>> LUCIANO Arango: Labi, puiši.
Mans vārds ir Luciano Arango.
Es esmu sophomore Adams House.
Un mēs esam gatavojas runāt par interneta drošības aktīva aizsardzība.
Tāpēc es strādāju par biroja informācijas Drošību jūrā.
Un pa vasaru, es internēti SeguraTec, kas bija informācija
apsardzes firma, kas apkalpo Bankai Columbia.
Tas ir, galvenokārt, kur es uzzināju ko es esam iemācījušies līdz šim.
>> Un tāpēc daži no materiāla, ka mēs iet pār šodien, mums nav
tiešām runāja par klasē.
Bet mēs drīz.
Tas būs, piemēram, SQL, JavaScript.
Un mēs neesam īsti gājusi pār to.
Lai es varētu šķirot lidojuma caur to, un jūs varētu nezināt dažas lietas.
Bet drīz, jūs uzzināsiet to.
Un tas būs viss jēgas.
Arī cita lieta -
palikt ētikas.
Dažas no lietām, ko jūs mācīties, jums varētu izmantot bez ētikas veidos.
>> Ja tas ir jums, noteikti izmēģiniet.
Es noteikti motivēt jums guys izmēģināt savu serveri, mēģiniet
notiek iekšpusē tiem.
Redzēt, ja jūs varat iekļūt viņiem, ja jūs varat saņemt iekšpusē tiem.
Bet ne kāds cits ir.
Policija nav īsti patīk jokiem un viss, mēs ieliekam šo šeit.
Mums bija messing apkārt.
Viņiem patiešām dusmīgs.
>> Tāpēc dodies uz šo tīmekļa vietni.
Man to atklāja tieši šeit.
Šī ir mājas lapa, un tas ir ķekars piemērus.
Kas notiek, ir tas, ka pirmais piemērs ir sava veida būs daudz vieglāk
par pēdējo piemēru ziņā ka pirmais piemērs
ir pilnīgi nedrošs.
Un pēdējais ir sava veida, kas normāls interneta drošības cilvēks varētu darīt.
Bet jūs joprojām varat kārtot un saņemt ap to.
Un mēs esam gatavojas koncentrēties uz vienu un divi piemēri, viens un divi.
>> OK.
Sāksim ar pārrobežu vietas skriptu.
JavaScript ir palaist klienta pārlūkprogrammu.
Tas ir programmēšanas valoda, kas jūs izmantojat palaist uz klienta pārlūkprogrammu tā
Jums nav, lai atjauninātu tīmekļa vietni un doties atpakaļ uz serveri.
Jums ir tā darbojas.
Tā, piemēram, Facebook, jums nav pārlādēt mājas lapā jauno statusu
atjauninājumus nākt klajā.
Tas ir, izmantojot JavaScript, lai radītu visas šīs lietas.
Tātad, mēs varam injicēt ļaunprātīgu JavaScript uz mājas lapām.
Un tādā veidā, kad mēs nosūtīt saiti kāds, mēs varētu kārtot nosūtīt to ar
daži no koda, ko mēs vēlamies.
>> Tur ir noturīgas un nenoturīgs JavaScript -
noturīgas un nenoturīgs cross-site skriptu, es domāju.
Un atšķirība ir tāda, ka noturīga ir JavaScript, kas būs
saglabāts mājas lapā.
Un nenoturīgs būs JavaScript , kas faktiski tikai notikt vienu reizi.
Tāpēc aplūkosim piemēru ļoti ātri.
>> OK.
Tātad šajā mājas lapā, vienkārši, nekas nenotiek šeit.
Un mēs ejam, lai mēģinātu ievietot kādu JavaScript.
Tātad, kā mēs sāktu rakstīt JavaScript ir sākam ar sākuma skriptu.
Un mēs aizveriet to ar skriptu.
Mēs esam tikai gatavojas nodot ziņu -
Es jums parādīs, -
brīdinājumu.
Alert ir funkcija, kas JavaScript izmanto, lai parādītu kaut ko.
Tāpēc pamēģināsim to reālu ātri.
Es iešu, trauksmes Sveiki.
Nu, es aizmirsu, lai -
OK.
Tātad tas ir vienkārši.
>> Mēs ieliekam JavaScript tīmekļa vietnē, un tas nāca klajā.
Un tā veida notiek tikai mūsu mājas lapā, vai ne?
Tāpēc šķiet, piemēram, tas nav problēma, vai ne?
Es domāju, kā jūs varētu izmantot tas ļaunprātīgi?
Tā kā, ka hakeri to tas ir patiešām vienkārši.
Viņi gatavojas paķert to.
Tās var nosūtīt šo saiti uz jums.
Ja es sūtīšu šo saiti, lai jūs tieši tagad, un atverot to uz augšu, tas būs
saku, sveiki, sakot, ka mana mājas lapa stāsta jums sveiki.
>> Un tāpēc, ja es teiktu kaut ko mazliet gudrāku, ja es uzvilkt
JavaScript funkcija Es veida jau rakstīja -
bet, ja paskatās uz to, es iešu pār to, pirms es uzrakstīju to.
Tātad, mēs ejam, lai uzstādītu taimautu.
Mēs ejam, lai gaidīt pāris sekundes.
Patiesībā, mēs ejam, lai gaidīt, ja Nemaldos, piecas sekundes.
Tas iet milisekundēs.
Un tad tas, ko mēs gatavojamies darīt, ir, mēs esam gatavojas, lai brīdinātu, ka pieteikšanās
iztecējis, lai pieteiktos atpakaļ collas
Un mēs esam gatavojas mainīt atrašanās vietu uz citu vietu.
>> Tātad, ja es sūtu šo tīmekļa vietni, lai kāds, viņi būs
pārlūkošanas apkārt, klusums.
Nekas notiek.
Un piecās sekundēs, tas notiek teikt, jūsu pieteikšanās beigusies.
Lūdzu, piesakieties atpakaļ collas
Pēc tam, kad tie noklikšķiniet uz Labi, es esmu gatavojas ņemt tos uz citu tīmekļa vietni.
Jādomā, mājas lapā ir gatavojas ir līdzīgs mājas lapā, ka
viņi bija pirms tam.
