OWASP TOP 10 प्रोजेक्ट: परिचय

यह ओडब्ल्यूएएसपी टॉप 10 प्रोजेक्ट के बारे में लेखों की एक श्रृंखला से पहली सामग्री है, एक परियोजना जो उत्साही लोगों के लिए एक विचार के रूप में शुरू हुई और वेब अनुप्रयोगों में हमले वैक्टर और कमजोरियों को वर्गीकृत करने के लिए सबसे आधिकारिक स्रोत बन गई।

इस लेख में, हम OWASP टॉप 10 सूची से सभी मुख्य कमजोरियों का संक्षेप में विश्लेषण करेंगे, और यह भी देखेंगे कि सुरक्षित अनुप्रयोगों को विकसित करने के लिए विशिष्ट कमजोरियों के बारे में जानना इतना महत्वपूर्ण क्यों है।

लगभग 10 साल पहले, कुछ बहुत ही चौकस व्यक्ति ने एक नया मंत्र तैयार किया - HTTP नया TCP है। बेशक, इस अर्थ में नहीं कि व्यक्ति ने HTTP को परिवहन स्तर पर रखने का फैसला किया। कोई रास्ता नहीं! यह केवल आधुनिक संचार के लिए है, HTTP प्रोटोकॉल अपने स्तर पर टीसीपी के समान कार्य करता है - आधुनिक अनुप्रयोगों के विशाल बहुमत, जिनमें मोबाइल भी शामिल हैं, HTTP को परिवहन के रूप में उपयोग करते हैं। और HTTP 2.0 के आगमन के साथ, इस स्थिति ने कांस्य और निकट भविष्य में, स्पष्ट रूप से यह नहीं बदलेगा। प्रोटोकॉल वास्तव में सामग्री वितरण मानक बन गया है, और HTTP को अब वेब प्रोटोकॉल के रूप में नहीं देखा जा सकता है।

ऐसा लग सकता है कि HTTP हमेशा अस्तित्व में है, और यह लगभग सच है जब आप समझते हैं कि RFC में पहला आधिकारिक विनिर्देश 1997 में दिखाई दिया था, हालांकि प्रोटोकॉल खुद ही बहुत पहले इस्तेमाल किया जाने लगा था।

यह समझने में काफी समय लग गया कि जैसे ही प्रोटोकॉल लोकप्रिय हो जाएगा, हर कोई इसका उपयोग सामग्री वितरित करने के लिए करना शुरू कर देगा, अक्सर उचित योग्यता के बिना। और परिणाम दुनिया भर में सैकड़ों हजारों कमजोर सिस्टम होंगे और स्थिति को दूर करने के लिए अस्पष्ट संभावनाएं।

विशिष्ट विक्रेताओं के निर्णयों के मामले में, आप हमेशा उसकी सामग्री की ओर रुख कर सकते हैं या सीधे पूछ सकते हैं: "कार्य करने का सबसे अच्छा तरीका क्या है?" - और एक योग्य उत्तर प्राप्त करें, क्योंकि अंत में केवल विक्रेता अपने उत्पाद के लिए जिम्मेदार है। जब अनुप्रयोगों के निर्माण के लिए खुले मानकों और उपकरणों का उपयोग करने की बात आती है, तो सर्वोत्तम प्रथाओं पर जानकारी के एक निष्पक्ष स्रोत की आवश्यकता होती है। ऐसा स्रोत उत्साही हो सकता है, या शायद इस क्षेत्र में पेशेवरों का एक पूरा समुदाय।

ततैया उड़ रही थी

वेब एप्लिकेशन सुरक्षा के क्षेत्र में, OWASP (ओपन वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट) एक ऐसा समुदाय बन गया है। बेशक, OWASP एक गैर-लाभकारी संगठन है जो किसी भी प्रौद्योगिकी कंपनी से संबद्ध नहीं है। यह स्थिति आपको संगठनों, शैक्षिक संस्थानों, सरकारी सेवाओं और यहां तक ​​कि इस मुद्दे में रुचि रखने वाले व्यक्तियों के लिए वेब एप्लिकेशन सुरक्षा तकनीकों के बारे में निष्पक्ष व्यावहारिक जानकारी देने की अनुमति देती है।


