دسترسی شکسته زمانی اتفاق می افتد که یک برنامه دسترسی به منابع حساس را محدود نمی کند. این شامل فایل‌ها، سوابق پایگاه داده یا حتی آپشن های محصول است که باید به کاربران منتخب محدود شود.

کنترل دسترسی خراب می تواند منجر به مشاهده، تغییر یا حذف داده های حساس توسط کاربران غیرمجاز شود. برای کاهش این خطر، سیاست‌های کنترل دسترسی قوی مانند دسترسی مبتنی بر نقش را برای کاربران، مدیران و دیگران فعال کنید.

اختصاص حقوق دسترسی بر اساس اصل حداقل امتیاز. این بدان معناست که کاربران فقط باید کمترین دسترسی مورد نیاز برای انجام کار خود را داشته باشند. ممیزی ها و ارزیابی های امنیتی منظم به شناسایی این آسیب پذیری های کنترل دسترسی کمک می کند.

پیکربندی اشتباه امنیتی

پیکربندی نادرست امنیتی زمانی رخ می دهد که یک برنامه به درستی پیکربندی نشده باشد. این منجر به افشای اطلاعات مهم مانند پیام های خطا یا جزئیات سیستم می شود.

به عنوان مثال، اگر تنظیمات پیش‌فرض پشتیبان خود را تغییر ندهید، می‌تواند پیام خطا را به‌جای مدیریت دلپذیر، در معرض دید کاربر قرار دهد. شما اغلب می توانید این را در سایت های PHP مشاهده کنید که به جای پیام 500 خطا را در مرورگر چاپ می کنند.

برای کاهش این خطر، تمام پیام‌های اشکال‌زدایی و خطا را از برنامه تولیدی خود پنهان کنید. کنترل های امنیتی و وصله های مناسب را در صورت لزوم و به موقع اعمال کنید. در نهایت، اسکن‌ها و ارزیابی‌های امنیتی منظم را انجام دهید تا مطمئن شوید پیکربندی نادرستی در برنامه‌های شما وجود ندارد.

اسکریپت بین سایتی (XSS)

Cross-Site Scripting (XSS) یک مشکل امنیتی رایج در وب سایت ها است. اگر کنترل نشود، مهاجم می تواند اسکریپت های مخرب را به یک صفحه وب تزریق کند. این اسکریپت سپس توسط مرورگر وب قربانی اجرا می شود.

وب سایتی را در نظر بگیرید که به کاربران اجازه ارسال نظرات را می دهد. یک مهاجم می‌تواند نظری ایجاد کند که حاوی کدهای مخرب جاوا اسکریپت است و آن را به عنوان نظر اضافه کند. اگر ورودی توسط وب سایت پاکسازی نشود، این کد روی هر کاربری که صفحه نظرات را باز می کند اجرا می شود.

حملات XSS می توانند داده هایی مانند جزئیات ورود به سیستم را سرقت کنند، اقدامات غیرمجاز را از طرف قربانی انجام دهند یا حتی قربانی را به یک وب سایت مخرب هدایت کنند. برای جلوگیری از حملات XSS، همیشه محتوای تولید شده توسط کاربر را ضدعفونی کنید و داده های ورودی سمت سرور را دوباره تحلیل کنید.

سریال زدایی ناامن

Deserialization فرآیند تبدیل یک جریان از بایت ها به یک ساختار داده است که یک برنامه می تواند از آن استفاده کند. Deserialization ناامن زمانی اتفاق می‌افتد که یک برنامه وب داده‌های غیرقابل اعتماد را غیرقانونی کند.

به عنوان مثال، یک برنامه وب ممکن است به کاربران اجازه دهد فایلی حاوی اشیاء جاوا سریالی شده را به عنوان ورودی آپلود کنند. سپس برنامه وب اشیاء را از حالت سریال خارج کرده و آنها را پردازش می کند.

مهاجم می‌تواند یک فایل مخرب بسازد که وقتی از سریال خارج شد، بدافزار را اجرا می‌کند. این به مهاجم اجازه می دهد تا انواع مختلفی از حملات را انجام دهد، مانند اجرای کد از راه دور و افزایش امتیاز.

برای جلوگیری از حملات Deserialization ناامن، همه ورودی‌های کاربر را دوباره تحلیل کنید. مقدار کدهایی را که با امتیازات بالا اجرا می شود محدود کنید و مطمئن شوید که تمام داده های حساس را رمزگذاری می کنید.

استفاده از کامپوننت هایی با آسیب پذیری های شناخته شده

هنگامی که قصد دارید از یک نرم افزار استفاده کنید، آسیب پذیری های شناخته شده را تحلیل کنید. پایگاه داده های عمومی زیادی مانند exploitdb وجود دارد که به شما کمک می کند تا به دنبال مشکلات نرم افزار شخص ثالث باشید.

این پایگاه‌های اطلاعاتی حاوی آسیب‌پذیری‌های آشکار شده برای نرم‌افزارها و برنامه‌های مختلف هستند. اگر این کار را انجام ندهید، برنامه شما در معرض حملات قرار می گیرد. یک مهاجم تحقیقات را برای شما انجام می دهد و از این آسیب پذیری ها برای دسترسی به سیستم شما استفاده می کند.

به عنوان مثال، برنامه شما ممکن است از یک کتابخانه شخص ثالث برای مدیریت آپلود فایل استفاده کند، اما آن کتابخانه ممکن است یک آسیب پذیری شناخته شده داشته باشد. این باعث می شود که برنامه برای حمله باز بماند، حتی اگر بقیه برنامه امن باشد.

قبل از استفاده از نرم افزارهای شخص ثالث برای کسب و کار خود، مطمئن شوید که تحقیقات خود را انجام داده اید.

خلاصه

به طور خلاصه، 10 آسیب پذیری برتر OWASP یک چک فهرست حیاتی است. این به ما کمک می کند تا برنامه های کاربردی وب و نرم افزار خود را ایمن نگه داریم.

به عنوان یک آزمایش کننده قلم یا یک شکارچی باگ، باید از این آسیب پذیری ها آگاه باشید تا از مهاجمان جلوتر بمانید.

قبل از استفاده از هر نرم افزار شخص ثالث، همیشه ورودی کاربر را ضدعفونی کنید، از ورود به سیستم استفاده کنید و تحقیقات خود را انجام دهید.

امیدواریم این مقاله برای شما مفید بوده باشد. شما می توانید مقالات / ویدئوهای هوش مصنوعی و امنیت سایبری بیشتری را در وب سایت من بیابید.