Un viņi gatavojas ieiet viņu pilnvaras uz manu mājas lapā, nevis
viņu mājas lapā.
>> Un tā es varētu nosūtīt cilvēkus e-pastu ar šo saiti.
Es saku, ak, šeit ir saite.
Tas ir banka, piem.
Es saku, šeit, dodieties uz šīs saites.
Un, kad tie nosūta to, ka viņi būs pārlūkošanas apkārt.
Es varu gaidīt 15 sekundes, 20 sekundes, un tad pop, ka, lūdzu, piesakieties atpakaļ
parakstīt atpakaļ.
Jūs guys var mēģināt to ar daudz vairāk lietām.
Tas ir sarežģīti, jo jūs guys neesmu redzējis JavaScript, lai jūs varētu
nezinām dažas funkcijas.
Bet viss, kas jums jādara, ir sākums ar skriptu, beidzas ar skriptu.
Un jūs varētu likt kaut ko vidū.
>> Alert ir funkcija, pagaidiet.
Logu vieta aizved uz citu vietu.
Bet jūs varat darīt daudz vairāk.
Un tā doma ir tāda, ka mēs, ka off.
Ja es eju uz divām, piemēram, un es īstenot šo pašu kodu, tas ir
nav dodas uz darbu.
Tāpēc tas ir drukāšanu visu ārā, jo ko šajā mājas lapā sākotnēji
tas ir, ja man kaut ko šeit, tas būs to izdrukāt šeit.
Tāpēc tas nedrukā neko.
Šis piemērs ir faktiski pārbaudīt lai redzētu, ja skripts ir tur.
Tātad, jā, iet uz priekšu.
Jautājiet man.
>> Mērķauditorija: nesūta saņemt vai nosūtīt pieprasījumu?
>> LUCIANO Arango: Jā. viņi GET pieprasījumu nosūtīšanu.
>> Mērķauditorija: Tā ir?
>> LUCIANO Arango: Jā.
Arī pārlūki izmanto POST pieprasījumus.
Bet es cenšos parādīt GET pieprasījumu lai mēs varētu redzēt, kas ir
patiesībā notiek.
Un tāpēc, ja mēs skatāmies uz šo kodu - tāpēc tas vairs nedarbojas.
Un, ja mēs to apskatīt šo kodu, tas būs divās piem.
Ko šis cilvēks dara, persona kas atbild par šo pārlūku -
atvērt, OK -
ir aizstāt vārdu skriptu.
Tas ir PHP, kas jūs puiši varētu esmu redzējis mazliet vēl.
>> Viņš vienkārši aizstāt Vārds skriptu ar nosaukumu.
Tātad tomēr, ja es eju uz priekšu un vienkārši īstenot -
ja es greifers manu kodu vēlreiz, un es esmu gatavojas lai mainītu to tikai mazliet.
Tā vietā, lai skriptu, es esmu gatavojas mainīt tas ir par skriptu ar kapitālu R. Un
mēs ejam, lai redzētu, vai tas kods darbojas.
Tāpēc tas nav izdrukāt to ārā, kas ir laba zīme.
Un, cerams, vairāk divas sekundes, tas būs pop up.
>> Jūsu pieteikšanās beigusies.
OK.
Viss kārtībā.
Tātad, pārbaudot skriptu varētu ne vienmēr strādā.
Persona -
tā var arī pārbaudīt skriptu lielajiem burtiem, skripts mazos, str gadījums
salīdzināt, pārliecinieties, ka viņi paši.
Bet hakeris joprojām var darīt veida, kas mēs darījām Vigenere kad mēs pārvietots
atpakaļ pāris burtiem, virzīties uz priekšu.
Un to var izdomāt, kā likt skriptu atpakaļ tur, lai tā varētu injicēt
ka skriptu.
>> Tātad, ko jūs vēlaties izmantot ir htmlspecialchars līdz
aizsargāt jūsu mājas lapā.
Un ko tas dara, ir tas padara pārliecināts, ka tas, ko jūs likts -
piemēram, kursi vai šis lielāks vai mazāks par -
tiek aizstāts ar kaut ko ka nebūs -
ļaujiet man tuvinātu šeit -
faktiskais Ampersand.
Tas aizstās šos īpašos HTML rakstzīmes, ka mēs redzam, kad mēs esam
runājot par -
oh, tas notiek, lai mani atpakaļ -
šīs zīmes šeit.
>> Tie apliecina, ka kaut kas nāk.
HTML, ka, sākot kronšteinu stāsta mums, ka kaut kas
HTML saistīto nāk.
Un mēs gribam, lai atbrīvotos no tā.
Mēs nevēlamies, lai HTML uz website.k Mēs nevēlamies, lai lietotājs varētu būt
spēj kaut ko savā mājas lapā kas var ietekmēt viņu mājas lapā, piemēram,
skripts vai HTML vai kaut kas tamlīdzīgs.
Kas ir svarīgi ir tas, ka jums sanitize lietotāja ievadi.
>> Lai lietotāji var ievades daudzas lietas.
Viņš var ievadīt ķekars lietas, lai mēģinātu triks savu pārlūku joprojām
rādīt šo skriptu kodu.
Ko jūs vēlaties darīt, ir ne tikai apskatīt par skriptu, bet izskatās par visu
kas varētu būt ļaunprātīga.
Un htmlspecialchars būs jādara jums, lai jums nav
jāuztraucas par to.
Bet nav mēģināt to darīt pats kārtot ar savu kodu.
Ir ikvienam skaidrs XSS?
>> OK.
Iesim uz SQL injekcijas.
Tātad, SQL injekcijas, ir iespējams numur viens ievainojamība
dažādās tīmekļa vietnēs.
Es domāju, ir labs piemērs -
Man bija tikai pētīt vistālāk par šo lietu.
Un es atklāju šo awesome raksts, kurā Es redzēju, ka Harvard tika pārkāptas,
bija hacked.
Un man bija jautājums, labi, kā viņi to dara?
Harvard ir ļoti laba, lielākā daļa nodrošināt universitātes jebkad.
Tiesības?
