Безопасность и Мониторинг

Дорогие друзья, те из Вас, кто имел возможность ознакомиться с нашей курьезной историей, могли обратить внимание на тот факт, что мы не указали в ней никаких имен. Героев же этой новости знает уже, пожалуй, весь мир. Некие румынские хакеры TinKode и Ne0h взломали сайты MySQL.com и Sun.com. Наиболее интересно в данной истории то, что взлом был осуществлен с помощью одной из тех самых SQL-инъекций (SQL Injection), эффективная борьба с которыми входит в список важнейших задач проекта Find-XSS.net!

    XSS - это термин, применяемый к одной из разновидностей уязвимостей веб-сайтов, когда злоумышленник получает возможность внедрить на такой сайт посторонние скрипты, которые впоследствии могут быть исполнены на стороне клиента (жертвы). При этом жертвами могут быть не только пользователи, но и другие сервера или интернет-сервисы. Аббревиатура XSS происходит от Cross Site Scripting (межсайтовый скриптинг), но чтобы не путать с CSS, которое в свою очередь широко известно как Cascading Style Sheets (каскадные таблицы стилей), принято иное сокращение.
    Программисты по-старинке долгое время не уделяли XSS должного внимания, т.к. они не считались опасными. Но в связи со стремительным развитием веб-технологий, эти уязвимости стали настоящим бичем для интернет-сообщества. Поэтому на сегодня уже даже появилась классификация XSS-уязвимостей как по механизму исполнения атаки так и по каналам внедрения скрипта.

    Данный инструмент предназначен для помощи в поисках уязвимостей XSS и SQL Injection. Сервис дает возможность проверять PHP файлы, а также ZIP архивы до 10mb. Для VIP пользователей (зарегистрированных) предоставляется детальный отчет сканирования. Результатом работы сканера будет вывод названия файла в котором найдена потенциальная уязвимость, а также пронумерованные строки небезопасного кода в этом файле, уязвимый параметр и тип уязвимости.

Статус Error с 99% точностью говорит о том, что в данном месте есть XSS или SQL Injection уязвимость.
Строка кода с таким статусом может выглядеть например так:

echo $_GET['name'];

В такой ситуации при передаче в адресной строке параметра name таким образом &name=<strong> вы выделите болдом весь текст следующий за echo на сайте. Примеры могут быть и страшнее, вот один из них:

Принцып действия изменен начиная с версии 0.3.0
>Статус Warning предупреждает о возможной уязвимости. В частности он предупреждает о потенциальных ошибках таких как например присваивание переменной значения например $_GET или $_POST без проверки на XSS или SQL Injection. Кто то может сказать - но я проверяю эту переменную каждый раз при ее дальнейшем использовании. Такой подход не оптимальный, лучшим решением является проверка непосредственно при получении параметра один раз, и дальнейшего использования его во всей программе не задумываясь об уязвимости. Приведу пример:

Отменен начиная с версии 0.3.0
Статус Notice может говорить о коварной уязвимости, хотя случается это редко. По сути речь идет о передаваемых в функцию параметрах. Конечно не все функции производят отображение контента и не все функции производят запись в базу данных, что уменьшает риск XSS или SQL Injection. Но в тех случаях когда функции делают именно это, хакер может найти лазейку. Вот пример таких функций: