OWASP Top 10 Likotsi Tsa Tšireletso | Kakaretso
Tafole ea likateng
OWASP ke eng?
OWASP ke mokhatlo o sa etseng phaello o inehetseng ho thuto ea ts'ireletso ea app ea webo.
Lisebelisoa tsa ho ithuta tsa OWASP lia fumaneha webosaeteng ea bona. Lisebelisoa tsa bona li thusa ho ntlafatsa ts'ireletso ea lits'ebetso tsa webo. Sena se kenyelletsa litokomane, lisebelisoa, livideo le liforamu.
OWASP Top 10 ke lethathamo le totobatsang mathata a holimo a ts'ireletso bakeng sa lits'ebetso tsa webo kajeno. Ba khothaletsa hore lik'hamphani tsohle li kenyelle tlaleho ena lits'ebetsong tsa bona ho fokotsa likotsi tsa ts'ireletso. Ka tlase lethathamo la likotsi tsa ts'ireletso tse kenyellelitsoeng tlalehong ea OWASP Top 10 2017.
SQL ente
Ente ea SQL e etsahala ha mohlaseli a romella data e sa nepahalang ho sesebelisoa sa marang-rang ho senya lenaneo ts'ebelisong..
Mohlala oa SQL Injection:
Mohlaseli a ka kenya potso ea SQL ka mokhoa oa ho kenya o hlokang lebitso la mosebelisi. Haeba foromo ea ho kenya e sa sireletsoa, e tla etsa hore potso ea SQL e phethoe. Sena e fetisitsoe ho joalo ka ente ea SQL.
Ho sireletsa lits'ebetso tsa tepo ho ente ea khoutu, etsa bonnete ba hore baetsi ba hau ba sebelisa netefatso ea lintlha ho data e rometsoeng ke basebelisi. Netefatso mona e bolela ho hana lintho tse sa nepahalang. Mookameli oa database a ka boela a beha litsamaiso ho fokotsa palo ea boitsebiso bo e ka khonang senoloa tlhaselong ea ente.
Ho thibela ente ea SQL, OWASP e khothaletsa ho boloka data e arohane le litaelo le lipotso. Khetho e ntle ke ho sebelisa sesebelisoa se sireletsehileng API ho thibela tšebeliso ea mofetoleli, kapa ho fallela ho Object Relational Mapping Tools (ORMs).
Netefatso e robehileng
Bofokoli ba netefatso bo ka lumella mohlaseli ho fihlella li-account tsa mosebelisi le ho senya sistimi a sebelisa ak'haonte ea tsamaiso.. Sesenyi sa marang-rang se ka sebelisa mongolo ho leka likete-kete tsa motsoako oa li-password ho sistimi ho bona hore na ke efe e sebetsang. Hang ha cybercriminal e se e kene, e ka qhekella boitsebahatso ba mosebelisi, ea ba fa monyetla oa ho fumana lintlha tsa lekunutu..
Ho na le ts'oaetso e robehileng ea netefatso e teng lits'ebetsong tsa tepo tse lumellang ho kena ka boiketsetso. Mokhoa o tsebahalang oa ho lokisa bofokoli ba netefatso ke ts'ebeliso ea netefatso ea li-multifactor. Hape, moeli oa sekhahla sa ho kena o ka khona kenyeletsoe ho web app ho thibela litlhaselo tse matla.
Tlhahisoleseding ea Boitsebiso bo Bonolo
Haeba lits'ebetso tsa marang-rang li sa sireletse bahlaseli ba hlokolosi ba ka li fumana le ho li sebelisa molemong oa bona. Tlhaselo ea tseleng ke mokhoa o tsebahalang oa ho utsoa tlhahisoleseling e hlokolosi. Kotsi ea ho pepeseha e ka ba e nyane ha data eohle e hlokolosi e patiloe. Basebelisi ba sebaka sa Marang-rang ba tlameha ho netefatsa hore ha ho data ea bohlokoa e pepesitsoeng ho sebatli kapa e bolokoa ho sa hlokahale.
