Презентация Сигурност на PHP уеб приложения PHP Web Application Security онлайн
На нашем сайте вы можете скачать и просмотреть онлайн доклад-презентацию на тему Сигурност на PHP уеб приложения PHP Web Application Security абсолютно бесплатно. Урок-презентация на эту тему содержит всего 18 слайдов. Все материалы созданы в программе PowerPoint и имеют формат ppt или же pptx. Материалы и темы для презентаций взяты из открытых источников и загружены их авторами, за качество и достоверность информации в них администрация сайта не отвечает, все права принадлежат их создателям. Если вы нашли то, что искали, отблагодарите авторов - поделитесь ссылкой в социальных сетях, а наш сайт добавьте в закладки.
Оцените презентацию от 1 до 5 баллов!
- Тип файла:ppt / pptx (powerpoint)
- Всего слайдов:18 слайдов
- Для класса:1,2,3,4,5,6,7,8,9,10,11
- Размер файла:85.99 kB
- Просмотров:51
- Скачиваний:0
- Автор:неизвестен
Слайды и текст к этой презентации:
№1 слайд
Содержание слайда: Сигурност на PHP
уеб приложения
PHP Web Application Security
№2 слайд
Содержание слайда: Топ 10 уязвимости при
уеб приложенията
1. Cross Site Scripting (XSS)
2. SQL Injection
3. Malicious File Execution
№3 слайд
Содержание слайда: Топ уязвимости при уеб приложенията
4. Insecure Direct Object Reference
5. Cross Site Request Forgery (CSRF)
6. Information Leakage and Improper Error Handling
7. Broken Authentication and Session Management
8. Insecure Cryptographic Storage
9. Insecure Communications
10. Failure to Restrict URL Access
№4 слайд
Содержание слайда: Cross Site Scripting (XSS)
Какво може да доведе до XSS атака?
Уеб приложение използва данни предоставени от потребителя, без да ги валидира или филтрира.
До какво може да доведе една XSS атака?
Изпълнение на нежелани скриптове в браузъра на потребителя - жертва на атаката.
Кои видове уеб приложения са засегнати?
Всички, които визуализират динамично съдържание предоставено от потребителя.
№5 слайд
Содержание слайда: Видове XSS атаки
Non-persistent (Reflected)
Когато данни, предоставени от уеб клиент (най-често под формата на параметри в HTTP заявка), се визуализират директно в браузъра на потребителя.
Persistent (Stored)
Когато данни, предоставени от потребителя, се съхраняват на сървъра и се използват за генериране на динамични страници без да се филтрират.
DOM Based
Изпълняват се изцяло от страна на клиента. Когато JavaScript код използва директно данни от DOM обекти, като document.location.
№6 слайд
Содержание слайда: Пример
<form action="comment.php" method="POST">
Име: <input type="text" name="name" />
Коментар: <textarea name="comment"></textarea>
<input type="submit" value="Добави коментара" />
</form>
<?php
echo "<div class='comment'>
echo " <p>$name написа:</p>";
echo " <blockquote>$comment</blockquote>";
echp "</div>";
?>
№7 слайд
Содержание слайда: Как да се предпазим?
Валидиране на входните данни
Всички входни данни трябва да се проверяват за коректност – тип, формат и т.н.
<?php if( isValidName($name) ) { … }?>
Филтриране на изходните данни
Всички изходни данни трябва да се филтрират за специални символи преди да се визуализират.
<?php echo htmlentities( $comment ); ?>
№8 слайд
Содержание слайда: SQL Injection
Какво може да доведе до SQL инжекция?
Изпълнение на SQL заявки, които се конструират динамично с входни данни без валидация.
До какво може да доведе една SQL инжекция?
Неправомерен достъп и модификация на данни. Неправомерна автентикация и оторизация и др.
Кои видове уеб приложения са засегнати?
Всички, които изпълняват динамично
генерирани заявки.
