Tien kenmerken van onveilige web applicaties
Veel websites en applicaties zijn zo lek als een mandje. Uit onlangs gepubliceerd onderzoek blijkt dat cross-site scripting met 21,5% op alle sites het meest voorkomende beveiligingslek is. Ook andere kwetsbaarheden in applicaties, zoals SQL injectie (14%) en PHP includes (9,5%) zijn nog altijd in grote getalen aanwezig.
Michael Sutton heeft 10 kenmerken van onveilige applicaties gepubliceerd, zodat webontwikkelaars en webmasters zich kunnen afvragen of hun creaties wel veilig zijn.
1. Gebruik van lekke / verkeerde ingestelde statistiekenprogrogramma's.
2. Het laten staan van backup bestanden in de webdir.
3. Je site staat op de sla.ckers.org "Hall of Shame".
4. Open directories.
5. Het onversleuteld parsen van logingegevens.
6. Oude SSL certificaten.
7. Kwetsbare third party applicaties.
8. Verbose foutmeldingen.
9. Opmerkingen van de ontwikkeaar in de broncode.
10. Je bent gedefaced en staat in het Zone-H defacement archief.
Dat je niet op sla.ckers of Zone-H staat betekend nog niet dat je een veilige site hebt.. Je bent dan gewoon nog niet aan de beurt geweest..
Al deze punten zeggen helemaal niets over de veiligheid van je webapplicatie zelf..
voor de zoveelste keer en niet enkel op deze site niet de
lading van het artikel dekt.
Je spreekt van lekke applicaties als het om de bouw van de
code gaat en de manier waarop de functionaliteit wordt
afgehandeld.
Het lijstje somt meer op over de structuur van je webserver.
Als je dat verkeerd inricht dan kun je inderdaad voor leuke
onverwachte problemen kunnen te staan. Wat ook nog eens
flink wat geld kan kosten als je helemaal niet weet waar je
mee bezig bent, maar wel denkt professioneel te werken.
Ik kende sla.ckers.org niet, dus al met al weer wat geleerd.
BTW, ik ben geen full-time security officer of iets, dus is
dat niet zo raar.
- Unomi -
webapplicatie heb. Liever een oud/verlopen SSL certificaat
dan helemaal geen SSL certificaat.
Een oud SSL certificaat wil nog niet zeggen dat je onveilige webapplicatie heb. Liever een oud/verlopen SSL certificaat dan helemaal geen SSL certificaat.
genoemde punten indicatoren (die ook nog eens eenvoudig zijn na te
gaan) dat de beveiliging mogelijk onvoldoende is. Een XXS lek is geen
indicator, maar een feitelijk een lek.
maar vaak zitten problemen wel in slecht geschreven
php-toepassingen.
Ik mis php in het lijstje. Niet omdat dat opzich onveilig is
maar vaak zitten problemen wel in slecht geschreven
php-toepassingen.
Hmm dan kan je Java en alle andere programmeer talen er ook
onderzetten.
Probleem is denk dat veel MKB-ers tegenwoordig gebruik maken
van CMS zoals Joomla en Mambo waarbij veel componenten
gratis te krijgen zijn zonder dat de kwaliteit van deze
componenten duidelijk. Vaak ontbreekt er documentatie en
worden deze niet geupdated. Daarnaast is het makkelijk in
Google te zoeken naar dit soort CMS-en wat het voor de
script kiddies eenvoudiger wordt om bestaande hacks uit te
proberen (als ik kijk naar mijn logfiles gebeurd dit 2-4x
per maand). Veel systemen worden niet geupgrade door de
onbekendheid bij de eigenaars hoe dit moet .
Richard
Ik mis php in het lijstje. Niet omdat dat opzich onveilig is maar vaak zitten problemen wel in slecht geschreven php-toepassingen.
kijken.Waneer gaan bedrijven nou eens een applicatie ontwikkelen door
een goed profecioneel bedrijf.Die applicaties blijven testen en patchen
voor de veiligheid voor de gebruiker.In plaats daarvan kiezen ze voor snelle
goedkope oplossingen en krijg je dit soort onodige situaties waardoor
webserver slecht geconfigureerd worden applicaties lekken als een
mandje en persoonlijke gegevens van gebruikers uitlekken.
Tevens vraag ik me af waarom het puntje de functies in asp en php en .net
niet worden genoemd want veel zijn ook kwetsbaar voor sql injectie of voor
buffer overflow.
Tevens vraag ik me af waarom het puntje de functies in asp en php en .net niet worden genoemd want veel zijn ook kwetsbaar voor sql injectie of voor buffer overflow.
Wat gebeurd er eigenlijk bij Input validatie als ik zo vrij mag zijn? Dat totale
packetjes vervangen worden die aanvragen doen bij servers ?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!