Nu, pārkāpt serveriem, hakeri izmanto
tehniku, ko sauc SQL injekcijas.
>> Tā tas notiek ikdienā.
Cilvēki aizmirst, lai ņemtu vērā SQL injekcijas.
Harvard dara.
Es domāju, ka tā saka šeit, Princeton, Stanford, Cornell.
Tātad, kā mēs - tā, kas tas ir SQL injekcijas, kas ir celt visiem šiem
cilvēki uz leju?
OK.
Tāpēc SQL ir programmēšanas valoda, kas mēs izmantojam, lai piekļūtu datu bāzēm.
Ko mēs darām, ir mūsu izvēlēties -
Tātad, ko tas skan tieši tagad ir izvēlēties viss no galda.
>> SQL, tas pārvēršas šīm datu bāzēm ka ir tabulas pilns ar informāciju.
Tāpēc izvēlēties visu, sākot no lietotājiem ja nosaukums ir lietotājvārds.
Tiesības?
Pietiekami vienkārši.
Ideja SQL injekcijas ir tas, ka mēs ievietot kādu ļaunprātīgu kodu, kas būtu
triks serveri uz braukšanas kaut savādāki nekā to, ko tā
sākotnēji skrēja.
Tātad pieņemsim, lietotājvārdu, mēs ieliekam vai 1 ir vienāds ar 1.
Tāpēc mēs ieliekam vai 1 ir vienāds ar 1.
Veids, kā tas būs redzams, tagad būs izvēlēties no lietotājiem, viss no
lietotāji - tas ir viss -
kur vārds ir lietotājvārds, bet lietotājvārds ir vai 1 ir vienāds ar 1.
>> Tātad vārds ir nekas vai 1 ir vienāds ar 1.
1 ir vienāds ar 1 vienmēr ir taisnība.
Tāpēc tas vienmēr atgriežas informāciju no lietotājiem.
OK.
Mums nav nepieciešams, lai būtu pareizs lietotājvārds.
Mēs varam tikai kaut ko mēs gribam, un tā atgriezīsies informāciju
ka mums ir nepieciešams.
Apskatīsim vēl viens piemērs.
>> Ja mēs esam izvēlēties visu, sākot no lietotāja, kur vārds ir DROP TABLE lietotājiem -
Tātad, ko jūs domājat, ka tas būs darīt, ja man ar lietotājvārdu
kā DROP TABLE lietotājiem?
Kāds ir ideja?
Jā.
>> Mērķauditorija: Tas notiek, lai pastāstītu tā, lai dump visas tabulas.
>> LUCIANO Arango: Tas notiek, lai pastāstītu mums dump visu mājas lapā,
viss datu bāzē.
Un ko cilvēki izmantot šo - tā Es esmu gatavojas parādīs puiši.
Es invalīdiem pilināmā tabulas jo es negribēju tevi
puiši piliens manas tabulas.
Pieņemsim to apskatīt to.
Tāpēc tas vienkārši velk uz augšu informācija noteiktu personai.
Tātad, kā mēs zinām, ja tas ir skārusi SQL injekcijas.
Mēs ejam, lai pārbaudītu nekustamo ātri ja mēs varam kaut ko -
ļaujiet man kopēt šo kodu.
Es iešu pār to sekundē.
Es esmu gatavojas īstenot saknes un 1 ir vienāds ar 1.
>> Šīs tiesības šeit, šajā procentu zīme 23 -
kas tas īsti ir, ja es apskatīt tepat -
kā HTML notiek ar cipariem, ja jūs ieskatieties kad man telpā
šeit - ja man bija kosmosa kaut šeit, tas izmaina to uz procentiem 2.
Jūs guys redzēt to tieši šeit kad man telpā?
Kā tā darbojas, ka jūs varat tikai sūtīt ASCII vērtības, HTML.
Tāpēc tas aizvieto, piemēram, telpa ar procentiem 20.
Es nezinu, ja jūs guys ir redzams, ka pirms tam.
>> Tas aizvieto hashtag ar procentiem 23.
Mums ir nepieciešams hashtag beigās vai paziņojums, lai mēs varētu pateikt
datu bāzi, lai aizmirst komentēt šis pēdējais Semikolu beigās.
Mēs gribam, lai nav jādomā par to.
Mēs vienkārši gribam, lai palaistu visu ka mums ir iepriekš un
komentēt, ka out.
Pieņemsim to apskatīt to.
>> Tātad, ja es būtu, lai kaut ko nepareizi - teiksim, piemēram, man 2 ir vienāds
1, tas nedod man neko.
Kad man 1 ir vienāds ar 1, un tas atgriezties kaut kas, tas man saka, ka
tas ir neaizsargāti pret SQL injekcijas.
Tagad es zinu, ka neatkarīgi Man pēc tam -
un, piemēram, piliens tabulas vai kaut kas tamlīdzīgs
noteikti strādās.
Es zinu, tas ir neaizsargāti pret SQL injekcijas jo es zinu, ka
zem motora pārsega, tā ļaujot man darīt 1 ir 1 lieta.
OK?
>> Un, ja mēs skatāmies uz šiem citiem uzņēmumiem, numur divi un numur trīs, tas ir
gatavojas darīt mazliet vairāk pārbaudīt zem
kapuci, kas tas ir.
Tāpēc ikviens ļauj kritumu kaut ko vēl vai mēģinājis?
Jūs guys veida iegūt SQL vēl?
Jo es zinu, ka jūs guys ir ne redzējuši vēl, tāpēc tas ir sava veida
mulsinoši jums puiši.
Pieņemsim to apskatīt.
Tātad, kas ir veids, kā novērst SQLI?
OK.
Tāpēc tas ir ļoti svarīgi, jo jums puiši noteikti vēlaties, lai novērstu
tas ir jūsu mājas lapas.
>> Ja tā nav, visi jūsu draugi dodas izjokot no jums, kad tie piliens visi
Jūsu galdi.
Tātad ideja ir tāda, ka jums remonts SQL noteiktā veidā, bet jūs varat pielāgot
ko lietotājs ieejas ar zināma virkne.
Tā kā tas darbojas, ir jums sagatavotu datu bāzi.
