🤴🏿 🎻 🤛🏿 द्रुपल सुरक्षा के 50 शेड 🌩️ 🎧 👨‍👩‍👧‍👧

पासवर्ड हैशिंग के लिए, फ़ॉज़ के एक संशोधित संस्करण का उपयोग किया जाता है , जिससे वे आधिकारिक वेबसाइट पर विस्थापित हो गए हैं। लेकिन वे तंत्र को बदलने की जल्दी में नहीं हैं [# 1845004] ।
वे हैशिंग तंत्र चुनने का विकल्प भी नहीं देना चाहते [# 2939888] ।
हैश दृढ़ता के लिए पुनरावृत्तियों की संख्या 7 से अधिक वर्षों के लिए अद्यतन नहीं की गई है [# 1850638] , हालांकि पुनरावृत्तियों में कम से कम 2 साल [# 1203852] वृद्धि की उम्मीद थी।
PostgreSQL का उपयोग करते समय, पासवर्ड हैश की तुलना असंवेदनशील [# 2475539] से की जाती है ।
PostgreSQL में SSL समर्थन मुद्दे [# 850600] भी हैं ।
PostgreSQL 9.2 का न्यूनतम स्वीकार्य संस्करण, जो लंबे समय से बिना सुरक्षा समर्थन के है [# 2846994] ।
द्रुपल की आधिकारिक सभा में विक्रेता पुस्तकालयों के पुराने संस्करण शामिल हैं (PHP 5.5 के साथ संगतता के कारण)। उनमें से कुछ, उदाहरण के लिए Zend, यहां तक कि कमजोरियों को भी जानते हैं [# 2989631] ।
विधानसभा में परीक्षण के लिए सभी परीक्षण, परीक्षण मॉड्यूल, परीक्षण विषय और विक्रेता पुस्तकालय भी हैं, जो न केवल संग्रह के आकार को बढ़ाता है, बल्कि संभावित अंतराल का क्षेत्र भी है [# 2338671] ।
साइट के बाहर निष्पादन योग्य फ़ाइलों को स्थानांतरित करने का विचार [# 1672986] भी ठप था ।
असुरक्षित HTTP HTTP प्रोटोकॉल [# 1538118] का उपयोग करके GET अनुरोधों का उपयोग करके अद्यतनों की जाँच लागू है। MITM हमले के दौरान, आप मॉड्यूल अभिलेखागार के किसी भी लिंक को हथेली पर रख सकते हैं (डोमेन और हैश मात्रा की जाँच नहीं की जाती है)। आप साइट की संरचना, डेवलपर्स की सूची और उनकी गतिविधि के बारे में जानकारी एकत्र कर सकते हैं (साइटों के स्थानीय संस्करणों से अनुरोध d.org पर खातों के साथ आईपी पर मेल खाएंगे)। HTTP प्रोटोकॉल आपको drupal.org के बाहर जानकारी एकत्र करने के लिए स्क्रिप्ट रखने की अनुमति देता है।
Id = 1 के साथ एक उपयोगकर्ता हमला करने के लिए सबसे स्वादिष्ट वस्तु है, क्योंकि उसके पास साइट पर मौजूद सभी अनुमतियाँ हमेशा होती हैं और उसके पास इन अधिकारों को छीनने के सभी प्रयास भी होते हैं [# 540008] ।
यह व्यवहार पूरी तरह से स्पष्ट नहीं है, क्योंकि नेत्रहीन व्यवस्थापक पैनल में यह उपयोगकर्ता दूसरों से अलग नहीं है। लेकिन इस सुविधा को उजागर करने का प्रयास भी कुछ नहीं [# 572240] में समाप्त हो गया।
कोई भी प्रशासक या अन्य उपयोगकर्ता आवश्यक अधिकारों के साथ इस दिव्य उपयोगकर्ता का नियंत्रण आईडी = 1 [# 39636] के साथ कर सकते हैं ।
कुछ अधिकार निहित रूप से पूरी साइट पर नियंत्रण देते हैं, लेकिन वे किसी भी तरह से बाहर नहीं खड़े होते हैं [# 2846365] , [# 594412] ।
कुछ अधिकार उनके नाम से भी भ्रामक हो सकते हैं। उदाहरण के लिए, लॉग देखने का अधिकार वास्तव में आपको उन्हें हटाने की अनुमति देता है [# 1635646] ।
अनुमतियों में आदेश को बहाल करना लंबे समय से एक जरूरी काम है, लेकिन इसे केवल [# 2628870] , [# 2667018] पर ध्यान नहीं दिया जाता है।
व्यवस्थापक किसी अन्य उपयोगकर्ता द्वारा डाउनलोड की गई फ़ाइल ऑब्जेक्ट को हटा नहीं सकता, चाहे वह कितना भी दुर्भावनापूर्ण हो [# 2949017] ।
हुक hook_file_download सत्यापन के दौरान उपयुक्त नियंत्रक का उपयोग नहीं करता है [# 2148353] ।
क्लाइंट साइड पर फ़ाइलों के सत्यापन के लिए काम नहीं करता है [# 2938441] ।
