/ Forside / Teknologi / Internet / Sikkerhed / Nyhedsindlæg
Login
Glemt dit kodeord?
Brugernavn

Kodeord


Reklame
Top 10 brugere
Sikkerhed
#NavnPoint
stl_s 37026
arlet 26827
miritdk 20260
o.v.n. 12167
als 8951
refi 8694
tedd 8272
BjarneD 7338
Klaudi 7257
10  molokyle 6481
Test af web/server sikkerhed ?
Fra : 317


Dato : 24-05-02 15:03

Jeg søger guides, links etc. som kan hjælpe en nybegynder (indenfor
sikkerhed) med at teste web servere og programmering for de mest
normale og brugte sikkerhedshuller ?

Jeg skal teste egne systemer, og er ikke interesseret i at hacke, men
de to ting hænger jo sammen :)

Det drejer sig om generel test af sikkerhed på Windows 2000 server og
web (HTML, ASP og MySQL) programmering.

 
 
Alex Holst (24-05-2002)
Kommentar
Fra : Alex Holst


Dato : 24-05-02 15:35

317 <317@post.com> wrote:
> Jeg søger guides, links etc. som kan hjælpe en nybegynder (indenfor
> sikkerhed) med at teste web servere og programmering for de mest
> normale og brugte sikkerhedshuller ?

Der er to problemstillinger. Eet er at du kender den software du bruger,
saetter det korrekt op efter din sikkerhedspolitik og holder den
opdateret. OSS'en indeholder lidt om det:

http://a.area51.dk/sikkerhed/servere

Den anden problemstilling er at sikre kvaliten af software du har
mulighed for at paavirke, f.eks. hjemmeskrevet kode eller hvor
kildekoden er tilgaengelig for dig, som det typisk er tilfaeldet i web
server-side kode.

> Det drejer sig om generel test af sikkerhed på Windows 2000 server og
> web (HTML, ASP og MySQL) programmering.

NT Web Technology Vulnerabilities
http://www.wiretrip.net/rfp/p/doc.asp?id=7&iface=2

Best practices for input validation with Active Server Pages
http://heap.nologin.net/aspsec.html

Advanced SQL injection in SQL Server Applications
http://www.nextgenss.com/papers/advanced_sql_injection.pdf

RFP2101: RFPlutonium to fuel your PHP-Nuke
http://www.wiretrip.net/rfp/p/doc.asp/i2/d60.htm

Cross Site Scripting Info
http://httpd.apache.org/info/css-security/

Secure Programming for Linux and UNIX
http://www.dwheeler.com/secure-programs/

WWW Security FAQ
http://www.w3.org/Security/Faq/

Open Source Security Testing Methodology Manual
http://uk.osstmm.org/osstmm.htm

Alex

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.area51.dk/

Daniel Blankensteine~ (24-05-2002)
Kommentar
Fra : Daniel Blankensteine~


Dato : 24-05-02 15:18

"317" <317@post.com> wrote in message news:c21ae9fa.0205240602.1e6b3f92@posting.google.com...
> Jeg søger guides, links etc. som kan hjælpe en nybegynder (indenfor
> sikkerhed) med at teste web servere og programmering for de mest
> normale og brugte sikkerhedshuller ?
>
> Jeg skal teste egne systemer, og er ikke interesseret i at hacke, men
> de to ting hænger jo sammen :)
>
> Det drejer sig om generel test af sikkerhed på Windows 2000 server og
> web (HTML, ASP og MySQL) programmering.

Jeg kan anbefale et hacker wargame på www.hackerslab.org
Det handler om at finde fejl (exploits) i programmer, som kan give
dig adgang til næste "level". Dog har dette ikke direkte noget med
(HTML, ASP og MySQL) programmering at gøre.

Der kommer også snart en bog om dette emne:
Maximum Network Security By: Chris Jordan

Normalt lærer du at hacke og før du begynder at finde og skrive exploits, men
held og lykke. Se også:
http://www.shmoo.com/phrack/Phrack49/p49-14
http://www.w00w00.org/files/articles/heaptut.txt

mvh
db



Alex Holst (24-05-2002)
Kommentar
Fra : Alex Holst


Dato : 24-05-02 15:50

Daniel Blankensteiner <db@traceroute.dk> wrote:
> "317" <317@post.com> wrote in message news:c21ae9fa.0205240602.1e6b3f92@posting.google.com...
>> Det drejer sig om generel test af sikkerhed på Windows 2000 server og
>> web (HTML, ASP og MySQL) programmering.
>
> Jeg kan anbefale et hacker wargame på www.hackerslab.org

Jeg forstaar ikke denne fokus paa at laere folk hvordan de skriver
exploits, i stedet for at laere dem at skrive sikker kode. De fleste af
de exploits jeg har set, er skrevet af folk der ikke selv kunne skrive
sikker kode, og eet eksempel var saa slemt at det blev et muppets entry.