Izvēlaties nosaukumu, krāsu, un kalorijas no datubāzes, ko sauc par augļiem.
Un pēc tam, ja kaloriju ir mazāks par un mēs nodot jautājuma zīmi tur
sakot, mēs ejam, lai ievadītu kaut sekundē.
>> Un krāsu ir vienāds, un mēs uzdodam jautājumu zīme sakot, mēs ejam
ieeja kaut sekundē, kā arī.
OK?
Un tad mēs izpildīt, liekot ar 150 un sarkanā krāsā.
Un tas būs pārbaudīt, lai pārliecināts, ka šie divi -
šis masīvs pārbaudīs, ka šie divi ir vesels skaitlis un
ka tas ir string.
Tad mēs ejam, un mēs atnest viss, mēs to sarkanā krāsā.
Tas nozīmē, ka mēs atnest visiem.
Tas nozīmē, ka mēs faktiski izpildīt SQL pārskats un nodot to atpakaļ sarkanā krāsā.
Šeit mēs paši, bet mēs darīt to pašu attiecībā dzeltena.
Un mēs atnest visiem.
>> Un šādā veidā, mēs liegt lietotājam no tā varētu ievades kaut
tas nav tas, ko mēs noteikts, stīgu vai vesels skaitlis, piem.
Es runāju agrāk par paļaujoties uz citiem.
Kad jūs guys sākt savu projektu, jūs esat visvairāk noteikti gatavojas izmantot
bootstrap vai kaut kas līdzīgs.
Vai jūs guys kādreiz izmanto WordPress?
Iespējams, jūs puiši ir izmantoti WordPress visticamāk.
Tātad problēma ar izmantojot citu cilvēku lietas -
Es esmu tikai gatavojas Google nekustamo ātri WordPress ievainojamība.
>> Ja es pull šo augšu tieši tagad -
Es burtiski bija divu otru Google.
Mēs varam redzēt, ka WordPress -
tas ir datēta '12 septembrī.
26 tiek atjaunināts.
Noklusējuma konfigurācija WordPress līdz 3.6 neliedz šos
daži attēli, kas varētu atvieglot
pārrobežu vietas skriptu uzbrukumiem.
Tik ātri stāstu, kad mēs strādājām ar - tā man bija, vasarā, darba
prakse.
Un mēs strādājam ar sava veida kā liels kredītkaršu uzņēmumam.
>> Un viņi paļaujas uz kaut ko sauc par -
Es nezinu, ja jūs guys kādreiz bijusi ar produktu sauc Joomla.
Joomla ir produkts, kas tiek izmantots, lai kontrole - veida līdzīgi
WordPress, ko izmanto, lai izveidotu mājas lapām.
Tātad tie bija viņu mājas lapā strādā ar Joomla.
Tas ir faktiski kredītkarte Uzņēmums Kolumbijā.
Es ņemšu jūs ar savu mājas lapā nekustamo ātri.
>> Lai viņi izmanto Joomla.
Un tie nebija atjaunināti Joomla ar jaunāko papildinājumu.
Un tad, kad mēs bijām ņemot apskatīt to kods, mums bija iespēja reāli
iet iekšā to kodu, un nozagt visiem kredītkaršu informāciju, ka viņi bija,
visi kredītkaršu numurus, vārdi, adreses.
Un tas bija tikai -
un to kods ir perfekti labi.
Viņi bija ļoti kodu.
Tas viss bija drošība.
Viņi pārbauda visus datu bāzes.
Viņi pārliecinājās, cross-site skriptu bija labi.
>> Bet viņi izmanto kaut ko, kas nebija atjaunināts, tas nebija droša.
Un tā, kas noveda viņus - Tātad jūs guys ir noteikti gatavojas izmantot citus
tautas kods, citu cilvēku sistēmas , lai izveidotu savu mājas lapā.
Pārliecinieties, ka viņi ir droši, jo dažreiz tas nav jums, viens, ka
padara kļūda.
Bet kāds cits kļūdās, un tad jūs kritums uz leju, jo no tā.
>> Paroles un PII.
Tātad paroles.
OK.
Pieņemsim apskatīt paroles ļoti ātri.
OK.
Lūdzu, pasakiet man, ka visi izmanto drošu -
Es ceru, ka ikviens šeit izmanto drošas paroles.
Es esmu tikai ļaujot ka tik pieņēmumu.
Tātad jūs guys ir noteikti gatavojas glabāt paroles jūsu mājas lapas.
Jūs gatavojas darīt kaut ko līdzīgu login vai kaut kas tamlīdzīgs.
Kas ir svarīgi ir ne uzglabāt paroles teksta.
Tas ir ārkārtīgi svarīgi.
Jūs nevēlaties, lai saglabātu parole teksta.
>> Un jūs noteikti nav patiešām vēlaties uzglabāt to vienvirziena hash.
Tātad, kas viens no veidiem, hash ir tas, ka tad, kad jūs ģenerēt vārdu, kad jūs nodot šo
vārdu uz hash funkciju, tā būs radīt atpakaļ kaut kādas noslēpumains veida
ziņu vai mistisks atslēgu komplekts.
Es jums parādīs piemēru.
Es esmu gatavojas hash viņi vārdu password1.
Tā MD5 Hash gatavojas atgriezties mani daži dīvaini informācijas veida.
>> Problēma ir tā, ka cilvēki, kas tur kas patīk iet uz mājas lapām, ir
jau sapratu, kārtot visu MD5 hashes.
Kas viņi ir tie apsēdās uz to datoriem, un tie sajaukts ik
Vienīgais iespējamais vārds, kas tur līdz brīdim, kad viņi ieguva veida, kas tas ir.
Ja es būtu meklēt to uz augšu -
Es tikko satvert šo hash.
Ja man šo hash no -
ja es dodos uz tīmekļa vietni, un es uzskatu, tas hash jo es nokļūt
datubāzes, un es meklēt to, kāds jau skatīja to ārā par mani.
>> Jā.
Tātad cilvēki apsēdās, un neatkarīgi no md5 hash, kas jums īstenot, viņi gatavojas
atgriezties pie jums kaut tas ir vārds.
Ja es hash citu vārdu, piemēram, -
Es nezinu -
trees2.