तो OWASP वास्तव में क्या कर रहा है? इसकी क्षमता के भीतर, ओडब्ल्यूएएसपी के दो प्रमुख कार्य हैं: प्रलेखन का उत्पादन करना और उपकरण प्रदान करना, और बिल्कुल मुफ्त।
लेखों की इस श्रृंखला में, हम विश्लेषण करेंगे, शायद, सबसे लोकप्रिय सामग्री OWASP TOP 10 परियोजना। यह वेब अनुप्रयोगों के सबसे महत्वपूर्ण और महत्वपूर्ण जोखिमों को सूचीबद्ध करने वाला एक दस्तावेज है। इस सूची में कमजोरियों को शामिल करने का निर्णय दुनिया भर के सूचना सुरक्षा विशेषज्ञों की विशेषज्ञ राय पर आधारित है (जहां इसके बिना), और बड़े पैमाने पर, इन कमजोरियों को समझना सॉफ्टवेयर विकास की संस्कृति को बदलने के लिए पहला कदम है।


यह स्पष्ट रूप से समझना आवश्यक है कि, एक नियम के रूप में, ये सभी भेद्यताएं विशिष्ट प्रोग्रामर की गलतियों या स्वयं प्रोटोकॉल की कमजोरियों पर आधारित नहीं हैं, बल्कि सॉफ्टवेयर डिजाइन की वास्तु संबंधी समस्याओं पर आधारित हैं।

दस घातक मंत्र

कमजोरियों की सूची लगातार अपडेट की जाती है और 2017 के लिए निम्नानुसार है:

• A1: 2017 - इंजेक्शन, उर्फ ​​"कोड इंजेक्शन"

हम सभी प्रकार के इंजेक्शनों के बारे में बात कर रहे हैं: SQL, NoSQL, LDAP - कुछ भी। कोड इंजेक्शन तब संभव हो जाता है जब किसी कमांड या रिक्वेस्ट के हिस्से के रूप में असतत डेटा को दुभाषिया में भेजा जाता है। इस तरह के "दुर्भावनापूर्ण" अनुरोध को सुरक्षित रूप से निष्पादित किया जाता है और अपना नुकसान करता है। 90% मामलों में, जब आप सुनते हैं कि एक निजी डेटाबेस को वेब के माध्यम से एक्सेस किया गया था, यह सिर्फ हमारा A1 है।

• A2: 2017 - गलत प्रमाणीकरण

प्रमाणीकरण और सत्र प्रबंधन के लिए जिम्मेदार अनुप्रयोग कार्यों को अक्सर गलत तरीके से उपयोग किया जाता है, जो पासवर्ड, कुंजियों, सत्र टोकन और यहां तक ​​कि उपयोगकर्ता सत्र को पूरी तरह से बाधित करने की क्षमता के समझौते को मजबूर करता है। जब आप सार्वजनिक वाईफाई में बैठते हैं और अचानक पता चलता है कि सार्वजनिक वेब संसाधनों पर आपकी ओर से कुछ क्रियाएं की जा रही हैं - तो यह A2 है।

• A3: 2017 - संवेदनशील जानकारी का प्रकटीकरण

कई वेब एप्लिकेशन और API गलत तरीके से व्यक्तिगत डेटा जैसे संवेदनशील जानकारी को संग्रहीत और संसाधित कर सकते हैं। हमलावर ऐसी सूचनाओं को चुरा सकते हैं या बदल सकते हैं, जो गंभीर वित्तीय या प्रतिष्ठा के नुकसान का आधार बन सकते हैं। संवेदनशील जानकारी को संचार चैनलों पर संचरण के दौरान ठीक से संग्रहीत और संरक्षित किया जाना चाहिए।

• A4: 2017 - बाहरी एक्सएमएल संस्थाओं का कार्यान्वयन (XXE)

कई पुराने या कुटिल रूप से कॉन्फ़िगर किए गए XML प्रोसेसर XML फ़ाइलों में लिंक से बाहरी डेटा का उपयोग कर सकते हैं। इस तरह के बाहरी डेटा में दुर्भावनापूर्ण कोड हो सकता है जो आपको लक्ष्य मशीन पर लगभग किसी भी बाहरी कोड को निष्पादित करने की अनुमति देगा।

