Kohana 3 19 Oct 2010 1:22 PM (14 years ago)
Wraz z rozwojem frameworka autorzy doszli do wniosku, że nadszedł czas na większe zmiany. Z pojawieniem się gałęzi 3.x Kohany otrzymaliśmy framework, który w dużym stopniu różnił się od tego, który znaliśmy do tej pory. Zmiany te można interpretować dwojako. Z jednej strony otrzymaliśmy nową funkcjonalność, która ma nam ułatwić pracę, z drugiej postawiono nas […]
Analiza struktury bazy danych 7 Mar 2010 5:40 AM (15 years ago)
W chwili wykrycia podatności skryptu na SQL Injection najtrudniejszym zadaniem jest zdobycie informacji na temat struktury bazy, dzięki czemu możliwa będzie analiza zgromadzonych w niej danych. Pierwszym miejscem gdzie należy szukać jakichkolwiek informacji są błędy zwracane przez skrypt. Możemy w nich znaleźć, albo informację o zapytaniu SQL, albo o ścieżce do loga przechowującego listę błędów. […]
Obsługa plików, a SQL Injection 21 Feb 2010 12:16 PM (15 years ago)
Podczas poszukiwania podatności SQL Injection głównym obszarem analizy jest zawartość strony, generowana dynamicznie na podstawie danych pobranych z bazy. To właśnie dzięki niej jesteśmy w stanie określić czy wstrzyknięte przez nas zapytanie wykonało się poprawnie. Stosując tę metodę można natrafić na kilka sytuacji, w których analiza czy też dostęp do danych jest ograniczony. Przykładem takiego […]
Dlaczego warto solić hasła? 5 Feb 2010 7:42 AM (15 years ago)
Jakiś czas temu podczas opisywania bezpieczeństwa funkcji hashujących pisałem jak solenie haseł zwiększa ich bezpieczeństwo. Celem tego działania miało być utrudnienie pracy tęczowym tablicom. Wiele osób uważa, że samo hashowanie haseł daje wystarczający poziom bezpieczeństwa – przykładowo porzucając MD5 na rzecz SHA-1 / SHA-2. Rozumowanie takie ma jedną drobną wadę, mianowicie nie potrzeba „złamać” hasha, […]
Open redirect – zabezpieczenie na przykładzie Gazeta.pl 24 Dec 2009 11:25 AM (15 years ago)
Czym są otwarte przekierowania można przeczytać w jednej z ostatnich notek na temat występowania tego błędu na stronach Wydawnictwa Helion. W poniższej notce skupimy się na sposobach zabezpieczenia serwisu przed tego typu podatnością na podstawie serwisów newsowych portalu Gazeta.pl. Wiele z dostępnych artykułów w serwisach newsowych Gazety mają dołączone zdjęcia. Kliknięcie na dowolne zdjęcie przenosi […]
Ochrona przed spamem (żniwiarkami) 16 Nov 2009 6:10 AM (15 years ago)
Ostatnim czasem wyszedłem z założenia, że warto by wspomnieć o możliwości obrony przed programami zbierającymi adresy e-mail ze stron przy pomocy CSS. Mimo że sposób ten jest bardzo prosty nie kojarzę, abym spotkał się z nim na przeglądanych przeze mnie stronach. Całość opiera się na wykorzystaniu właściwości content umożliwiającej dodanie tekstu do wybranego tagu HTML. […]
CONFidence Security Evangelist 7 Nov 2009 4:35 PM (15 years ago)
Wraz z nadchodzącą konferencją CONFidence ruszył plebiscyt na najlepszy (?) blog / serwis zajmujący się tematyką bezpieczeństwa IT. Wśród blogów na które można głosować znajduje się również mój, tak więc jeśli ktoś czuje nieodpartą chęć oddania głosu polecam swoją osobę :) Kliknij, aby wziąć udział w głosowaniu, Yes we can! ;-)
Strategia 21 Oct 2009 10:12 AM (15 years ago)
Jednym z przydatniejszych elementów programowania obiektowego jest dziedziczenie. Ze względu na swoją przydatność i popularność używania przez programistów często jest on nadużywany. Załóżmy, że chcemy stworzyć zestaw klas opisujących zwierzęta. Jako, że wszystkie zwierzęta posiadając wspólne cechy, stwórzmy klasę bazową, która będzie je zawierała. abstract class Animal { private $weight; private $height; public function __set( […]
Open redirect w helion.pl 18 Oct 2009 8:19 AM (15 years ago)
Otwarte przekierowanie jest rodzajem ataku skierowanego na skrypty dokonujące przekierowanie użytkownika na inne strony. Skrypty takie charakteryzują się przekazywaniem adresu strony jako jednego z parametrów adresu URL. Przykładowy adres może mieć następujący format: http://www.adres.pl/redirect.php?url=http://www.beldzio.com Problem pojawia się w chwili, gdy skrypt nie sprawdza czy adres docelowy jest adresem oczekiwanym przez użytkownika (z zasady przekierowanie jest […]
XSS w serwisie Wirtualnej Polski 14 Oct 2009 5:17 AM (15 years ago)
Często podawanym sposobem na zabezpieczenie się przed atakami typu XSS jest usunięcie z danych przesyłanych od użytkownika wszystkiego znajdującego się pomiędzy znakami „<„, „>”. Działanie takie jest jak najbardziej prawidłowe w przypadku, gdy korzystamy z niego świadomie. Wiara, że użycie „magicznej” funkcji strip_tags (w przypadku PHP) w pełni nas obroni jest złudna. strip_tags( ) spełnia […]