Es nevēlos būt vīlušies manu Google meklēšanu.
Tur tas ir, trees2.
Tik daudz tīmekļa vietnes joprojām izmanto md5 hash.
Viņi saka, ak, tas ir droši.
Mēs esam ne uzglabātu teksta.
Mums ir šī md5 hash.
Un viss, kas man ir jādara, ir tikai Google numuru.
>> Man nav pat aprēķināt sevi.
Es varu tikai Google to, un kāds jau to darīja par mani.
Šeit ir ķekars no tiem.
Šeit ir ķekars paroles.
Tāpēc noteikti nelietojiet md5 hash, jo viss, kas jums ir, lai
jādara, ir Google to.
Tātad, ko jūs vēlaties izmantot vietā?
OK.
Kaut ko sauc sālīšana.
Tātad, kas sālīšana ir -
jūs guys atcerēties, kad mēs bijām runājot par nejauši -
Es neesmu pārliecināts, ko PSET tas bija -
tas bija PSET tur vai četras?
>> Mēs runājām par atrast adatu siena kaudzē.
Un PSET, tas teica, ka jūs varētu faktiski izdomāt, ko izlases
rada tāpēc, ka kāds jau skrēja izlases miljons reizes, un tikai
veida veido to, ko tie rada.
Ko jūs vēlaties darīt, ir īstenot ieejas.
Tātad, tas ko sālīšana veida ir.
Viņi jau ir izpētījuši, kas sālīšana atgriežas katram darbam.
>> Tātad, ko sālīšana tas ir jūs likts sāls.
Jūs nodot konkrētu vārdu.
Un tas hash šo vārdu atkarībā par to, ko jūs likts šeit.
Tātad, ja es hash parole viens ar šo teikumu, tas būs hash
savādāk, ja es hash password1 ar atšķirīgu teikums.
Tā veida dod to kaut kur uz posms sajaukšanai, lai sāktu.
Tātad, tas ir daudz grūtāk, lai aprēķinātu, bet joprojām var aprēķināt tā, it
ja jūs izmantojat slikta sāli.
>> Cilvēki jau arī izpētījuši, kopīgas sāļi un sapratu,
kāda tā ir.
Izlases sāļi ir daudz labāk, bet labākais veids ir izmantot
kaut ko sauc kapenes.
Un ko kapenes ļauj darīt - tā šīs funkcijas ir
jau būvētas jums.
Daudzi cilvēki aizmirst, ka, vai viņi aizmirst to izmantot.
Bet, ja es paskatos uz augšu kapenes PHP, kapenes jau atgriež hash virkni par mani.
Un tas faktiski sāļi to vairākas reizes un hashes to vairākas reizes.
>> Tāpēc mums nav to darīt.
Tātad viss, kas jums jādara, ir nosūtīt to kapenes.
Un tas radīs lielu hash bez Jūs jāuztraucas par sāls
vai neko.
Jo, ja tu būtu, lai sāls tam, jums ir atcerēties, ko sāls tu izmanto
jo, ja ne, jūs nevarat saņemt savu parole atpakaļ bez
sāls, ko izmanto.
OK.
>> Un arī personisko identificējama informāciju.
Tātad sociālā drošība, kredītkartes - tas ir diezgan skaidrs.
Bet dažreiz cilvēki aizmirst, kā tas darbi ir, cik daudz informācijas jūs
tiešām ir nepieciešams atrast kādu vienu personu?
Kāds bija pētījums par tas ceļu atpakaļ.
Un tas bija, piemēram, ja jums ir pilns vārds, jūs nevarat atrast
kāds, kas viegli.
Bet ko tad, ja jums ir pilns nosaukums un viņu dzimšanas datumu?
Vai tas ir pietiekami, lai noteiktu kāds konkrēti?
>> Ko darīt, ja jums ir savu vārdu un Adrese, ka viņi dzīvo?
Vai tas ir pietiekami, lai atrastu kādu?
Un tas ir tad, kad tie jautājumu, kas ir personisko identificējamu informāciju, un
Ko jums vajadzētu uztraukties ne dodot prom?
Ja jūs atdot personisko identificējamo informācija, ka kāds dod jums,
Jūs, iespējams, varētu saņemt iesūdzēt tiesā.
Un mēs noteikti negribam, ka.
>> Tātad, ja jūs nodot jūsu mājas lapā out, un jums ir patiešām foršs
dizains, cerams, jūs veicāt laba galīgais projekts.
Kāds jums veida vēlaties nodot to, kas tur.
Jūs vēlaties pārliecināties, ka neatkarīgi jūs lietojat no lietotāja, ja tas ir
personisko identificējamu informāciju, jūs vēlas, lai pārliecinātos, ka jūs to patiešām
uzmanīgiem ar to.
>> Shell injekcijas.
OK.
Shell injekcija ļauj ielaušanās piekļūt jūsu faktisko komandrindas
Jūsu serverī.
Un tāpēc viņš ir spējīgs palaist kodu ka jūs nevarat kontrolēt.
Paņemsim piemēru šajā skaisti stīgu šeit.
Ja mēs ejam uz mājas lapā atkal, es esmu gatavojas iedziļināties kodu injekcijas.
Tātad, ko tas dara, ir -
tas ir arī tas, ko mēs bijām meklē pirms tam.
Mēs ļaujot lietotājam nodot jebkurā viņš grib, un tas izdrukāt
ko jūs vēlaties.
>> Tāpēc es esmu gatavojas, lai aizturētu zvanu.
Kas tas ir -
tas sāks ar konkatenācijas.
Tāpēc tas ļaus man palaist neatkarīgi komandu personas darbību
pirms un manu komandu.
Un es skrienu sistēmas komandu.
Un šie pēdējie stīgas ir - atcerēties ko es runāju ar jums puiši par,
bet jums ir, lai šifrēt tas ar URL metodi.
Ja es palaist šo tagad -
Es jums parādīs, nekā šeit -
Jūs redzēsiet, ka es beidzās galā darbojas komandu.
>> Tas ir faktiski faktiskais serveris ka mana tīmekļa vietne darbojas uz.
