ओडब्ल्यूएएसपी या ओपन वेब सिक्योरिटी प्रोजेक्ट एक गैर-लाभकारी धर्मार्थ संगठन है जो सॉफ्टवेयर और वेब अनुप्रयोगों की सुरक्षा में सुधार पर केंद्रित है।
संगठन विभिन्न सुरक्षा संगठनों के डेटा के आधार पर शीर्ष वेब सुरक्षा भेद्यता की एक सूची प्रकाशित करता है।
सॉफ्टवेयर पर शोषण, पहचान और प्रभाव के आधार पर वेब सुरक्षा कमजोरियों को प्राथमिकता दी जाती है।
- शोषण -
सुरक्षा भेद्यता के दोहन के लिए क्या आवश्यक है? सबसे ज्यादा शोषण तब होता है जब हमले के लिए केवल वेब ब्राउजर की जरूरत होती है और सबसे कम उन्नत प्रोग्रामिंग और टूल्स की।
- पता लगाने की क्षमता -
खतरे का पता लगाना कितना आसान है? URL, फॉर्म या त्रुटि संदेश और सबसे कम स्रोत कोड पर प्रदर्शित होने वाली जानकारी सबसे अधिक है।
- प्रभाव या नुकसान -
सुरक्षा भेद्यता उजागर या हमला होने पर कितना नुकसान होगा? सबसे ज्यादा पूरा सिस्टम क्रैश और सबसे कम कुछ नहीं।
OWASP Top 10 का मुख्य उद्देश्य सबसे महत्वपूर्ण सुरक्षा कमजोरियों के बारे में डेवलपर्स, डिजाइनरों, प्रबंधकों, वास्तुकारों और संगठनों को शिक्षित करना है।
OWASP शीर्ष 10 के अनुसार शीर्ष 10 सुरक्षा कमजोरियां हैं:
- एसक्यूएल इंजेक्षन
- क्रॉस साइट स्क्रिप्टिंग
- टूटा प्रमाणीकरण और सत्र प्रबंधन
- असुरक्षित प्रत्यक्ष वस्तु संदर्भ
- क्रॉस साइट अनुरोध जालसाजी
- सुरक्षा गलतफहमी
- असुरक्षित क्रिप्टोग्राफिक भंडारण
- URL पहुँच को प्रतिबंधित करने में विफलता
- अपर्याप्त परिवहन परत संरक्षण
- अनवीक्षित पुनर्निर्देश और आगे
एसक्यूएल इंजेक्षन
विवरण
इंजेक्शन एक सुरक्षा भेद्यता है जो एक हमलावर को उपयोगकर्ता द्वारा दिए गए डेटा में हेरफेर करके एसक्यूएल बयानों को बदलने की अनुमति देता है।
इंजेक्शन तब होता है जब उपयोगकर्ता इनपुट कमांड या क्वेरी के भाग के रूप में एक दुभाषिया को भेजा जाता है और दुभाषिया को अनपेक्षित कमांड को निष्पादित करने के लिए ट्रिक करता है और अनधिकृत डेटा तक पहुंच प्रदान करता है।
SQL कमांड जिसे वेब एप्लिकेशन द्वारा निष्पादित किया जाता है, बैक-एंड डेटाबेस को भी उजागर कर सकता है।
निहितार्थ
- एक हमलावर दुर्भावनापूर्ण सामग्री को कमजोर क्षेत्रों में इंजेक्ट कर सकता है।
- डेटाबेस से उपयोगकर्ता नाम, पासवर्ड आदि जैसे संवेदनशील डेटा को पढ़ा जा सकता है।
- डेटाबेस डेटा को संशोधित (सम्मिलित / अद्यतन / हटाएं) किया जा सकता है।
- डेटाबेस पर प्रशासन संचालन निष्पादित किया जा सकता है
कमजोर वस्तु
- इनपुट फील्ड्स
- डेटाबेस के साथ सहभागिता करने वाले URL।
उदाहरण:
- लॉगिन पेज पर एसक्यूएल इंजेक्शन
वैध क्रेडेंशियल्स के बिना एक आवेदन में प्रवेश करना।
मान्य उपयोगकर्ता नाम उपलब्ध है, और पासवर्ड उपलब्ध नहीं है।
परीक्षण URL: http://demo.testfire.net/default.aspx
