Common Countermeasures
Zaten konuları irdelerken bazı önlemler sıralandı. Üstünden geçelim:- İstemci tarafında girdi denetimini performans için yap, güvenlik için değil! Kötü niyetli bir kullanıcı her zaman istemci tarafı kontrollerini bypass edebilir, bu kontrolleri sunucu tarafında tamamlamak gerekir.
- Girdi değerlerini normalize et. Saldırılar karakter kümelerini ve hexadecimal gösterimi temel alan düzinelerce değişik encoding pattern dener.
- Sunucu-taraflı girdi denetimi uygula.
- Veri türlerini sınırla. Nümerikse nümerik, strginse string.
- Karakter encoding ve "çıktı denetimi".
- Beyaz liste/siyah liste. İzin verilen/verilmeyen içeriği belirlemede "regular expression" kullan.
- Hataları güvenlice ele al.
- Kimlik doğrulamayı gerekli kıl. Dizin seviyesinde, dizin içndeki tüm dosyalar için.
Hiç yorum yok:
Yorum Gönder