Tāpēc mēs negribam, ka, tāpēc, ka es varu palaist -
Šis serveris nav mans.
Tāpēc es nevēlos izjaukt viņa māsa, Marcus serveri.
Bet jūs varat palaist vairākas komandas tas ir bīstami.
Un, iespējams, jūs varētu izdzēst failus, noņemiet katalogi.
Es varu noņemt konkrētu direktoriju, ja Es gribēju, bet es nevēlos
to darīt, lai Marcus.
Viņš ir jauks puisis.
Viņš man aizņemties savu serveri.
Tāpēc es esmu gatavojas let viņam off par labu vienu.
>> Tātad, ko mēs nevēlamies lietot - mums nav vēlaties izmantot eval vai sistēmu.
Eval vai sistēma ļauj mums veikt šīs sistēmas zvanus.
EVAL līdzekļiem novērtēt.
Sistēma nozīmē to, ko es skrēja.
Tas darbojas kaut sistēmā.
Bet mēs varam aizliegt šīs lietas PHP tāpēc, ka mums nav tās izmantot.
Un failu augšupielādes.
Es biju gatavojas darīt laba lieta ar failu augšupielādes.
Bet, tāpat kā es jums puiši teicu, manu failu augšupielāde lieta nedarbojas.
Ja es būtu, lai augšupielādēt failu tieši tagad -
ja man bija, lai augšupielādēt failu, un tas ir attēls -
Jums ir augšupielādes lieta tas attēls.
Tas ir jauki.
Nekas nenotiek.
>> Bet, ja jums ir augšupielādēt failu, lai Piemēram, un lietotājs faktiski attēli
PHP failu vai exe failu vai kaut ko piemēram, ka, tad jūs, iespējams, varētu
ir problēma.
Tas strādāja pirms tam.
Diemžēl man, tas ir vairs nedarbojas.
Ja es, piemēram, ielādē šo failu, Es nesaņemu atļauju augšupielādēt
fails, sakarā ar serveri nav mans.
Tāpēc puisis ir patiešām gudrs.
>> Tāpēc mēs nevēlamies -
Es esmu gatavojas parādīs jums puiši -
Labi, šie ir daži patiešām atdzist rīki.
Tāpēc tie -
iedziļināties - ja jūs guys ir Firefox - Cerams, ka jūs darāt.
Ir divas add-ons sauc SQL injicēšana Me un Cross-Site Script Me.
Tās paver tik maz pusē joslas pusē.
Un, ja man bija, lai dotos uz CS60, piemēram -
lai to, ko tas ir tas izskatās lai visas veidlapas, kas -
cerams, es neiekļūs nepatikšanas par to.
>> Bet OK.
Lūk pin sistēma.
Tātad, kad es sākt meklēt caurumiem sistēmu, pirmā lieta, ko es daru, ir
atvērt šo skaisti maz līdzeklis uz sāniem.
Un es esmu gatavojas izmēģināt formas ar auto uzbrukumiem.
Un tā, ko tas dara, ir tas lēnām atvērt ķekars pārlūkprogrammām.
Šeit ir ķekars pārlūkprogrammām.
Un tas mēģina katru kombināciju pārrobežu vietas skriptu
ka, iespējams, ir, ja jūs redzat uz pusi.
>> Un tas man dos rezultātu kārtot kāda atbilde ir.
Viss iet.
Acīmredzot, viņi visi iet.
Es domāju, ka viņi tiešām ir gudri cilvēki tur.
Bet, ja es būtu palaist -
Man bija reizes pirms, kad es palaist šo par studentu gala projektu.
Es vienkārši palaist SQL Ievada mani ar visi dažādie uzbrukumi.
Un tas cenšas SQL injicē tas pin server.
Tātad, ja mēs ritiniet uz leju, lai Piemēram, tā saka -
tas ir labi, ja tas atgriežas.
>> Tāpēc tas testē dažas noteiktas vērtības.
Un serveris atpakaļ kods, kas bija negatīvs.
Laiku izņemt.
Tas ir labi.
Tas mēģina visus šos testus.
Lai jūs varētu vienkārši palaist -
Es vēlos es varētu atrast mājas lapā nekustamo ātri, ka varētu ļaut man -
varbūt CS50 veikalā.
>> Wow, tas ir gatavojas ņem pārāk ilgi.
Es let pirmais tests nav pabeigta labi.
Tāpēc tas ir sūdzību.
Tātad šie ir trīs lietas.
Šie instrumenti ir bezmaksas.
Jūs varat lejupielādēt un palaist tos jūsu mājas lapā, un tas jums pateiks, ja
Jums ir pārrobežu vietas skriptu, Ja jums ir SQL, ja jums ir
kaut tamlīdzīgi.
Es esmu veida messing up.
>> Kas ir svarīgi -
Labi, tā nekad uzticas lietotājam.
Neatkarīgi no lietotāja izejvielas, lai jūs, pārliecinieties, pārliecināts, ka jūs sanitize to, jūs to tīrīt,
Jūs pārbaudiet pareizās lietas, ka tas dod jums to, ko jūs
vēlos, lai viņš dotu jums.
Vienmēr atjaunina par to sistēmas ka jūs faktiski izmanto.
Ja jūs izmantojat kaut ko līdzīgu bootstrap -
Es zinu, jūs guys gatavojas izmantot bootstrap jo viņš gatavojas iet
nekā tas drīz klasē -
un WordPress vai kaut kas tamlīdzīgs, Parasti tas varētu būt hacked.
>> Un tad jums nav pat zināt.
Jūs tikai darbojas jūsu mājas lapā.
Un tas ir pilnīgi droši.
Un jums iet uz leju.
Tāpēc es esmu zveju tiešām agri.
Bet es vēlos pateikties Pentest Labs.
Es esmu gatavojas parādīs jums, puiši kaut ko sauc Pentest Labs.
Ja jūs puiši tiešām interesē kādi drošības patiešām ir, tur
mājas lapā sauc Pentest Labs, ja jūs guys iet uz to tieši tagad.
Ak, labi, tas nav tā.
Es esmu tikai gatavojas palaist to, kā šis.
Google stāsta man atbildi.
>> OK.