उपयोगकर्ता नाम: sjones
पासवर्ड: 1 = 1 'या पास123
SQL क्वेरी बनाई और नीचे के रूप में दुभाषिया को भेजी गई
उपयोगकर्ता से चयन करें * जहां उपयोगकर्ता उपयोगकर्ता नाम = sjones और पासवर्ड = 1 = 1 'या pass123;
सिफारिशों
- व्हाइट इनपुट क्षेत्रों को सूचीबद्ध करता है
- विस्तृत त्रुटि संदेश प्रदर्शित करने से बचें जो एक हमलावर के लिए उपयोगी हैं।
क्रॉस साइट स्क्रिप्टिंग
विवरण
क्रॉस साइट स्क्रिप्टिंग को जल्द ही एक्सएसएस के रूप में भी जाना जाता है।
XSS भेद्यता एक पृष्ठ पर एम्बेडेड स्क्रिप्ट्स को लक्षित करती है जो क्लाइंट साइड यानी उपयोगकर्ता ब्राउज़र पर और फिर सर्वर साइड पर निष्पादित की जाती हैं। ये खामियां तब हो सकती हैं जब एप्लिकेशन अविश्वसनीय डेटा लेता है और उचित सत्यापन के बिना इसे वेब ब्राउज़र को भेजता है।
हमलावर इस मामले में पीड़ित ब्राउज़रों पर उपयोगकर्ताओं पर दुर्भावनापूर्ण स्क्रिप्ट निष्पादित करने के लिए XSS का उपयोग कर सकते हैं। चूंकि ब्राउज़र यह नहीं जान सकता है कि स्क्रिप्ट भरोसेमंद है या नहीं, स्क्रिप्ट निष्पादित की जाएगी, और हमलावर सत्र कुकीज़ को अपहृत कर सकता है, वेबसाइटों को हटा सकता है, या उपयोगकर्ता को अवांछित और दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित कर सकता है।
XSS एक हमला है जो हमलावर को पीड़ित के ब्राउज़र पर स्क्रिप्ट को निष्पादित करने की अनुमति देता है।
प्रभाव:
- इस सुरक्षा भेद्यता का उपयोग करते हुए, एक हमलावर स्क्रिप्ट को एप्लिकेशन में इंजेक्ट कर सकता है, सत्र कुकीज़, दोष वेबसाइटों को चुरा सकता है, और पीड़ित की मशीनों पर मैलवेयर चला सकता है।
कमजोर वस्तु
- इनपुट फील्ड्स
- यूआरएल
उदाहरण
1. http://www.vulnerablesite.com/home?" < script > alert(" xss") < /script >
ब्राउज़र पर चलने पर उपरोक्त स्क्रिप्ट, एक संदेश बॉक्स प्रदर्शित किया जाएगा यदि साइट XSS के लिए असुरक्षित है।
अधिक गंभीर हमला किया जा सकता है यदि हमलावर सत्र कुकी को प्रदर्शित या संग्रहीत करना चाहता है।
2. http://demo.testfire.net/search.aspx?txtSearch
जब उपर्युक्त स्क्रिप्ट चलती है, तो ब्राउज़र http://google.com की ओर इशारा करते हुए एक अदृश्य फ्रेम लोड करेगा ।
ब्राउज़र पर दुर्भावनापूर्ण स्क्रिप्ट चलाकर हमले को गंभीर बनाया जा सकता है।
सिफारिशों
- व्हाइट लिस्टिंग इनपुट क्षेत्र
- इनपुट आउटपुट एन्कोडिंग
टूटा प्रमाणीकरण और सत्र प्रबंधन
विवरण
वेबसाइटें आमतौर पर प्रत्येक वैध सत्र के लिए एक सत्र कुकी और सत्र आईडी बनाती हैं, और इन कुकीज़ में उपयोगकर्ता नाम, पासवर्ड, आदि जैसे संवेदनशील डेटा होते हैं। सत्र समाप्त होने पर या तो लॉगआउट या ब्राउज़र अचानक बंद हो जाता है, इन कुकीज़ को प्रत्येक सत्र के लिए अमान्य कर दिया जाना चाहिए। एक नया कुकी होना चाहिए।