Mekhatlo ea Kantle ea XML (XEE)
Sesenyi sa marang-rang se ka khona ho kenya kapa ho kenyelletsa litaba tse mpe tsa XML, litaelo, kapa khoutu ka har'a tokomane ea XML.. Sena se ba lumella ho bona lifaele ho sistimi ea faele ea seva ea kopo. Ha ba se ba e-na le phihlello, ba ka sebelisana le seva ho etsa litlhaselo tsa kopo ea lehlakore la seva (SSRF)..
XML litlhaselo tsa kantle tsa mokhatlo li ka thibeloa ke e lumella lits'ebetso tsa marang-rang ho amohela mefuta e fokolang ea data joalo ka JSON. Ho thibela ts'ebetso ea kantle ea XML ea kantle ho boetse ho fokotsa menyetla ea tlhaselo ea XEE.
Taolo ea phihlello e robehileng
Taolo ea phihlello ke mokhoa oa tsamaiso o thibelang basebelisi ba sa lumelloeng ho fumana lintlha tsa bohlokoa. Haeba sistimi ea taolo ea phihlello e robehile, bahlaseli ba ka tlola netefatso. Sena se ba fa monyetla oa ho fumana lintlha tsa bohlokoa joalokaha eka ba na le tumello. Taolo ea phihlello e ka sireletsoa ka ho kenya ts'ebetsong li-tokens tsa tumello ho kena ha basebelisi. Kopong e 'ngoe le e' ngoe eo mosebelisi a e etsang ha a ntse a netefalitsoe, tokene ea tumello le mosebelisi e netefatsoa, e bonts'a hore mosebelisi o lumelletsoe ho etsa kopo eo.
Ts'ireletso e sa nepahalang
Ts'ireletso e fosahetseng ke taba e tloaelehileng eo cybersecurity litsebi li sheba lits'ebetsong tsa marang-rang. Sena se etsahala ka lebaka la lihlooho tsa HTTP tse sa lokisoang hantle, taolo ea phihlello e robehileng, le ponts'o ea liphoso tse pepesang tlhahisoleseling ho app ea webo.. U ka lokisa Phoso ea Tšireletso ka ho tlosa likarolo tse sa sebelisoeng. U lokela hape ho lokisa kapa ho ntlafatsa liphutheloana tsa hau tsa software.
Cross-Site Scripting (XSS)
Kotsi ea XSS e etsahala ha mohlaseli a sebelisa DOM API ea sebaka sa marang-rang se tšeptjoang ho sebelisa khoutu e mpe ho sebatli sa mosebelisi.. Ts'ebetso ea khoutu ena e kotsi hangata e etsahala ha mosebelisi a tobetsa sehokelo se bonahalang eka se tsoa webosaeteng e tšepahalang.. Haeba sebaka sa Marang-rang se sa sireletseha ho tsoa kotsing ea XSS, se ka khona bea kotsing. Khoutu e lonya eo ea phethisoa e fa mohlaseli monyetla oa ho fumana nako ea ho kena ha basebelisi, lintlha tsa karete ea mokoloto, le lintlha tse ling tsa bohlokoa.
Ho thibela Cross-site Scripting (XSS), etsa bonnete ba hore HTML ea hau e hloekisitsoe hantle. Sena se ka etsahala fihleloa ka ho khetha meralo e tšeptjoang ho latela puo eo u e khethang. U ka sebelisa lipuo tse kang .Net, Ruby on Rails, le React JS kaha li tla thusa ho hlalosa le ho hloekisa khoutu ea hau ea HTML. Ho sebetsana le lintlha tsohle tse tsoang ho basebelisi ba netefalitsoeng kapa ba sa netefatsoang joalo ka ba sa tšepahaleng ho ka fokotsa kotsi ea litlhaselo tsa XSS..
