Sử dụng thủ tục lưu sẵn an toàn hơn sử dụng ADO Recoredset hoặc các lệnh SQL bởi vì qua nó cho phép chỉ có người sở hữu cơ sở dữ liệu, dbo, mới có quyền quyền truy nhập tới bảng của tấ[r]
(1)1 so cach bao ve Web, Suu tam + Dich by BOTAO Posted by: Admin
ASP: Các nguyên tắc bảo mật triển khai ứng dụng Web An toàn trước khả bị công CSS (Cross-Site
Scripting)
Kiểu công CSS điển hình xảy tin tặc cố tình chèn đoạn văn có chứa script độc hại vào form nhập liệu Nội dung nhập vào chứa thẻ <OBJECT> <script> đoạn mã nguy hiểm Trình duyệt, truy nhập site, cho srcipt máy chủ gửi tới, hồn tồn vơ hại nên chạy cấp độ bảo mật bình thường, gây hậu tai hại cho máy tính người sử dụng
Để bảo vệ khỏi bị công theo kiểu CSS, cần ý điểm sau:
- Cập nhật thường xuyên sửa lỗi bảo mật IIS Windows - Lọc ký tự đặc biệt người sử dụng nhập vào < > " ' % ( ) & + - - Lọc để loại bỏ ký tự đặc biệt, kết xuất sở thông tin nhập vào người sử dụng Xem kỹ liệu từ: - Request.Form Collection - Request.QueryString Conllection - Request Object - Database - Cookie - Các biến Session Application Để lọc được, cần xác định cụ thể lược đồ mã hoá ký tự trang Web, thẻ META, phần header Ví dụ: <head> <META http-equiv="Content-Type"
(2)việc đăng nhập tự động dựa cookie không phép Mặc dù người sử dụng thấy phiền hà cho họ đăng nhập tự động dựa cookie có nhiều nguy hiểm (và ta thấy phần trước, sử dụng cookie thường trực lúc phù hợp) Một biện pháp cần thiết để bảo vệ mật huỷ tính Autocomplete IE trường mật Điều thực cách thêm thuộc tính AUTOCMPLET ="OFF" cho thẻ <FORM> <INPUT> Ví dụ: <input type="password" name="pwd" size=16 maxlength=16 AUTOCOMPLETE="OFF"> Log out người sử dụng khỏi hệ thống họ rời site Giả sử người sử dụng xem trang web site bạn, sau họ truy cập site cuối lại định quay trở lại trang bạn cách ấn phím BACK Trong trường hợp này, ứng dụng phải yêu cầu người sử dụng đăng nhập lại lần Phát tình tương tự tình vừa người sử dụng phải dựa hoàn toàn vào script chạy phía trình duyệt mà khơng thể dựa vào server khơng biết người sử dụng đâu Cách giải đầy đủ cho vấn đề sử dụng giải pháp bảo mật Proxy Server Netegrity SiteMinder (http://www.netegrity.com) Giải pháp Proxy Server giám sát yêu cầu Web từ trình duyệt ghi lại địa trình duyệt truy nhập để ứng dụng kiểm tra Một cách thức không đầy đủ việc kiểm tra giới hạn site thực cách thiết lập
Request.ServerVariables("HTTP_REFERER") Nếu người sử dụng có gắng truy nhập trang khác với trang đăng nhập, từ URL site khác, họ bị từ chối Tuy nhiên, phương pháp ngăn ngừa người sử dụng rời bỏ site bạn để tới site khác sau lại quay trở lại site bạn tiếp tục phiên làm họ 6.Cắt kết nối người sử dụng không tương tác với site khoảng thời gian định Có hai giải pháp cho vấn đề này, giải pháp phía máy chủ giải pháp sử dụng script phía trình duyệt Trong giải pháp thứ nhất, sử dụng IIS Manager đặt giới hạn phiên ASP khoảng thời gian mong muốn (giá trị mặc định 20 phút) Trong ứng dụng, lưu trữ thông tin truy nhập vào biến phiên làm việc kiểm tra trang người sử dụng duyệt qua Nếu thông tin truy nhập không thuộc biến phiên, người sử dụng bị cắt kết nối với site ứng dụng cần định hướng họ sang trang truy nhập hệ thống Hơn nữa, chưa phải tin cậy tuyệt đối, bạn viết mã để xử lý cắt kết nối người sử dụng kiện Session_OnEnd tệp Global.asa Giải pháp phía client sử dụng chút JavaScript Chèn thêm đoạn mã sau vào đầu trang Web kết xuất ứng dụng: <script Language="JavaScript">