यदि कुकीज़ अमान्य नहीं हैं, तो सिस्टम में संवेदनशील डेटा मौजूद होगा। उदाहरण के लिए, एक सार्वजनिक कंप्यूटर (साइबर कैफे) का उपयोग करने वाला उपयोगकर्ता, कमजोर साइट की कुकीज़ सिस्टम पर बैठता है और एक हमलावर के संपर्क में आता है। एक हमलावर कुछ समय बाद उसी सार्वजनिक कंप्यूटर का उपयोग करता है, संवेदनशील डेटा से समझौता किया जाता है।
उसी तरीके से, एक उपयोगकर्ता जो सार्वजनिक कंप्यूटर का उपयोग कर रहा है, लॉग ऑफ करने के बजाय, वह ब्राउज़र को अचानक बंद कर देता है। एक हमलावर उसी प्रणाली का उपयोग करता है, जब उसी असुरक्षित साइट को ब्राउज़ करता है, तो पीड़ित का पिछला सत्र खोला जाएगा। हमलावर प्रोफ़ाइल जानकारी, क्रेडिट कार्ड की जानकारी आदि चोरी करने से जो कुछ भी करना चाहता है वह कर सकता है।
प्रमाणीकरण और सत्र प्रबंधन की ताकत का पता लगाने के लिए एक जांच की जानी चाहिए। कुंजी, सत्र टोकन, कुकीज़ को पासवर्ड से समझौता किए बिना ठीक से लागू किया जाना चाहिए।
कमजोर वस्तु
- URL पर दिखाई गई सत्र आईडी से सत्र निर्धारण का हमला हो सकता है।
- लॉगआउट और लॉगिन के पहले और बाद में सत्र आईडी।
- सत्र टाइमआउट को सही तरीके से लागू नहीं किया गया है।
- आवेदन प्रत्येक नए सत्र के लिए एक ही सत्र आईडी प्रदान कर रहा है।
- आवेदन के प्रमाणित हिस्सों को एसएसएल का उपयोग करके संरक्षित किया जाता है और पासवर्ड को हैशेड या एन्क्रिप्टेड प्रारूप में संग्रहीत किया जाता है।
- सत्र को कम विशेषाधिकार प्राप्त उपयोगकर्ता द्वारा पुन: उपयोग किया जा सकता है।
निहितार्थ
- इस भेद्यता का उपयोग करते हुए, एक हमलावर एक सत्र को हाईजैक कर सकता है, सिस्टम में अनधिकृत पहुंच प्राप्त कर सकता है जो अनधिकृत जानकारी के प्रकटीकरण और संशोधन की अनुमति देता है।
- सत्र XSS का उपयोग करके चुराए गए कुकीज़ या सत्र का उपयोग करके उच्च जैक किया जा सकता है।
उदाहरण
- एयरलाइन आरक्षण एप्लिकेशन URL पुनर्लेखन का समर्थन करता है, URL में सत्र आईडी डालता है:
http://Examples.com/sale/saleitems=jsessionid=2P0OC2oJM0DPXSNQPLME34SERTBG/dest=Maldives (मालदीव के लिए टिकटों की बिक्री)
साइट का एक प्रमाणित उपयोगकर्ता अपने दोस्तों को बिक्री के बारे में बताना चाहता है और एक ईमेल भेजता है। मित्र सत्र आईडी प्राप्त करते हैं और इसका उपयोग अनधिकृत संशोधनों को करने या सहेजे गए क्रेडिट कार्ड के विवरण का दुरुपयोग करने के लिए किया जा सकता है।
- एक आवेदन XSS के लिए असुरक्षित है, जिसके द्वारा एक हमलावर सत्र आईडी तक पहुंच सकता है और सत्र का अपहरण करने के लिए इस्तेमाल किया जा सकता है।
- एप्लिकेशन टाइमआउट ठीक से सेट नहीं किए गए हैं। उपयोगकर्ता एक सार्वजनिक कंप्यूटर का उपयोग करता है और लॉग ऑफ करने के बजाय ब्राउज़र को बंद कर देता है और दूर चला जाता है। हमलावर कुछ समय बाद उसी ब्राउज़र का उपयोग करता है, और सत्र प्रमाणित होता है।