Un tā māca izmantot jums - tā saka, mācīties interneta izplatība
testēšanas pareizo ceļu.
Tā māca jums -
cerams, jūs esat ētiska cilvēks.
Bet tas māca jums, kā jūs varat apskatīt kā jūs varat saņemt iekšpusē mājas lapām.
Un, ja jūs uzzinātu, kā jūs varat iegūt iekšā mājas lapas, jūs varat uzzināt, kā
pasargāt sevi no kļūst iekšpusē mājas lapas.
Ļaujiet man pietuvinātu tāpēc varbūt jūs guys nav meklē šīs tiesības.
>> No SQL injekcijas, lai apvalks, tāpēc veida, kā es varu saņemt no SQL
injekcijas apvalks.
Un jūs lejupielādēt šo virtuālo mašīnu.
Un virtuālā mašīna jau nāk ar tīmekļa vietni, kas tu esi
gatavojas izmēģināt to.
Jūs lejupielādēt šo PDF.
Un tas parādīs pozīcijai, ko kas jums jādara, ko jūs pārbaudīt.
Tas ir tas, ko uzbrucējs patiesībā dara, lai saņemtu iekšpusē mājas lapā.
>> Un daži no šīs lietas ir sarežģīta.
Es vēlos es varētu iet ilgāk lietas ar jums, puiši.
Bet es jāuztraucas, ka jūs guys ir īsti -
tas ir tas, ko es devos pāri ar jūs puiši, web testi
par iespiešanās testēšana.
Nav tiešām zināt, ko SQL un kādam -
Karla Džeksona seminārs ir laba, kā labi.
Jūs guys nezinu veida par to, kas tas ir.
Bet, ja jūs iet uz šo tīmekļa vietni, un jūs lejupielādēt šos videomateriālus, un tie
PDF, jūs varat apskatīt veida kādi drošības jomā tiešām
in iespiešanās testēšana, redzēt, kā jūs varat iekšā mājas un aizsargāt
sevi no tā.
>> Tātad, ja es drīkstu super ātru pārskatu, tas būs novērst pārrobežu vietas skriptu.
Jūs vēlaties izmantot htmlspecialchars ik laikam lietotājs ieejas kaut ko.
Novērstu SQL injekcijas.
Ja jūs to izdarītu, jūs jau labāk nekā Harvard bija
kad viņi ieguva pārkāptas.
Un pārliecinieties, ka jūsu paroles nav teksta.
Pārliecinieties, ka jūs ne tikai viens veids, kā hash viņiem, bet, ka jūs izmantojat kapenēm, PHP
funkcija, kas man parādīja jums puiši.
Tādā veidā, jums ir jābūt labi.
>> Arī tad, ja jūsu draugi jums, palaist SQL Ievada mani savās tīmekļa vietnēs.
Palaist cross-site scripting savās tīmekļa vietnēs.
Un jūs redzēsiet daudz no šīm tīmekļa vietnēm ir ton ievainojamību.
Tas ir neticami, cik daudz cilvēki aizmirst sanitize savas datu bāzes un veikt
pārliecināts, kādi personas ievadīšanu nav skripta kodu.
OK.
Es veida beidzās tiešām agri.
Bet, ja kāds ir kādi jautājumi par kaut kas, jūs varat šaut man jautājumu.
Jā.
Iet, iet.
>> Mērķauditorija: Es tikai gribu jautāt, Vai varat izskaidrot kā fails
augšupielādēt tieši darbi.
>> LUCIANO Arango: Jā.
Tāpēc ļaujiet man jums parādīt failu augšupielādēt nekustamo ātri.
Tāpēc failu augšupielādes -
Problēma wit failu augšupielādes tieši tagad ir tas, ka -
Es esmu gatavojas, lai atvērtu kodu, lai jūs guys redzēt kodu aizkulisēs.
Un tas ir augšupielādēt.
Šeit ir kods failu augšupielādētāju.
>> Mēs cenšamies iet uz to direktorija nekā šeit.
Un mēs cenšamies, kad mēs ievade fails, isset file - tad, kad ir
failu failus, šo attēlu, tad Mēs cenšamies, lai pārvietotu to šeit.
Mēs greifers failu vairāk nekā šeit.
Metode ir POST, veids, attēlu, failu.
Un mēs esam nosūtot šo failu.
Un tad, kad mēs to, lai pēc tam, kad fails ir attēls, mēs cenšamies, lai to nosūtītu
šajā direktorijā.
>> Problēma ir tā, ka mājas lapā nav ļaujot man iet uz šo direktoriju,
tāpēc, ka tā nevēlas, lai es dotos atpakaļ.
Tā nevēlas man iet -
Man ir jāiet - tā šeit ir augšupielādēt.
Šeit ir attēli.
Man ir, lai iet visu ceļu atpakaļ uz sākumā un nodot to tur un tad
iet un nodot to direktoriju.
Tātad, ja es biju darbojas termināla logu, un es gribēju, lai pārvietotu failu -
[Dzirdams]
var redzēt.
Ja es gribēju, lai pārvietotu failu, man ir likt faila nosaukumu un pēc tam
pilnīga ceļš Es gribu nosūtīt to.
>> Un tad serveris nav ļaujot man iet atpakaļ.
Un tā tas neļaujot man nokļūt uz šo failu.
, Bet parasti -
tāpēc tur ir kods augšupielādējot failu.
Tātad, parasti to, kas notiks, ir tas, ka persona ir ne pārbaudīt, ja mans fails
beidzas ar. JPEG, tāpēc es gribētu pārbaudīt.
Ļaujiet man sākt piemēru arī ļoti ātri.
>> OK.
Šis cilvēks labi -
tāpēc divi piemērs ir pārbaudīt ja preg_match -
šeit tas ir vairāk nekā šeit -
lai pārliecinātos, ka beidzas ar PHP, kas ir labs.
Tas ir labi.
Bet tur ir reāls liels problēma ar šo.
Tas ir labi.
Bet, ja man bija, lai izveidotu failu ar nosaukumu myfavoritepicture.php.jpeg, es varētu
joprojām ir iespējams atbrīvoties no JPEG un palaist it.k ka PHP ir bīstami.