• a5: 2017 - वायलेटेड एक्सेस कंट्रोल

एक्सेस मैट्रिक्स, जो कागज पर इतना अच्छा था, को एक विशिष्ट प्रणाली पर गलत तरीके से आजमाया जा सकता है, ताकि नाजायज उपयोगकर्ता आसानी से साइटों के बंद क्षेत्रों तक पहुंच प्राप्त कर सकें या अपने विवेक पर संसाधनों के अधिकारों को बदलने का अवसर प्राप्त कर सकें।

• ए 6: 2017-सुरक्षा गलतफहमी - कॉन्फ़िगरेशन में त्रुटियां

यहां हम कुछ और वैश्विक चीजों के बारे में बात कर रहे हैं, जैसे कि सर्वर और एप्लिकेशन सॉफ़्टवेयर के समय पर अपडेट की कमी, त्रुटि संदेशों में महत्वपूर्ण जानकारी की उपस्थिति या यहां तक ​​कि HTTP हेडर में। आवेदन लगभग सही हो सकता है, लेकिन अगर वेब सर्वर जिस पर वह चल रहा है, मूल कॉन्फ़िगरेशन के साथ समस्या है, तो सब कुछ बेकार है।

• a7: 2017 - क्रोसाइट स्क्रिप्टिंग (XSS)

XSS तब होता है जब किसी एप्लिकेशन में उचित सत्यापन के बिना अविश्वसनीय डेटा शामिल होता है। उदाहरण के लिए, एक विज्ञापन बैनर के प्रोग्राम कोड में उपयोगकर्ता डेटा, साइट का चेहरा या यहां तक ​​कि पारदर्शी रूप से अन्य साइटों पर पुनर्निर्देशित करने के लिए स्क्रिप्ट हो सकती है।

• ए 8: 2017 - असुरक्षित deserialization

असुरक्षित deserialization आमतौर पर दूरस्थ कोड निष्पादन की ओर जाता है। लब्बोलुआब यह है कि अविश्वासित डेटा आपके एप्लिकेशन के तर्क को नष्ट करते ही नष्ट कर सकता है। हालांकि, पहली नज़र में भेद्यता पर अधिक आकर्षक, हालांकि, सूची में सम्मान का स्थान लेता है।

• a9: 2017 - ज्ञात कमजोरियों वाले घटकों का उपयोग करना

लाइब्रेरी, फ्रेमवर्क, ऑपरेटिंग सिस्टम और सूचना प्रणाली के अन्य घटकों को समय पर अद्यतन करने की आवश्यकता है। अन्यथा, एक पुस्तकालय में एक ज्ञात भेद्यता एक बड़ी सेवा से समझौता कर सकती है जो एक असुरक्षित पुस्तकालय से भी एक फ़ंक्शन का उपयोग करती है।

• ए 10: 2017 - अपर्याप्त लॉगिंग और निगरानी

यहां सब कुछ सरल है - आपने एक अद्भुत प्रणाली का निर्माण किया, लेकिन आप निगरानी उपकरणों को जकड़ना भूल गए। यह एक कनेक्टेड सीमेंस प्रणाली के बारे में भी नहीं है, लेकिन मुख्य सर्वर घटनाओं के सामान्य लॉगिंग के बारे में है। दुर्भाग्य से, यह असामान्य नहीं है जब हैकिंग सिस्टम को हैकिंग के छह महीने बाद देखा जाता है, और वे इस बारे में लॉग से नहीं, बल्कि बाहरी पर्यवेक्षकों से सीखते हैं।

निम्नलिखित लेखों में, हम इन कमजोरियों में से प्रत्येक का अधिक विस्तार से विश्लेषण करना शुरू करेंगे। हम अपने आप को आवश्यक उपकरणों के साथ जोड़ेंगे और देखेंगे कि व्यवहार में इन कमजोरियों को कैसे लागू किया जाता है।

सर्गेई पोलुनिन द्वारा तैयार किया गया।