सिफारिशों
- सभी प्रमाणीकरण और सत्र प्रबंधन आवश्यकताओं को OWASP एप्लिकेशन सुरक्षा सत्यापन मानक के अनुसार परिभाषित किया जाना चाहिए।
- URL या लॉग में किसी भी क्रेडेंशियल्स को उजागर न करें।
- XSS दोषों से बचने के लिए भी मजबूत प्रयास किए जाने चाहिए, जिनका उपयोग सत्र आईडी चोरी करने के लिए किया जा सकता है।
असुरक्षित प्रत्यक्ष वस्तु संदर्भ
विवरण
यह तब होता है जब कोई डेवलपर आंतरिक कार्यान्वयन ऑब्जेक्ट, जैसे फ़ाइल, निर्देशिका या डेटाबेस कुंजी URL में या फ़ोरम पैरामीटर के रूप में संदर्भित करता है। हमलावर इस जानकारी का उपयोग अन्य वस्तुओं तक पहुंचने के लिए कर सकता है और अनधिकृत डेटा तक पहुंचने के लिए भविष्य में हमला कर सकता है।
निहितार्थ
- इस भेद्यता का उपयोग करते हुए, एक हमलावर अनधिकृत आंतरिक वस्तुओं तक पहुंच प्राप्त कर सकता है, डेटा को संशोधित कर सकता है या एप्लिकेशन को समझौता कर सकता है।
कमजोर वस्तु
- URL में।
उदाहरण:
निम्नलिखित URL में "userid" बदलने से अन्य उपयोगकर्ता की जानकारी देखने के लिए एक हमलावर बन सकता है।
http://www.vulnerablesite.com/userid=123 को संशोधित http://www.vulnerablesite.com/userid=124
उपयोगकर्ता आईडी मान बदलकर एक हमलावर दूसरों की जानकारी देख सकता है।
सिफारिशें:
- एक्सेस कंट्रोल चेक लागू करें।
- URL में ऑब्जेक्ट संदर्भ को उजागर करने से बचें।
- सभी संदर्भ वस्तुओं को प्राधिकरण सत्यापित करें।
क्रॉस साइट अनुरोध जालसाजी
विवरण
क्रॉस साइट अनुरोध फोर्जरी एक जाली अनुरोध है जो क्रॉस साइट से आया है।
CSRF हमला एक हमला है जो तब होता है जब कोई दुर्भावनापूर्ण वेबसाइट, ईमेल या प्रोग्राम किसी उपयोगकर्ता के ब्राउज़र को किसी विश्वसनीय साइट पर अवांछित कार्रवाई करने का कारण बनता है जिसके लिए उपयोगकर्ता वर्तमान में प्रमाणित होता है।
CSRF हमला एक लॉग-ऑन पीड़ित के ब्राउज़र को एक जाली वेब अनुप्रयोग के लिए, पीड़ित के सत्र कुकी और किसी भी अन्य स्वचालित रूप से प्रमाणीकरण जानकारी सहित, एक जाली HTTP अनुरोध भेजने के लिए मजबूर करता है।
जब उपयोगकर्ता मूल वेबसाइट में लॉग इन करता है तो URL पर क्लिक करने पर पीड़ित को हमलावर द्वारा एक लिंक भेजा जाएगा, डेटा वेबसाइट से चोरी हो जाएगा।
निहितार्थ
- एक हमलावर के रूप में इस भेद्यता का उपयोग करना उपयोगकर्ता प्रोफ़ाइल जानकारी को बदल सकता है, स्थिति बदल सकता है, व्यवस्थापक की ओर से एक नया उपयोगकर्ता बना सकता है, आदि।
कमजोर वस्तु
- उपयोगकर्ता प्रोफ़ाइल पृष्ठ
- उपयोगकर्ता खाता प्रपत्र
- व्यापार लेनदेन पृष्ठ
उदाहरण
पीड़ित को वैध क्रेडेंशियल्स का उपयोग करके बैंक की वेबसाइट पर लॉग इन किया जाता है। उन्हें हमलावर से मेल प्राप्त होता है, जिसमें कहा गया है "कृपया यहां क्लिक करें $ 1 को दान करने का कारण।"
