Beveiligingslekken

Hoe bedoel je dat dan? Snap je niet echt? Voorbeeld?

Jeetje xD Zo kan je alles gaan bewerken :p

waarom niet metteen $_get\$_post beveiliggen.. hoef je ook geen functies aan te roepen

de functies die ik gebruik om te beveiliggen:

<?php
function beveilig($sInput) {
        $sOutput = '';
        if(!get_magic_quotes_gpc() == 0) {
                $sOutput = $sInput;              
        } else {
                if(function_exists('mysql_real_escape_string')) {
                        $sOutput = mysql_real_escape_string($sInput);     
                } else {
                        $sOutput = addslashes($sInput);         
                }
        }
        $sOutput = htmlentities($sOutput, ENT_QUOTES);
        return $sOutput;
}
function beveilig_array($aInput) {
        if(!is_array($aInput)) {
                return false;
        }
        $aOutput = array();
        foreach($aInput as $iKey => $sValue) {
                if(is_array($sValue)) {
                        $aOutput[beveilig($iKey)] = beveilig_array($sValue);            
                } else {
                        $aOutput[beveilig($iKey)] = beveilig($sValue);
                }
 
        }
        return $aOutput;
}


$_POST = beveilig_array($_POST);
$_GET = beveilig_array($_GET);  ?>

Jullie ook met je functies, echte professionals jullie. Heb nog nooit zo'n functie gebruikt. Zelfs addslashes() gebruik ik maar amper. Je moet beveiligen met controles en reports.

Goede know how van reguliere expressies is zeker vereist binnen het beveiligings gebeuren, mja, je hoeft ook niet voor alles een functie aan te maken, ook al zijn ze handig :p.

[offtopic]@TerrorSheep

nice hacking guide heb der zeker veel van geleerd:cheer:[/offtopic]

Interresant topic, daar gaan we dan!:p

Ten eerste is Brute force geen beveiligingslek, maar een techniek waarmee wachtwoorden kunnen worden achterhaald. Je kunt hier natuurlijk wel tegen beveiligen.

- Met welke beveiligings fouten was jij bekend?
Wat je genoemd hebt alles.
- Hoe voorkom jij dit?
Niks anders dan input valideren.
- Wat is je ondernomen actie?
De bevieliging wordt het meest geregeld binnen het framework (kohana), maar hier en daar kom ik zelf ook nog wel aan het valideren.
- Heb jij je coding aangepast na dit bericht?
Nee.

Citaat

Buffer overflow is een crash van het programma. Maar om zelf zo'n buffer overflow te veroorzaken moet je eerst gebruik maken van die andere lekken om je eigen code in de applicatie te krijgen.

Dit kan ook wel eens wanneer je geen verdere toegang tot het systeem hebt. Echter, PHP is hiervoor meestal ongevoelig door een memory_limit en een max_execution_time. In criminalspoint zat ook nog een dergelijke lek, deze heb ik er destijds uitgehaald. Hij was wel zo goed als onschadelijk door de configratie van PHP.

Het leuke van RFI en LFI is, dat zodra je op een server een RFI bug vind, je de rest kunt gaan testen op LFI. LFI is iets waarvan ik denk dat het heel veel voorkomt.

glennox
Array_map moet je eens naar kijken xd

- Met welke beveiligings fouten was jij bekend?
Allemaal
- Wat gebruik jij?
goede controlles (hoop ik :p)
- Hoe voorkom jij dit?
foutafhandeling bij de controlles
- Wat is je ondernomen actie?
dit bericht typen
- Heb jij je coding aangepast na dit bericht?
nee, dit ga ik nog wel doen, maar niet naar aanleiding van dit bericht

Verder is die exploit die ik je laatst geleerd hebt een voorbeeld van CSRF (Cross Site Request Forgery), en dit is niet het zelfde als wat Pim heeft gedaan.

CSRF is wel wat ingewikkelder en is lang niet overal te gebruiken, niet? Het is wel gevaarlijker, dat wel.:}

In elke criminals zitten fouten. Volgens mij zitten in criminolz ook wel hopen fouten maar niemand gaat fouten in zo'n zielig crimlinalssource'je zoeken omdat het je geen verbetering van imago geeft en je krijgt er ook geen geld voor.

Nou Terror,
ik weet van mezelf dat als ik me verveel dat ik erachter ga zoeken, en soms, als ik de eigenaar van die site ken (waar bv. criminolz opdraait) maar er niets van moet hebben het misschien tegen hem gebruik :p

- Met welke beveiligings fouten was jij bekend?
sql injections, xss en bruteforce
- Hoe voorkom jij dit?
zoveel mogelijk valideren, soms wel overdreven..
- Wat is je ondernomen actie?
functies zoals mysql_real_escape_strig en htmlentities
- Heb jij je coding aangepast na dit bericht?
nog niet, ben het wel van plan

- Met welke beveiligings fouten was jij bekend?
XSS, LFI, RFI, SQL injection, stack overflow en buffer overflow, CSRF, het menselijk brein(de grootste lek), session/cookie hijacking
- Wat gebruik jij?
Reguliere expressies, MySQLi of PDO, addslashes, htmlspecialchars, *_real_escape_string
- Hoe voorkom jij dit?
Nieuwe beveiligings technieken aanleren, gezond verstand gebruiken, netjes scripten
- Wat is je ondernomen actie?
Reguliere expressies functies
- Heb jij je coding aangepast na dit bericht?
Nee

las net een leuk stukje op geenstijl.nl

Citaat

Expert: "Website Joop.nl zo lek als een mandje"
Website Joop.nl is zo lek als een mandje. Dat melden experts op het gebied van computer security vandaag aan GeenStijl. Het aangetroffen beveiligingslek is een zogenaamd XSS-lek. Door middel van cross site scripting kunnen computercriminelen de boel als het ware overnemen. "Er staat niet ergens een bovenraam op een kiertje," aldus een expert, die anoniem wenst te blijven. "Nee, de voordeur staat wagenwijd open. Ongelofelijk stupide. Je hoeft geen geoefend computercrimineel te zijn om daarbinnen bij Joop.nl allerlei vernielingen aan te richten. Als je een beetje creatieve link naar de juiste persoon stuurt kun je naar hartelust Japanse spuitpoep-foto's plaatsen of iedereens profiel veranderen. Het is zelfs mogelijk de site letterlijk op zijn kop te zetten. En de dreiging is substantieel." Op Joop.nl plaatsen bekende Nederlandse opiniemakers als Jeroen Mirck en Sonja Barend opiniërende artikelen waar bezoekers op mogen reageren, vermits deze reacties voldoen aan de Hanneke Groenteman Standaard voor Deugende Triodos Mensen. De site is een initiatief van internetuitvinder Francisco van Jole en werd deze week gelanceerd, na maandenlange voorbereidingen. Onbekend is of de peperdure freelance web developer, die dit weekend aangetrokken moet worden om die kolerebende te fixen, ook uit het speciale Vara-ledenpotje wordt betaald.