Что хотели бы Вы видеть в книге безопасности ASP.NET новичка
Только код JavaScript без зависимостей:
var p = {"p1": "value1", "p2": "value2", "p3": "value3"};
keys = Object.keys(p); // ["p1", "p2", "p3"]
for(i = 0; i < keys.length; i++){
console.log(keys[i] + "=" + p[keys[i]]); // p1=value1, p2=value2, p3=value3
}
8 ответов
Во-первых, я указал бы на ненадежность сети способом, которая делает их доступными для людей, для которых разработка с учетом требований безопасности может (к сожалению), быть новым понятием. Например, покажите им, как прервать HTTP-заголовок и реализовать нападение XSS. Причина Вы хотите показать им нападения, так, у них самих есть лучшая идея того, от чего они защищают. Разговор о безопасности кроме того является большим, но не понимая тип нападения они предназначены для срыва, им будет трудно точно "протестировать" их системы на безопасность. После того как они могут протестировать на безопасность путем попытки прервать сообщения, заголовки имитации, и т.д. затем они, по крайней мере, знают, работает ли независимо от того, что безопасность, которую они пытаются реализовать, или нет. Можно преподавать их безотносительно методов, которые Вы хотите для реализации той безопасности с уверенностью, зная, понимают ли они ее превратно, они будут на самом деле знать об этом, потому что она провалит тесты безопасности, которые Вы показали им для попытки.
Безопасное программирование как типичная тема, которая покрывает все конкретные нападения как большинство, если не все, их вызываются, не думая оборонительно достаточно.
Сделайте тот предмет средним столбцом книги. Что служило бы мне, хорошо тогда знал о методах, чтобы никогда доверять чему-либо, не всего, подсказки по остановке, как "не позволяют комментарии SQL или специальные символы в Вашем входе".
Другая интересная вещь, которую я хотел бы изучить ранее, состоит в том, как на самом деле протестировать на них.
Я хотел бы видеть, как безопасность ASP.NET отличается от безопасности Классика ASP.
Я думаю, что все уязвимости базируются прочь программистов, не думающих, или мгновенные ошибки решения или что-то, о чем они не думали. Одна большая уязвимость, которая была в приложении, которое для меня определили задачу для "согласовывания", была тем, что они возвратились 0 (Нуль) из метода аутентификации, когда пользователь, который входил в систему, был администратором. Из-за того, что переменная была инициализирована первоначально как 0, если какие-либо проблемы произошли, такие как снижающаяся база данных, который заставил ее выдавать исключение. Переменная никогда не устанавливалась бы на надлежащий "код в системе защиты", и у пользователя затем будет доступ администратора к сайту. Абсолютно ужасная мысль вошла в тот процесс. Так, это приносит мне к главному понятию безопасности; Никогда не устанавливайте начальное значение переменной, представляющей "уровень безопасности" или что-либо того вида к чему-то, что представляет общее управление бога сайта. Еще лучше пользуйтесь существующими библиотеками там, которые прошли огонь того, чтобы быть используемым в значительных количествах продуктивных сред в течение длительного промежутка времени.
Приятно слышать, что вы попадете в первую десятку OWASP. Почему бы также не включить описание 25 основных ошибок программирования SANS / CWE.
Я всегда стараюсь показать худший вариант развития событий, которые могут пойти не так. Например, о том, как межсайтовая инъекция скрипта может работать как атака черного ящика, которая работает даже на страницах приложения, к которым хакер не может получить доступ, или как даже SQL-инъекция может работать как черный ящик и как хакер может украсть ваши конфиденциальные бизнес-данные , даже если ваш веб-сайт подключается к вашей базе данных с помощью обычной непривилегированной учетной записи.
Как убедиться, что ваш метод безопасности масштабируется с помощью SQL Server. Особенно, как избежать сериализации запросов SQL Server от нескольких пользователей, потому что все они подключаются с одним и тем же идентификатором ...