जब पीड़ित उस पर क्लिक करता है, तो एक विशेष खाते में $ 1 दान करने के लिए एक वैध अनुरोध बनाया जाएगा।
http://www.vulnerablebank.com/transfer.do?account=cause&amount=1
हमलावर इस अनुरोध को पकड़ता है और अनुरोध के नीचे बनाता है और "I समर्थन कारण" कहते हुए एक बटन एम्बेड करता है।
http://www.vulnerablebank.com/transfer.do?account=Attacker&amount=1000
चूंकि सत्र प्रमाणित है और अनुरोध बैंक की वेबसाइट के माध्यम से आ रहा है, इसलिए सर्वर हमलावर को $ 1000 डॉलर हस्तांतरित करेगा।
सिफ़ारिश करना
- संवेदनशील क्रियाएं करते समय उपयोगकर्ता की उपस्थिति को अनिवार्य करें।
- कैप्चा, री-ऑथेंटिकेशन, और यूनिक रिक्वेस्ट कैम जैसे तंत्र को लागू करें।
सुरक्षा गलतफहमी
विवरण
सुरक्षा कॉन्फ़िगरेशन को एप्लिकेशन, फ्रेमवर्क, एप्लिकेशन सर्वर, वेब सर्वर, डेटाबेस सर्वर और प्लेटफॉर्म के लिए परिभाषित और तैनात किया जाना चाहिए। यदि ये ठीक से कॉन्फ़िगर किए गए हैं, तो एक हमलावर के पास संवेदनशील डेटा या कार्यक्षमता तक अनधिकृत पहुंच हो सकती है।
कभी-कभी इस तरह की खामियों के परिणामस्वरूप संपूर्ण प्रणाली समझौता हो जाती है। सॉफ्टवेयर को अपडेट रखना भी अच्छी सुरक्षा है।
निहितार्थ
- इस भेद्यता का उपयोग करते हुए, हमलावर अंतर्निहित प्रौद्योगिकी और अनुप्रयोग सर्वर संस्करण जानकारी, डेटाबेस जानकारी और अनुप्रयोग के बारे में जानकारी प्राप्त करने के लिए कुछ और हमले माउंट कर सकता है।
कमजोर वस्तु
- यूआरएल
- फॉर्म फील्ड्स
- इनपुट फ़ील्ड
उदाहरण
- एप्लिकेशन सर्वर व्यवस्थापक कंसोल स्वचालित रूप से स्थापित है और हटाया नहीं गया है। डिफ़ॉल्ट खाते नहीं बदले गए हैं। हमलावर डिफ़ॉल्ट पासवर्ड के साथ लॉग इन कर सकता है और अनधिकृत पहुंच प्राप्त कर सकता है।
- निर्देशिका लिस्टिंग आपके सर्वर पर अक्षम नहीं है। हमलावर को पता चलता है और किसी भी फ़ाइल को खोजने के लिए बस निर्देशिकाओं को सूचीबद्ध कर सकता है।
सिफारिशों
- एक मजबूत अनुप्रयोग वास्तुकला जो घटकों के बीच अच्छा अलगाव और सुरक्षा प्रदान करता है।
- डिफ़ॉल्ट उपयोगकर्ता नाम और पासवर्ड बदलें।
- निर्देशिका लिस्टिंग को अक्षम करें और अभिगम नियंत्रण जांचों को लागू करें
असुरक्षित क्रिप्टोग्राफिक भंडारण
विवरण
असुरक्षित क्रिप्टोग्राफ़िक भंडारण एक सामान्य भेद्यता है जो तब मौजूद होती है जब संवेदनशील डेटा सुरक्षित रूप से संग्रहीत नहीं होता है।
उपयोगकर्ता क्रेडेंशियल्स, प्रोफ़ाइल जानकारी, स्वास्थ्य विवरण, क्रेडिट कार्ड की जानकारी, आदि एक वेबसाइट पर संवेदनशील डेटा जानकारी के अंतर्गत आते हैं।
यह डेटा एप्लिकेशन डेटाबेस पर संग्रहीत किया जाएगा। जब यह डेटा एन्क्रिप्शन या हैशिंग * का उपयोग करके अनुचित तरीके से संग्रहीत किया जाता है, तो यह हमलावरों के लिए असुरक्षित होगा।
