42
Внутренние элементы защиты затрагивают не только потенциальные
уязвимости в коде, которые могут привести к различным видам атак,
например, SQL-инъекциям, XSS и т.п.
Внешние элементы защиты веб-приложения включают такую
особенность, что разработчик не имеет почти никакого доступа к
компьютеру пользователя – чаще всего его область влияния
ограничивается браузером. Поэтому главной задачей является реализация
защиты пользователя в случае воровства данных его активной сессии или
получение злоумышленником доступа к его данных для входа: логина,
пароля, кража e-mail и т.п.
Далее будут рассмотрены и предложены решения для различных
областей внутренних и внешних элементов защиты.
SQL-инъекция является самым популярным средством взлома сайтов и
программ, работающих с БД, основанная на внедрении в запрос некого
SQL-запроса.
Внедрение SQL, в рамках применяемой СУБД и условий внедрения,
дает шанс атакующему выполнить отдельный запрос к БД (к примеру,
прочитать содержимое всех таблиц, удалить, добавить или
скорректировать данные), иметь доступ для чтения и/или записи
отдельных файлов и реализации произвольных команд на исходном
сервере.
Межсайтовый скриптинг, также известный, как XSS, является
уязвимостью интерактивных ИС в сети. XSS возникает, когда в
составляемые сервером страницы каким-то образом попадают
пользовательские скрипты. Специфика таких атак состоит в том, что
вместо самой атаки сервера они применяют уязвимый сервер для
реализации атаки на клиента (подробнее на рис. 8).
Описанные выше XSS атаки являются не единственным способом
кражи данных пользователя. ПК сотрудника может быть заражен вирусом