Безопасность сайта: какие бывают угрозы и как их избежать

Уязвимость;Атака

Недостаточная аутентификация (Insufficient Authentication) — возникает, когда сервер позволяет получать доступ к важной информации или функциям без должной аутентификации;Подбор (Brute Force) — автоматический процесс подбора пароля, имени пользователя и ключа шифрования методом проб и ошибок Небезопасное восстановление паролей (Weak Password Recovery Validation) — веб-сервер позволяет несанкционированно восстанавливать, модифицировать или получать пароли других пользователей;

Уязвимость;Атака

Предсказуемое значение идентификатора сессии (Credential/ Session Prediction) — позволяет хакерам перехватывать сессии других пользователей;Фиксация сессии (Session Fixation) — злоумышленник присваивает идентификатору сессии пользователя заданное значение Недостаточная авторизация (Insufficient Authorization) — возникает, когда сервер позволяет получать доступ к ограниченным функциям или защищенной информации; Отсутствие таймаута сессии (Insufficient Session Expiration) — у сессии пользователя либо нет таймаута, либо его значение слишком велико, что приводит к тому, что злоумышленник может использовать для авторизации старые данные;

Уязвимость;Атака

Недостаточное противодействие автоматизации (Insufficient Anti-automation) — уязвимость возникает, если сервер позволяет автоматически выполнять ручные операции;Отказ в обслуживании (DDoS) — атака на сервера компании и доведение системы до отказа, в результате чего пользователи не могут получить к ней доступ Недостаточная проверка процесса (Insufficient Process Validation) — сервер не обеспечивает достаточную проверку последовательности выполнения операций приложения;Злоупотребление функциональными возможностями (Abuse of Functionality) — функции веб-приложений используют для обхода механизма разграничения доступов

Уязвимость;Атака

Предсказуемое расположение ресурсов (Predictable Resource Location) — дает атакующему возможность получить доступ к скрытым данным и функциям сайта;Обратный путь в директориях (Path Traversal) — атаки для доступа к файлам, директориям и командам, которые находятся вне основной директории web-сервера Утечка информации (Information Leakage) — сервер публикует важную информацию, например, сообщения об ошибках, которые могут быть использованы для компрометации системы;Идентификация приложений (Web Server/ Application Fingerprinting) — определение версий приложений позволяет получить информацию об используемых браузерах, клиентах, серверах и операционных системах Индексирование директорий (Directory Indexing) — позволяет получить информацию о наличии скрытых файлов и директорий, которые недоступны в обычном режиме навигации;

Уязвимость;Атака

Переполнение буфера (Buffer Overflow) — уязвимость, которая позволяет изменить путь исполнения программы с помощью перезаписи данных в памяти системы;Внедрение операторов XPath (XPath Injection) — атака на сервер, который создает запросы на языке XPath на основе данных, которые вводит пользователь Выполнение команд ОС (OS Commanding) — уязвимость, которая позволяет направлять команды операционной системе на веб-сервере с помощью манипуляций входными данными;Внедрение серверных сценариев (SSI Injection) — передача исполняемого кода, который будет выполнен на веб-сервере ;Внедрение операторов SQL (SQL Injection) — атака на сервера, которые создают SQL-запросы к серверам Системы Управления Базами Данных на основе того, что вводит пользователь ;Внедрение операторов LDAP (LDAP Injection) — атаки на серверы, которые создают запросы к службе LDAP на основе данных пользователей ;Атака на функции форматирования строк (Format String Attack) — путь исполнения программы модифицируется методом перезаписи областей памяти с помощью функций форматирования символьных переменных

Уязвимость;Атака

Уязвимость Cross-site Scripting — позволяет атакующему передать серверу исполняемый код, который будет перенаправлен браузеру пользователя;Межсайтовое выполнение сценариев (Cross-site Scripting, xss) — код получает возможность читать, модифицировать или передавать важные данные, доступные с помощью браузера. У атакованного пользователя может быть скомпрометирован аккаунт (кража cookie), браузер можно перенаправить на другой сервер или подменить содержимое сервера Уязвимость к расщеплению HTTP-запроса — возникает, когда серверные скрипты внедряют пользовательские данные в заголовки HTTP-ответов, например, в URL перенаправления, а также когда программы формируют куки на основе введенных пользователем данных;Расщепление HTTP-запроса (HTTP Response Splitting) — на сервер приходит специально сформированный запрос, ответ на который интерпретируется как два разных ответа. Таким образом жертва вместо запрошенного ресурса получает информацию, которую сформировал атакующий ;Подмена содержимого (Content Spoofing) — содержимое страницы передается не с веб-сервера сайта, а из внешнего источника. То есть подменяется контент, например, телефон, e-mail, адрес