(* हैशिंग स्ट्रिंग वर्णों को निश्चित लंबाई या कुंजी के छोटे तारों में बदल देता है। स्ट्रिंग को डिक्रिप्ट करने के लिए, कुंजी बनाने के लिए उपयोग किया जाने वाला एल्गोरिदम उपलब्ध होना चाहिए)
निहितार्थ
- इस भेद्यता का उपयोग करके, एक हमलावर चोरी, क्रेडिट कार्ड धोखाधड़ी या अन्य अपराधों का संचालन करने के लिए ऐसे कमजोर संरक्षित डेटा को चुरा सकता है।
कमजोर वस्तु
- अनुप्रयोग डेटाबेस।
उदाहरण
बैंकिंग एप्लिकेशन में से एक में, पासवर्ड डेटाबेस सभी के पासवर्ड को स्टोर करने के लिए अनसाल्टेड हैश * का उपयोग करता है। एक SQL इंजेक्शन दोष हमलावर को पासवर्ड फ़ाइल को पुनः प्राप्त करने की अनुमति देता है। सभी अनसाल्टेड हैश को कुछ ही समय में मजबूर किया जा सकता है, जबकि नमकीन पासवर्ड को हजारों साल लगेंगे।
(* अनसाल्टेड हैश - नमक एक रैंडम डेटा है जो मूल डेटा से जुड़ा है। नमक को हैशिंग से पहले पासवर्ड में जोड़ा जाता है)
सिफारिशों
- उचित मजबूत मानक एल्गोरिदम सुनिश्चित करें। स्वयं क्रिप्टोग्राफ़िक एल्गोरिदम न बनाएं। केवल एईएस, आरएसए सार्वजनिक कुंजी क्रिप्टोग्राफी, और SHA-256, आदि जैसे अनुमोदित सार्वजनिक एल्गोरिदम का उपयोग करें।
- सुनिश्चित करें कि ऑफसाइट बैकअप एन्क्रिप्टेड हैं, लेकिन कुंजियों को प्रबंधित किया जाता है और अलग से बैकअप दिया जाता है।
URL पहुँच को प्रतिबंधित करने में विफलता
विवरण
वेब एप्लिकेशन संरक्षित लिंक और बटन रेंडर करने से पहले URL एक्सेस अधिकारों की जांच करते हैं। जब भी ये पृष्ठ एक्सेस किए जाते हैं, तब एप्लिकेशन को समान पहुंच नियंत्रण जांच करने की आवश्यकता होती है।
अधिकांश अनुप्रयोगों में, विशेषाधिकार प्राप्त उपयोगकर्ताओं को विशेषाधिकार प्राप्त पृष्ठ, स्थान और संसाधन प्रस्तुत नहीं किए जाते हैं।
एक बुद्धिमान अनुमान से, एक हमलावर विशेषाधिकार पृष्ठों तक पहुंच सकता है। एक हमलावर संवेदनशील पृष्ठों तक पहुंच सकता है, फ़ंक्शन को लागू कर सकता है और गोपनीय जानकारी देख सकता है।
निहितार्थ
- इस भेद्यता हमलावर के उपयोग से अनधिकृत URL तक पहुँच प्राप्त की जा सकती है, बिना आवेदन में प्रवेश किए और भेद्यता का फायदा उठाए। एक हमलावर संवेदनशील पृष्ठों तक पहुंच सकता है, फ़ंक्शन को लागू कर सकता है और गोपनीय जानकारी देख सकता है।
कमजोर वस्तुओं:
- यूआरएल
उदाहरण
- हमलावर नोटिस URL को "/ उपयोगकर्ता / getaccounts" के रूप में दर्शाता है। वह "/ व्यवस्थापक / getaccounts" के रूप में संशोधित करता है।
- एक हमलावर URL में भूमिका को जोड़ सकता है।
http://www.vulnerablsite.com को http://www.vulnerablesite.com/admin के रूप में संशोधित किया जा सकता है
सिफारिशों
- मजबूत अभिगम नियंत्रण जांच लागू करें।
