שלום לכולם,

החלטתי לפנות לפה מפני שאני משער שאמצא פה אמצא כמה אנשים שמתמחים ב-SQL Injections.

ברשותי אתר שלאחרונה נפרץ כמה וכמה פעמים באמצעות השיטה (למרות שאני בטוח שחסמתי את כול

הפירצות האפשריות).

אני צריך עזרה מאדם שמתמחה יותר בתחום ויוכל לעזור לי לזהות את הפירצות שנותרו, אציין כי אין תמורה - עזרה

זו חשובה לי ואני זקוק לה בהקדם האפשרי ביותר! אנא פנו אליי בפרטי

תודה,

שי.

על אף שאיני מומחה באבטחה, אני מוכן לעזור לך מהצד של מתכנת PHP.

תתחיל מזה:

http://www.google.co.il/search?q=free+web+application+security

חוץ מזה, איך אתה בדיוק מונע את פרצות האבטחה?

תודה רבה על התגובה אבדוק את הקישור שנתת.

כבר שיניתי מספר דברים שככול הניראה היו הגורם לבעיה.

אני מאמין (וכמעט בטוח) שלוח הניהול נפרץ באמצעות BruteForce

זאת מפני שלא היה Captcha וניתן היה פשוט להמשיך ולהכניס סיסמאות שונות

עד שלוח הניהול נכנס.

הינה מה שעשיתי בכדי לאבטח את האתר:

- בדיקת קלט המשתמש לתווים "מסוכנים" (כגון " ' ")

והחלפת התווים הללו.

- בדיקה שמשתנים מספריים אכן מספריים.

- ביטול האפשרות להכניס תגיות כגון script.

לאחרונה הוספתי את הדברים הבאים:

- מערכת Captcha לדף הניהול.

- הצגת דף שגיאות רשמי ברגע שמוכנסים ערכים שאינם קיימים.

- הגבלת מספר התווים בשדות כגון שם משתמש.

כתובת האתר היא: http://byshynet.com

א. אתה משתמש ב-parametrized queries? זה תיאורטית ימנע כל SQL Injection, ולא תצטרך לעשות בדיקות קלט לשאילתוות SQL.

ב. אתה משתמש בסיסמאות בטוחות? כי אם מצליחים לפרוץ עם Brute Force זה אומר שהסיסמה פשוט לא בטוחה. אם תשתמש בסיסמאות ארוכות ואקראיות, אי אפשר יהיה אפשר לפרוץ אותן בשיטה הזו.

ג. איזה תווים אתה מחליף בדיוק?

א. אתה משתמש ב-parametrized queries? זה תיאורטית ימנע כל SQL Injection, ולא תצטרך לעשות בדיקות קלט לשאילתוות SQL.

ב. אתה משתמש בסיסמאות בטוחות? כי אם מצליחים לפרוץ עם Brute Force זה אומר שהסיסמה פשוט לא בטוחה. אם תשתמש בסיסמאות ארוכות ואקראיות, אי אפשר יהיה אפשר לפרוץ אותן בשיטה הזו.

ג. איזה תווים אתה מחליף בדיוק?

א. לא יצא לי להכיר - אקרא על כך וייתכן שאפילו אשתמש בזה.

ב. הסיסמא הקודמת אכן לא הייתה בטוחה (פאשלה ענקית שלי) והייתה מורכבת רק מספרות, לכן פריצתה הייתה פשוטה למדי.

ג. אני משתמש בפונקצייה mysql_real_esacpe_string בכדי לזהות את התווים ולהחליפם.

אני מניח שהאתר ב php, תשתמש בזה:

function escapeit ( $text ) {
  if ( get_magic_quotes_gpc() ) {
    $text = stripslashes($text);
  }
  if ( !is_numeric($text) ) {
    $text = mysql_real_escape_string($text);
  }
  return $text;
}

תעבוד עם PDO.

כל מה שאתה צריך... נמצא ב- http://www.owasp.org/index.php/Main_Page