Jūs nevēlaties, persona varētu palaist kodu savā mājas lapā.
>> Bet tad. Jpeg ļauj tam iet.
Ideja ir tas, ko jūs patiešām vēlaties darīt Nav pieņemt failus, A., bet OK, ko
jūs patiešām vēlaties darīt, ir pārliecināties, ka jūs lasīt visā pasaulē.
Un tur nekas. Php tajā.
Nav. Php in Visa faila nosaukumu.
>> Mērķauditorija: Bet jūs varētu likts. JPEG uz beigām.
Serveri joprojām palaist kodu.
>> LUCIANO Arango: Nē, tā nebūs palaist sākumā.
Jums ir jāiet atpakaļ un mēģināt redzēt, ja jūs varat -
>> Mērķauditorija: Tātad mums ir -
OK, tikai viens komplekts, kas ietver -
>> LUCIANO Arango: Jā.
>> Mērķauditorija: OK.
>> LUCIANO Arango: Jā.
OK.
Kādi citi jautājumi?
OK.
Es esmu gatavojas atstāt šo augšu un kārtot un mēģināt redzēt, ja jūs guys var -
citi tiem ir nedaudz vairāk sarežģīta, jo tie prasa daudz
vairāk SQL zināšanas ne tikai sākums zināšanas par interneta SQL ir un
kāda JavaScript ir.
Bet es esmu gatavojas izmēģināt, lai saglabātu to uz augšu, un, cerams, jūs guys iemācīsies
par šo un mēģināt veikt palūrēt ko jūs varat darīt, un cik daudz piemēru
jūs varat saņemt, izmantojot.
>> Kāds ir kāda cita jautājumus par to?
Iet uz priekšu.
Jā, šaut, šaut.
Jā, iet uz priekšu.
Iet uz priekšu.
>> Mērķauditorija: OK.
Tāpēc es dzirdēju par to, kā Magic Quotes nav pietiekami droši.
>> LUCIANO Arango: Ko -
Magic Quotes?
>> Mērķauditorija: Jā.
Tāpēc tas piebilst - lai, kad jūs ievade kaut ko, tas vienmēr piebilst cenas.
>> LUCIANO Arango: Jā.
Jā.
OK.
>> Mērķauditorija: Un tad es gan, ka strādāju, bet tad es meklēja to.
Un tas teica, ka tas nav labi.
Bet es neesmu pārliecināts, kāpēc.
>> LUCIANO Arango: Jā.
>> Mērķauditorija: Nelietojiet Magic Quotes, jo tas nav droši.
>> LUCIANO Arango: OK.
Tāpēc Magic Quotes ir, kad jūs ievietojiet SQL un tas jau piebilst citātu jums.
>> Mērķauditorija: Tas vienmēr piebilst cenas ap ko jūs likts collas
>> LUCIANO Arango: Jā.
Tātad problēma ar šo ir tas, ka -
Es ņemšu apskatīt -
>> Mērķauditorija: Kā tas iegūst SQL?
Vai es domāju, tas varētu būt piemēram quote izvēlieties.
>> LUCIANO Arango: Jā, jums ir nepieciešams labas pēdiņām SQL.
>> Mērķauditorija: Nē, bet serveris tas jums.
>> LUCIANO Arango: Šīs mazās pēdiņas tieši šeit, šie maz citātus?
>> Mērķauditorija: Jā.
>> LUCIANO Arango: Jā.
Problēma ir tā, ka jūs varat komentārus, pēdējā -
Labi, lai to, ko es varu darīt, ir es varu komentēt out - tāpēc pieņemsim to apskatīt - Let Me
atvērt teksta rediģēšanas failu.
Ļaujiet man tikai rediģēt šo tieši šeit tieši.
OK.
Vai jūs guys redzēt, ka skaidri?
Ko es varu darīt, ir es varu komentēt out pēdējais.
Tas komentēt pēdējais.
Un tad es nolikšu vienu šeit, ielieciet visi ļaunprātīgu sīkumi šeit.
>> Tāpēc lietotājs ir faktiski ievadot, vai ne?
Lietotājs nav, ievadot lietas, labi?
Tas ir tas, ko es esmu gatavojas ieguldījumu, kā persona mēģina iekļūt iekšā.
Es esmu gatavojas īstenot -
tas ir viens pēdiņas.
Tas ir tikai neskaidro kļūdas.
Un tad kāda kodu ir gatavojas darīt -
sorry, es esmu gatavojas ņemt to out.
Kas kods ir gatavojas darīt, ir tas notiek, lai pievienotu pirmo
pēdiņas šeit.
Un tas notiek, lai pievienotu pēdējā pēdiņas, kā arī.
>> Un tas ir arī gatavojas pievienot Visbeidzot, pēdējā pēdiņas.
Bet es esmu komentējot šos citāts iezīmē, lai viņi neskrien.
Un es esmu apdares šis citāts atzīmēt vairāk nekā šeit.
Vai jūs saprotat?
Vai jūs zaudēja?
Es varu komentēt pēdējo kotāciju zīmi, un rūpēties par
Pirmais pēdiņas.
>> Mērķauditorija: Un tikai apdare pirmā.
>> LUCIANO Arango: Jā.
Un tikai pabeigtu pirmo.
Jā, tas ir labi.
Tas, ko es varu darīt.
Jā.
Visiem citiem jautājumiem, piemēram, ka?
Tas ir liels jautājums.
Nē, jā, varbūt.
Cerams, ka jūs guys būs sava veida padarīs daudz lietderīgāk, ja jūs pētījums SQL un
lietas, piemēram, ka.
Bet, pārliecinieties, ka jūs -
saglabāt šos rīkus skatīties.
Žēl, šie līdzekļi vairāk nekā šeit.
Šie instrumenti ir liels.
Ja kādam ir kādi jautājumi, Jūs varat arī e-pastu man.
Šis ir mans normāli e-pastu.
Un tas ir mans darbs, e-pasts, kas ir tad, kad es strādāju pie jūras.
>> Labi, paldies.
Paldies, puiši.
Jūs labi iet.
Jums nav šeit palikt.
Nav aplaudēt.
Tas ir dīvaini.
Labi, paldies, puiši.