Использование уязвимости сценариев автоматизации

Взлом рабочего приложения через открытые порты

Подобная атака в настоящее время чрезвычайно популярна и стала такой благодаря несовершенству современных программ. В цикле разработки многих приложений совершенно не учитываются вопросы их защиты.

Одной из главных причин подобной халатности можно считать очень сжатые сроки, которыми ограничены программисты и испытатели при разработке и тестировании программ. Проверка проводится вовсе не так, как должна была бы. Более того, нынешние приложения стали настолько сложными и многофункциональными, что даже при наличии большего времени едва ли удалось бы проверить каждую их возможность и особенность. До недавних пор многие клиенты и слышать не хотели о безопасности. Если все необходимые функции прекрасно работали, то никто не задумывался о том, сколько возможных брешей существует. Нельзя думать о защите как об устанавливаемом дополнительно компоненте. С самого начального этапа разработки приложения, безопасность должна быть его неотъемлемой частью.

Еще одна проблема — это проверка на наличие ошибок. Во многих приложениях проверка либо плохая, либо отсутствует совсем, что приводит к нестабильности кода и весьма неприятным последствиям. Примером подобного можно считать переполнение буфера, которое будет рассмотрено далее.

Многие проникновения, особенно в систему UNIX, осуществляются путем использования программных сценариев. Вместе с основными компонентами операционной системы или приложения часто разработчики распространяют файлы и сценарии, с помощью которых пользователь системы сможет лучше в ней разобраться и создавать новые прикладные программы.

С точки зрения разработчика, это чрезвычайно удобно. Нужно ли изобретать колесо, если можно использовать готовые сценарии и фрагменты кода?

Нигде не применяется так много сценариев, как при работе с Web-приложениями. Ранние версии Web-сервера Apache, равно как и некоторые браузеры, поставлялись вместе с готовыми сценариями, в которых была масса лазеек. Кроме того, с помощью готовых программных средств даже неопытный программист сможет довольно быстро создать Internet-приложение, но вот будет ли оно качественным и надежным?

Да, программа будет работать, но никто не сможет сказать с уверенностью, насколько данная программа безопасна. Очень часто избыточный код и плохой контроль за ошибками открывают перед хакером двери в систему. По умолчанию с информационным сервером Internet (IIS — Internet Information Server) в комплекте предоставляется, по сути, готовый Web-узел. В нем есть система удаленного администрирования, которую можно использовать для быстрого и простого взлома узла.

Дата добавления: 2013-12-12