№9 слайд
Содержание слайда: Пример
Форма за вход в сайт, чрез която потребителят въвежда потребителско име и парола:
<form action="login.php" method="POST">
Потребител: <input type="text" name="username" />
Парола: <input type="text" name="password" />
<input type="submit" value="Вход" />
</form>
№10 слайд
Содержание слайда: Пример
Заявка, която търси потребител с въведените име и парола:
<?php
$username = $_POST['username'];
$password = md5($_POST['password']);
$sql = "SELECT COUNT(id) FROM users WHERE “;
$sql.= "username='$username'";
$sql.= "AND password='$password'";
?>
№11 слайд
Содержание слайда: Как да се предпазим?
Валидиране на входните данни
Всички входни данни трябва да се проверяват за коректност – тип, формат и т.н.
<?php if( isValidUsername($username) ) { … }?>
Филтриране нa данните, участващи в заявки
Всички данни, които участват при конструирането за заявки, трябва да се филтрират, като се премахнат специалните за SQL символи.
mysql_real_escape_string($_POST['username']);
№12 слайд
Содержание слайда: Malicious File Execution
Какво може да доведе до атаката?
Най-често възможност за качване на файлове от потребителя – снимки, документи и т.н.
До какво може да доведе подобна атака?
Неправомерното изпълнение на файлове дава на атакуващия почти неограничени възможности за злоупотреба.
Кои видове уеб приложения са засегнати?
Всички, които приемат файлове качвани от потребителя.
№13 слайд
Содержание слайда: Пример
Форма, чрез която потребителят може да качи
изображение в jpg формат:
<form action="upload.php" method="POST" enctype="multipart/form-data">
Изберете изображение:
<input type="file" name="picture" />
<input type="submit" value="Качване" />
</form>
№14 слайд
Содержание слайда: Пример
Скрипт, който проверява и записва изображението:
<?php
$picture = $_FILES['picture'];
$filename = "pictures/" . basename($picture['name']);
if($picture['type'] != "image/jpg") {
echo "Невалиден формат! Моля, опитайте отново.";
exit; }
else {
move_uploaded_file($picture['tmp_name'],$filename);
}
?>
№15 слайд
Содержание слайда: Как да се предпазим?
Съхраняване извън публичната директория
Когато файловете се съхраняват извън публичната директория, те не са достъпни и атакуващият няма да има възможност да изпълни тяхното съдържание.
Преименуване на файловете
Файлове да се преименуват при тяхното качване, така че атакуващият да не знае под какво име са записани.
<?php
$picture = $_FILES['picture'];
$picture_info = getimagesize($picture['tmp_name']);
$filename = "../pictures/" . time() . ".jpg"); … ?>
№16 слайд
Содержание слайда: Софтуер за автоматично тестване сигурността на PHP приложения
PHP Security Scanner
http://sourceforge.net/projects/securityscanner/
Spike PHP Security Audit
http://sourceforge.net/projects/phpsecaudit/
PIXY
http://pixybox.seclab.tuwien.ac.at/pixy/
№17 слайд
Содержание слайда: Полезни връзки
Secure file upload in PHP web applications
http://www.scanit.be/uploads/php-file-upload.pdf
OWASP Top 10 – 2010: The ten most critical
web application security risks
http://owasptop10.googlecode.com/files/OWASP Top 10 - 2010.pdf
SQL Injection Attacks by Example
http://unixwiz.net/techtips/sql-injection.html
PHP and the OWASP Top Ten Security Vulnerabilites
http://www.sklar.com/page/article/owasp-top-ten
№18 слайд
Содержание слайда: Полезни връзки
PHP Security Manual
http://us3.php.net/manual/en/security.php
Cross Site Scripting (XSS) Cheat Sheet
http://ha.ckers.org/xss.html
Improving web application security
http://www.cgisecurity.com/lib/Threats_Countermeasures.pdf
PHP Security Guide
http://shiflett.org/php-security.pdf
A Guide to Building Secure Web Applications and Services
http://prdownloads.sourceforge.net/owasp/OWASPGuide2.0.1.pdf
Скачать все slide презентации Сигурност на PHP уеб приложения PHP Web Application Security одним архивом:
