1. Početna
  2. Ostalo
  3. Bezbednost
  4. Česti razlozi za proboje bezbednosti. Načini za povećanje sigurnosti i sprečavanje zlonamernih upada

Česti razlozi za proboje bezbednosti. Načini za povećanje sigurnosti i sprečavanje zlonamernih upada

Bezbednost internet aplikacija najvažnija je za njihovo nesmetano funkcionisanje i čuvanje informacija koje sadrže. Ako aplikacije nisu u potpunosti zaštićene i administrator koji njima upravlja ne ispunjava barem minimalne bezbednosne uslove, u nekim slučajevima može se dogoditi zlonamerni upad s katastrofalnim posledicama.

U nastavku smo pokušali opisati najčešće greške u bezbednosti i načine kako ih izbeći.

1. Korišćenje lozinki koje je lako pogoditi ili korišćenje iste lozinke za prijavu na različitim mestima.

Nekoliko saveta za odabir jake lozinke >>>

2. Kompromitovanje lozinke, posredstvom neautorizovanog pristupa imejl sandučetu u kojem se nalaze pristupni podaci za hosting nalog/server.

Podaci za pristup imejl sandučićima moraju se čuvati pravilno i odgovorno, jer neovlašćeni pristup sandučiću može rezultirati brojnim zlonamernim radnjama, uključujući kompromitovanje vlasnika odgovarajućeg imejl sandučeta na bilo koji način.

3. Prisutnost zlonamernog i špijunskog softvera na lokalnim računarima sa kojih se pristupa hosting nalogu.

Ako je na računaru instaliran zlonamerni i špijunski softver, sve osetljive informacije mogu se snimiti (presresti) i potom iskoristiti u zlonamerne svrhe bez znanja asministratora računara.

Da bi se izbegla ova situacija, računari se moraju održavati, čistiti od ove vrste špijunskog softvera i virusa, periodično se moraju skenirati antivirusnim programom, posebno računar sa kog se pristupa nalogu. Ovo će eliminisati mogućnost presretanja i zloupotrebe ličnih i poverljivih podataka, kao što su korisnička imena, lozinke i drugo, koje se kasnije mogu koristiti za pristup nalogu.

4. Propusti u CMS sistemu

Neki od najčešće korišćenih CMS sistema su Joomla!, WordPress, Drupal i još mnogi drugi. Zbog prospusta koji se u takvim aplikacijama, one sadrže PHP skripte, shell fajlove itd. koje daju puni pristup sadržaju naloga bilo kome, bez potrebe za korisničkim imenom i lozinkom. Kao posledica toga, pomoću tih skripti se menja sadržaj naloga, dodaju se strani fajlovi, zlonameran kod, virusi, trojanci itd.

Da bi se izbegle takve posledice, svi instalirani php sistemi naloga, kao i moduli i komponente koje oni koriste, uvek treba da budu ažurirani na najnoviju verziju. U poslednjoj aktualnoj verziji sistema uklonjene su otvoreni propusti i sistemi su zaštićeni od neovlašćenog pristupa.

5. Prisustvo nezaštićenih Upload formi i galerija koje omogućavaju postavljanje skripti sa zlonamernim kodom – shell fajlova.

Ako na nalogu postoje stranice preko kojih mogu da se otpremaju fajlovi svakog tipa bez ograničenja i bez autorizacije (korisničko ime i lozinka), one obavezno moraju biti uklonjene ili zaštićene. Treba da se pregledaju svi fajlovi koji se nalaze u direktorijumu ovih formi i galerija. Tamo ne bi trebalo da se nalaze fajlovi tipa .txt, .php ili drugog formata koji nije slika. Ne treba samo proveravati ekstenziju otpremljenih fajlova. Na primer, kada se otpremaju samo fajlovi sa .jpg, .png, .bmp i dr. treba proveriti i da li se odgovarajući fajl podudara sa navedenom ekstenzijom. Dvostruka provera je potrebna jer se .php datoteka može preimenovati u .jpg, ali nakon što je otpremljena na server može se pokrenuti kao .php datoteka, bez obzira na njenu ekstenziju.

6. Unos (include) fajlova koje se prosleđuju kao parametar putem URL adrese bez ispravne provere da li je fajl koja se unosi iz iste aplikacije.

U ovim slučajevima, zlonamerna osoba može ubaciti (include) bilo koji fajl ili adresu i potom dobiti puni pristup nalogu.

Obično nije dobra praksa da u adresu direktno uključite (include) datoteke čije se ime prosleđuje kao parametar. Jedno rešenje je umesto toga stvoriti tabelu sa ID-evima fajlova koji će biti ubačeni. U adresi će se precizirati ID fajla, a interno skripta određuje koju datoteku treba uključiti.

Na ovaj način, ne postoji način da pošaljete datoteku koja je drugačija od one koja je definisana.

Ako iz bilo kog razloga mora da ostane unos fajla u URL adresu, mora se dodati i provera da li ste fajl nalazi na hosting nalogu i da se unese samo ako je taj uslov ispunjen.

Nažalost, razni proboji bezbednosti se neće sprečiti samo sa gore navedenim predostrožnostima.

Postoje i druge mogućnosti za zloupotrebu, kao što su Cross-site scripting (XSS), SQL Injection, upotreba Social engineering, Sniffing, i još mnogo toga. Međutim, oni se dosta ređe sreću, tako da ako sledite gore navedene preporuke, sadržaj Vašeg naloga je mnogo sigurniji, a mogućnost neovlašćenog pristupa je svedena na minimum.

Obnovljen: 18. маја 2020.

Da li Vam je ovaj članak bio koristan?

Slični članci