Deserialization e sa sireletsehang
Deserialization ke phetoho ea data ea serialized ho tloha ho seva ho ea ho ntho. Deserialization ea data ke ntho e tloaelehileng ho nts'etsopele ea software. Ha e bolokehe ha data e lahletsoe ho tsoa mohloling o sa tšepahaleng. Sena se ka mohlomong pepesa kopo ea hau ho litlhaselo. Ho senyeha ho sa sireletsehang ho etsahala ha datha e senyehileng e tsoang mohloling o sa tšepahaleng e lebisa ho litlhaselo tsa DDOS, litlhaselo tsa ts'ebetso ea khoutu e hole, kapa lipallo tsa netefatso..
Ho qoba ho lahleheloa ke ts'ireletso, molao oa letsoho ke hore le ka mohla u se tšepe data ea mosebelisi. Mosebelisi e mong le e mong oa data o lokela ho kenya phekoloa as mohlomong e kotsi. Qoba ho tlosa data ho tsoa mehloling e sa tšepahaleng. Netefatsa hore ts'ebetso ea deserialization ho sebelisoa ts'ebelisong ea hau ea tepo e bolokehile.
Ho Sebelisa Likarolo Tse Nang le Bofokoli bo Tsebahalang
Lilaeborari le Merero li entse hore ho be kapele haholo ho nts'etsapele lits'ebetso tsa webo ntle le ho hloka ho qapa lebili hape. Sena se fokotsa khaello ea tšebeliso ea li-code. Ba bula tsela bakeng sa bahlahisi ho tsepamisa maikutlo ho likarolo tsa bohlokoa tsa lits'ebetso. Haeba bahlaseli ba fumana lintho tse sebetsang ka har'a meralo ena, codebase e 'ngoe le e 'ngoe e sebelisang moralo e ne e tla bea kotsing.
Baetsi ba likarolo hangata ba fana ka lipache tsa ts'ireletso le liapdeite bakeng sa lilaebrari tsa likarolo. Ho qoba bofokoli ba likarolo, o lokela ho ithuta ho boloka lits'ebetso tsa hau li ntse li le teng ka lipeche tsa morao-rao tsa ts'ireletso le lintlafatso.. Likarolo tse sa sebelisoeng li lokela ho tlosoa ho tloha ho kopo ho khaola li-vector tsa tlhaselo.
Ho Rema Meru le Tlhokomelo e sa Lekaneng
Ho rema lifate le ho beha leihlo ho bohlokoa ho bonts'a mesebetsi ho ts'ebeliso ea hau ea webo. Ho rema lifate ho etsa hore ho be bonolo ho latela liphoso, lepiwa ho kena ha basebelisi, le mesebetsi.
Ho rengoa ha lifate le ho beha leihlo ho sa lekana ho etsahala ha liketsahalo tsa bohlokoa tsa ts'ireletso li sa kenngoa hantle. Bahlaseli ba sebelisa sena ho hlasela kopo ea hau pele ho ka ba le karabelo leha e le efe e hlokomelehang.
Ho rema lifate ho ka thusa k'hamphani ea hau ho boloka chelete le nako hobane baetsi ba hau ba ka khona Habonolo fumana litšitšili. Sena se ba lumella hore ba tsepamise maikutlo haholo ho rarolleng litšitšili ho feta ho li batla. Ha e le hantle, ho rema lifate ho ka thusa ho boloka liwebsaete tsa hau le li-server li sebetsa nako le nako ntle le hore li se ke tsa senyeha.
fihlela qeto e
Khoutu e ntle ha e joalo feela mabapi le ts'ebetso, ke ho boloka basebelisi le ts'ebeliso ea hau e bolokehile. OWASP Top 10 ke lethathamo la likotsi tsa bohlokoa ka ho fetisisa tsa ts'ireletso ea ts'ebeliso ke sesebelisoa se setle sa mahala bakeng sa bahlahisi ho ngola lits'ebetso tse sireletsehileng tsa marang-rang le tsa mehala.. Ho koetlisa baetsi ba sehlopha sa hau ho lekola le ho boloka likotsi ho ka boloka nako le chelete ea sehlopha sa hau ha nako e ntse e ea. Haeba u ka rata ithute haholoanyane ka mokhoa oa ho koetlisa sehlopha sa hau ho OWASP Top 10 tlanya mona.