Hackerslab fremstaar som ret lamt. Hvis man virkeligt oensker kendskab til
udnyttelse af sikkerhedsfejl vil jeg i stedet henlede opmaerksomheden paa:

Bad coded.
http://community.core-sdi.com/~juliano/

Insecure programming by example
http://community.core-sdi.com/~gera/InsecureProgramming/

Men fra det originale indlaeg fremgaar det ikke, at der er adgang til C
koden af de installerede programmer.

> Der kommer også snart en bog om dette emne:
> Maximum Network Security By: Chris Jordan

"Maximum Network Security is a how-to on the writing of intrusion
exploits and designing their security counter measures and operations."

I langt de fleste tilfaelde, er det vigtigere at kunne genkende daarlig
C/Perl/PHP/whatever kode end det er at kunne skrive kode som udnytter
fejlen.

--
I prefer the dark of the night, after midnight and before four-thirty,
when it's more bare, more hollow. http://a.area51.dk/

Daniel Blankensteine~ (26-05-2002)
Kommentar
Fra : Daniel Blankensteine~


Dato : 26-05-02 20:06

"Alex Holst" <a@area51.dk> wrote in message news:slrnaeskob.u3j.a@C-Tower.Area51.DK...
> Daniel Blankensteiner <db@traceroute.dk> wrote:
> > "317" <317@post.com> wrote in message
> > Jeg kan anbefale et hacker wargame på www.hackerslab.org
>
> Jeg forstaar ikke denne fokus paa at laere folk hvordan de skriver
> exploits, i stedet for at laere dem at skrive sikker kode.

Fordi folk der skriver exploits ikke er int i at lære hvordan mand skriver sikker kode, men
personligt synes jeg også sidst nævnte er bedre at lære og mere int.

> Hackerslab fremstaar som ret lamt. Hvis man virkeligt oensker kendskab til
> udnyttelse af sikkerhedsfejl vil jeg i stedet henlede opmaerksomheden paa:

Det fremstår måske lamt, men du lærer en masse.

> Bad coded.
> http://community.core-sdi.com/~juliano/
>
> Insecure programming by example
> http://community.core-sdi.com/~gera/InsecureProgramming/

Ok, dem vil jeg da lige kigge på.

mvh
db



Lasse Reichstein Nie~ (26-05-2002)
Kommentar
Fra : Lasse Reichstein Nie~


Dato : 26-05-02 21:11

"Daniel Blankensteiner" <db@traceroute.dk> writes:

> "Alex Holst" <a@area51.dk> wrote in message news:slrnaeskob.u3j.a@C-Tower.Area51.DK...
> > Hackerslab fremstaar som ret lamt. Hvis man virkeligt oensker kendskab til
> > udnyttelse af sikkerhedsfejl vil jeg i stedet henlede opmaerksomheden paa:
>
> Det fremstår måske lamt, men du lærer en masse.

Jeg tror "en masse" er overdrevet. Jeg lærte da at tage et hint og
søge på google efter et passende exploit, og at der er programmer til
at lave buffer-overflow exploits lettere på Linux.

/L
--
Lasse Reichstein Nielsen - lrn@hotpop.com
'Faith without judgment merely degrades the spirit divine.'

Daniel Blankensteine~ (26-05-2002)
Kommentar
Fra : Daniel Blankensteine~


Dato : 26-05-02 23:12

"Lasse Reichstein Nielsen" <lrn@hotpop.com> wrote in message news:znymis9k.fsf@hotpop.com...
> "Daniel Blankensteiner" <db@traceroute.dk> writes:
> > Det fremstår måske lamt, men du lærer en masse.
>
> Jeg tror "en masse" er overdrevet. Jeg lærte da at tage et hint og
> søge på google efter et passende exploit, og at der er programmer til
> at lave buffer-overflow exploits lettere på Linux.

Du har altså prøvet wargamet?

mvh
db



Daniel Blankensteine~ (26-05-2002)
Kommentar
Fra : Daniel Blankensteine~


Dato : 26-05-02 23:24

"Lasse Reichstein Nielsen" <lrn@hotpop.com> wrote in message news:znymis9k.fsf@hotpop.com...
> > Det fremstår måske lamt, men du lærer en masse.
>
> Jeg tror "en masse" er overdrevet. Jeg lærte da at tage et hint og
> søge på google efter et passende exploit, og at der er programmer til
> at lave buffer-overflow exploits lettere på Linux.

Hvis det er det eneste du har lært er det dig egen skyld. Du skal overhovedet ikke søge efter exploits, det er meningen du skal
finde og skrive dem selv.
Hvis du ikke lærer en masse, må du virkelig være en *næsten* Überhacker, da wargamet
kommer gennem næsten alt inden for "hacking".

mvh
db



Søg
Reklame
Statistik
Spørgsmål : 177549
Tips : 31968
Nyheder : 719565
Indlæg : 6408820
Brugere : 218887

Månedens bedste
Årets bedste
Sidste års bedste