Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Взлом и защита » Web приложения
Страницы: 1
RSS
Чем вы защищаете ваш WEB сайт от SQL Injection, XSS и других WEB атак, возможно вы уже пробовали несколько решений и выбрали лучшее
 
#1
Это нравится:0Да/0Нет
03.02.2010 22:16:48
интересен ваш опыт в этом деле
 
 
 
#2
Это нравится:0Да/0Нет
03.02.2010 22:20:48
mod_security
php safe mode
suexec
Изменено: *tyler* - 03.02.2010 22:21:10
 
 
 
#3
Это нравится:0Да/0Нет
03.02.2010 22:21:19
Во первых, конечно же - не допускать ошибок в коде.
А так, mod_security апача,
У битрикса есть модуль проактивной защиты,
 
 
 
#4
Это нравится:0Да/0Нет
03.02.2010 23:36:20
Если все запросы, к базе данных, на сайте написаны на хранимых процедурах, то такой сайт неподвержен атаке sql-injection. Можно даже не экранировать слеши и другие специальные символы. Тем более, что MySQL 5.1 их поддерживает.
Если речь идёт о серьёзном сайте, то необходимо использовать, как минимум, VPS хостинг.
Корректно выставить права на папки. Там, где нужно только чтение, оставить только чтение.
В директории htdocs  оставить файлы вида
<?php
require_once('../inc/file.php');  
?>
При этом все скрипты должны находиться в директории ../inc, которая не будет напрямую доступна из браузера, даже если слетят настройки apache.
Обязательно отключить все ненужные модули и функции в apache, php, perl.
 
 
 
#5
Это нравится:0Да/0Нет
11.02.2010 14:03:23
Не давайте ему информации он будет использовать её в комерческих целях  :D  :D

Кстати тезка проще наверно будет наклепать опросник и кинуть через склаб. Типо исследование. Тем более он тебе должен.

Отвечаю тебе
Ничем. У меня нет интернет ресурсов  :|
 
 
 
#6
Это нравится:0Да/0Нет
18.02.2010 09:00:41
Основное - проверка входных клиентских данных на запрещённые символы.

Хранимки помогают от inj только при их определённом написании и правильном вызове.
Как при inj поведёт себя конкретная версия определённой СУБД при использовании динамического SQL в хранимках - неизвестно, нужно тестировать. Также например в стареньком asp при вызове процедуры без объявления параметра параметром, sql-inj тоже работают (MS SQL).
А так, при нормальном написании хранимок - всё гуд  :)
 
 
 
Страницы: 1
Читают тему