- प्रमाणीकरण और प्राधिकरण नीतियां भूमिका आधारित होनी चाहिए।
- अवांछित URL तक पहुँच प्रतिबंधित करें।
अपर्याप्त परिवहन परत संरक्षण
विवरण
उपयोगकर्ता (क्लाइंट) और सर्वर (एप्लिकेशन) के बीच सूचना के आदान-प्रदान से संबंधित है। अनुप्रयोग अक्सर एक नेटवर्क पर प्रमाणीकरण विवरण, क्रेडिट कार्ड की जानकारी और सत्र टोकन जैसी संवेदनशील जानकारी प्रसारित करते हैं।
कमजोर एल्गोरिदम का उपयोग करके या एक्सपायर्ड या अमान्य प्रमाणपत्रों का उपयोग करके या एसएसएल का उपयोग न करने से संचार को अविश्वसनीय उपयोगकर्ताओं के संपर्क में लाया जा सकता है, जो एक वेब एप्लिकेशन से समझौता कर सकते हैं और संवेदनशील जानकारी चुरा सकते हैं।
निहितार्थ
- इस वेब सुरक्षा भेद्यता का उपयोग करते हुए, एक हमलावर वैध उपयोगकर्ता की विश्वसनीयता और आवेदन तक पहुंच प्राप्त कर सकता है।
- क्रेडिट कार्ड की जानकारी चुरा सकते हैं।
कमजोर वस्तु
- नेटवर्क पर भेजा गया डेटा।
सिफारिशों
- सुरक्षित HTTP सक्षम करें और केवल HTTPS पर क्रेडेंशियल ट्रांसफ़र लागू करें।
- सुनिश्चित करें कि आपका प्रमाणपत्र वैध है और समय सीमा समाप्त नहीं है।
उदाहरण:
1. एक एप्लिकेशन एसएसएल का उपयोग नहीं कर रहा है, एक हमलावर केवल नेटवर्क ट्रैफिक की निगरानी करेगा और एक प्रमाणित पीड़ित सत्र कुकी का अवलोकन करेगा। एक हमलावर उस कुकी को चुरा सकता है और मैन-इन-द-मिडिल हमला कर सकता है।
अनवीक्षित पुनर्निर्देश और आगे
विवरण
वेब एप्लिकेशन किसी उद्देश्य के लिए उपयोगकर्ताओं को अन्य पृष्ठों पर पुनर्निर्देशित और अग्रेषित करने के लिए कुछ विधियों का उपयोग करता है।
यदि अन्य पृष्ठों पर पुनर्निर्देशन करते समय कोई उचित मान्यता नहीं है, तो हमलावर इसका उपयोग कर सकते हैं और पीड़ितों को फ़िशिंग या मैलवेयर साइटों पर पुनः निर्देशित कर सकते हैं, या अनधिकृत पृष्ठों तक पहुंचने के लिए आगे का उपयोग कर सकते हैं।
निहितार्थ
- एक हमलावर उपयोगकर्ता को एक URL भेज सकता है जिसमें एक वास्तविक URL होता है जो एन्कोडेड दुर्भावनापूर्ण URL के साथ जोड़ा जाता है। हमलावर भेजे गए URL का वास्तविक हिस्सा देखकर ही कोई उपयोगकर्ता उसे ब्राउज़ कर सकता है और शिकार बन सकता है।
उदाहरण
1. http://www.vulnerablesite.com/login.aspx?redirecturL=ownsite.com
को संशोधित किया गया
http://www.vulnerablesite.com/login.aspx?redirecturL=evilsite.com
सिफारिशों
- बस एप्लिकेशन में रीडायरेक्ट और फॉरवर्ड का उपयोग करने से बचें। यदि उपयोग किया जाता है, तो गंतव्य की गणना में उपयोगकर्ता मापदंडों का उपयोग करना शामिल न करें।
- यदि गंतव्य पैरामीटर से बचा नहीं जा सकता है, तो सुनिश्चित करें कि आपूर्ति मूल्य मान्य है, और उपयोगकर्ता के लिए अधिकृत है।
इस लेख का योगदान प्रशांति एटी द्वारा दिया गया है