Webshop og sikkerhed

Validering af indputfelter er den største, SQL insercions er et meget stort problem.

F.eks. dette nylige eksempel fra phpbb
http://www.example.com/profile.php?mode=viewprofile&u='[sqlcode]

Eller et brugernavn og password indput felt hvor du skriver som brugernavn og password xxx 'OR'1'='1

generelt skal alle de muligheder en bruger har til interaktion med systemet valideres.

Fejl nr, 2 er nok URL exploits.

Hvis du ikke sikre dit system ordentligt, vil jeg f.eks. ved at analysere den URL der vises når jeg betaler/køber/bestiller kunne give mig mulighed for at se hvad andre kunder betaler/køber/bestiller eller f.eks. se deres konto oplysninger. Haral Nyborg havde for ret nyligt en sag om dette, hvor de fik hug af rigsrevisionen for dårlig datasikkerhed.

Sørg for at alle dine sider valideres således at de kun kan vises hvis man kummer med den rette URL og kun hvis man er valideret ordentligt først. Jev ønsker ikke at andre kan se mine transaktioner

http://www.computerworld.dk/default.asp?Mode=2&ArticleID=21086

Cross Site Scripting (XSS) - igen falder denne ind under dårlig validering af bruger-input!

jeg sidder og er igang med at oversætte en artikel om XSS fra eng. til dansk - smider et link når jeg er færdig med at oversætte!

---

Derudover vil jeg sige at du bør
1) kører med register_globals = off <- dette nedsætter chancen for "alternative" cookies vra add. linien
2) udvikle med error_reporting = E_ALL
3) udvikle eget error_handling system, der skriver fejl i en log, og bare skriver "der var en fejl" - så man ikke kan se den fulde sti til scriptet!

HUSK ordenlig bruger-inputs validering - det er ca 90% af alle exploits der kommer den vej!

Morten

OWASP Guide:
http://www.owasp.org/documentation/guide

The Guide is a aimed at architects, developers and auditors and is a comprehensive manual for designing, developing and deploying secure web applications.

OWASP er slet ikke tosset - jeg lærte mange nye tricks da jeg læste den for ca. ½ års tid siden!