Jak oceniać zawartość stron internetowych i bezpieczeństwo

Test słów kluczowych generowanych przez użytkowników lub treści
Wielokrotnie pozwalamy niektórym użytkownikom na publikowanie informacji i nie moderujemy ani nie sprawdzamy tego, co publikują, a wtedy tytuł lub treść stają się słowem kluczowym. Jednym ze sposobów kontrolowania tego jest wyszukiwarka, taka jak Google, umieść witrynę: mojadomena.com "słowo kluczowe", ujęcie w cudzysłowie jest dokładnym słowem kluczowym.
Chodźmy na przykład strona: apple.com "ukraść zdjęcia" jako słowo kluczowe

Znaleźliśmy tytuł, w rzeczywistości jest to aplikacja o nazwie Kradnij zdjęcia w sklepie iTunes, ale jeśli przeszukamy, może być jeszcze gorzej z innymi słowami kluczowymi lub jeśli doświadczymy ataku typu xss.
Służy również do sprawdzenia, czy jesteśmy pozycjonowani dla danego słowa kluczowego.
Pliki z metadanymi użytkownika
Dzieje się tak w dokumentach pdf i biurze Microsoft, które są edytowane z serwera Windows i publikowane bezpośrednio w internecie.
Aby to zrobić w Google piszemy witryna: "Dokumenty i ustawienia"
W wynikach będziesz mógł zobaczyć ścieżkę do katalogu, nazwę użytkownika, a nawet fizyczną ścieżkę serwera, na którym znajduje się dokument.

Uzyskiwanie dostępu do pliku robots.txt
Plik robots.txt służy do blokowania katalogów i plików, których nie chcemy śledzić, ale ponieważ są to pliki tekstowe, można je wyświetlić, aby sprawdzić, czy nie zostanie znaleziony jakiś wrażliwy obszar, taki jak panel administracyjny lub aplikacja, która nie jest publikowana .

Plik robots.txt jest publiczny, ponieważ wyszukiwarki czytają go podczas indeksowania informacji. Wszystkie witryny używają go do ochrony treści i katalogów.
Wstrzyknięcia SQL
Dzieje się tak zwłaszcza przy odbieraniu parametrów wysyłanych przez adres URL typu www.mojadomena.com/pagina?id=2
Następnie ten parametr jest odczytywany, aby wykonać jakąś instrukcję sql
WYBIERZ nazwę. klucz FROM użytkowników GDZIE user_id = $ id;
Najlepszą rzeczą jest wysłanie zapytania za pomocą metod pocztowych zamiast pobierania formularzy html i zamiast tego zaszyfrowanie kodu i zmiennej za pomocą jakiejś metody, takiej jak md5 lub sha.
Na przykład:
www.mojadomena.com/comprar?idcompra=345&producto=12
Szyfrowanie md5 i maskowanie zmiennych
www.midominio.com/comprar?detalle_compra=e3d4b8f9637ce41a577ac68449e7f6b5
Zaciemniaj skrypty javascript
Wiele razy twórcy stron internetowych pozostawiają pliki javascript jako publiczne i mogą być odczytane przez każdego, jeśli masz wrażliwy kod lub funkcje systemowe, takie jak przekierowania ajax lub jquery, może to być luka w zabezpieczeniach sieci.
Ciekawą metodą jest zaciemnienie kodu lub jego zaszyfrowanie tak, że funkcja, która wykonuje jakieś ważne zadanie, nie jest łatwa do rozszyfrowania.

 obliczenie funkcji (ilość, cena) {// Obliczenie sumy częściowej suma częściowa = cena * ilość; documnet.getbyID („suma częściowa”) wartość = suma częściowa; // Obliczenie sumy documnet.getbyID ('ogółem') Wartość = documnet.getbyID ('ogółem') Wartość + suma częściowa; } 

Ten sam zaciemniony kod za pomocą narzędzia online http://myobfuscate.com

Ataki walidacyjne wejścia
Wielu programistów, aby zaoszczędzić czas, nie sprawdza poprawności danych wejściowych formularza i pozwala na zapisywanie i zapisywanie czegokolwiek w bazie danych, na przykład zamiast nazwiska lub telefonu pisze instrukcję javascript, xss lub dowolny kod, który można następnie wykonać po odczytaniu tego rekordu z bazy danych.Podobał Ci się i pomógł ten samouczek?Możesz nagrodzić autora, naciskając ten przycisk, aby dać mu pozytywny punkt