window.setTimeout("window.navigate('Logout.asp')", 900000); </script>
'Logout.ASP' trang để cắt kết nối người sử dụng với ứng dụng 9000000 khoảng thời tối đa tính mily giây người sử dụng trì phiên làm việc họ trường hợp khơng có tương tác với site Ứng dụng không cho phép login đồng thời Yêu cầu có nghĩa thời điểm, người sử dụng truy nhập ứng dụng với phiên làm việc khác Đây nguyên tắc áp dụng cho phần lớn ứng dụng client/server máy trạm khác Trong môi trường IIS/ASP, việc đáp ứng u cầu khơng có khó khăn kiện Session_OnStart
(3)ngọc" tên mật dùng trình chạy thừ ứng dụng Yêu cầu áp dụng cho tệp script, chằng hạn trang ASP, không áp dụng cho đoạn mã đối tượng COM biên dịch Trước đây, điểm yếu bảo mật chưa khắc phục IIS làm cho script ASP số site dễ bị đọc trộm Nhiều tin tặc biết học đọc script cách thêm chuỗi "::$DATE" vào cuối yêu cầu truy xuất trang Để tránh rủi ro xảy ra, cần loại bỏ thích trang ASP, HTML mã JavaScript Bạn thực tay cách nhanh viết chương trình để loại bỏ thích từ loại tệp khác Khơng lưu trữ thông tin kết nối sở liệu global.asa Thông tin kết nối sở liệu gồm tên server , tên sở liệu, thông tin truy nhập SQL Server Vì tệp văn bản, thơng tin global.asa bị lộ rơi vào tay đối tượng sử dụng không mục đích Những thơng tin nên lưu trữ nơi khác Hai cách phổ biến lưu trữ tệp Register Lưu trữ thông tin kết nối sở liệu tệp sau đọc File System Object XML Parser cách an tồn lưu global.asa Một giải pháp lưu thơng tin tệp khác sử dụng tệp UDL cho phép lưu tất chi tiết kết nối Chuỗi kết nối ADO trở thành "FILE Name =C:\ Path_That_IUSR_<machinename>_Can_Get_To\MyDataLink.UDL" tài khoản dịch vụ IIS, IUSR_<machinename>phải có quyền truy nhập để đọc tệp Lưu thơng tin kết nối hình thức mã hố registry cách an tồn Điều yêu cầu ứng dụng phải viết thông tin mã hoá vào registry thành phần COM phải thu giải mã thời gian chạy Đối với IS 5, sử dụng thành phần COM+, cịn có lựa chọn registry khác COM+ cho phép thành phần có Constructor thiết lập Component Services Manager Vì khơng mã hố thơng tin, cách cho phép người quản trị site kiểm soát việc truy nhập sở liệu thay đổi vào lúc 10 Các tệp audit log sở liệu nên ghi nhận tất thay đổi liệu Các tệp audit log sở liệu cung cấp thông tin khứ thay đổi liệu bảng Một cách thông thường tạo trigger sở liệu để ghi lại tất thao tác Insert, Update Delete Tuy nhiên, ghi nhận tất thay đổi ghi làm tăng kích cỡ sở liệu bạn lên nhiều lần Để giảm khối lượng liệu lưu, cần phải cân nhắc kỹ thay đổi liệu bảng cần ghi nhận Mặc dù tạo bảng viết trigger tay, để giảm nhẹ khối lượng cơng việc, sử dụng giải pháp tự động Một số sản phẩm script miễn phí địa
(4)