सभी तरह के रार्जप्‍पी ग्‍लूज़ का जिक्र नहीं करने के लिए मनमानी फ़ाइलों [# 2543590] को लोड करने पर कमजोर जाँच।
कुछ फ़ाइल चेक केवल .htaccess नियम [# 2829048] पर भरोसा करते हैं।
। Hacaccess में पर्याप्त अन्य सुरक्षा नियम हैं जो किसी अन्य वातावरण (विशेषकर नेग्नेक्स) पर स्विच करते समय स्पष्ट रूप से खो जाते हैं, लेकिन इसी तरह के वेब.कॉन्फिग नियमों के कार्यान्वयन को रोक दिया है [# 154339] , [# 2669870] ।
डिफ़ॉल्ट रूप से, Drupal 8 के साथ किसी भी साइट पर, आप एक साधारण POST अनुरोध के साथ छवियां अपलोड कर सकते हैं, जिसमें पंजीकरण फॉर्म और उपयोगकर्ता अवतार फ़ील्ड का नाम शामिल है। यह उल्लेखनीय है कि ड्रुपल 7 में इस तरह के क्षेत्र का आउटपुट डिफ़ॉल्ट रूप से खारिज कर दिया गया था [# 31056] , लेकिन वे दिन खत्म हो गए हैं।
कई बार एक ही नाम वाली फ़ाइल को लोड करते समय, अद्वितीय फ़ाइल नाम [# 264403] बनाने के लिए एल्गोरिथ्म के कार्यान्वयन से संबंधित एक समस्या उत्पन्न होती है।
छवि पता फ़िल्टरिंग भी लंगड़ा है। इसलिए, आप src = '/ user / logout' [# 144538] के साथ उपयोगकर्ताओं को लॉग आउट कर सकते हैं, या src = 'very / hard / page' के साथ सौ चित्रों की एक जोड़ी रखकर DOS हमले को लागू कर सकते हैं।
संसाधनों को खाने का एक अन्य तरीका 1000x1 छवियों को "स्केल और क्रॉप" प्रभाव [# 2931533] , [# 872206] का उपयोग करके संसाधित करने वाले फ़ील्ड में लोड करना है।
आप केवल [[१२४५४2२]] को सॉर्ट करके कचरे के कैश के साथ डेटाबेस को भर सकते हैं, हालांकि कैशिंग प्रणाली पूरी तरह से परिणामों को संग्रहीत करने के लिए सभी संसाधनों को दूर ले जाती है जो खरोंच से भी तेज होगी [# २883838३]] ।
आप साइट को लोड कर सकते हैं और प्रासंगिक लिंक [# 2864933] के विशेष अनुरोधों का उपयोग करके त्रुटि संदेशों के साथ लॉग भर सकते हैं।
संलग्न फ़ाइलों और छवियों तक पहुंच हमेशा होती है, सामग्री की पहुंच की परवाह किए बिना [# 2904842] ।
सामग्री तक टिप्पणियां भी उपलब्ध रहेंगी जब सामग्री तक पहुंच से इनकार कर दिया जाता है [# 1781766] ।
आप यह पता लगा सकते हैं कि क्या आप पासवर्ड रिकवरी [# 1521996] के लिए संदेश द्वारा साइट पर ज़ारेगन का उपयोग कर सकते हैं।
पासवर्ड रीसेट फ़ॉर्म बाढ़ से सुरक्षित नहीं है [# 1681832] ।
पासवर्ड बनाते और चेक करते समय, बिना किसी चेतावनी के, सभी सफेद स्थान वर्ण (" # 1921576] के आसपास" \ t \ n \ r \ 0 \ x0B " हटा दिए जाते हैं । यह उपयोगकर्ता के लिए आश्चर्यचकित हो सकता है, और खोज एल्गोरिथ्म के लिए थोड़ी राहत दे सकता है।
यदि आपके पास जानवर बल के लिए एक पासवर्ड हैश पाने का अवसर नहीं है, लेकिन एक उपयोगकर्ता सत्र है, तो आप खाते के माध्यम से प्रतिबंध के बिना पासवर्ड को स्वयं ही पा सकते हैं, उदाहरण के लिए, मेलबॉक्स [# 2339399] को बदलना ।
वैसे, यदि ऐसा है, तो उपयोगकर्ता को यह भी पता नहीं है कि उसका बॉक्स बदल दिया गया है, क्योंकि इस सुविधा को लागू करने का प्रयास कई वर्षों से बंद है [# 85494] ।
सत्र पीढ़ी एल्गोरिथ्म भी ऐसा है [# 2238561] ।
कुकीज़ उन साइटों के बीच बहती हैं जो सबफ़ोल्डर्स में स्थित हैं [# 2515054] ।
कुछ मामलों में, आप उपयोगकर्ताओं को गलत पासवर्ड प्रविष्टि [# 2449335] के लिए हेरफेर करके ब्लॉक कर सकते हैं।
संपादन टहनी टेम्पलेट्स तक पहुंच आपको साइट [# 2860607] पर असीमित नियंत्रण प्राप्त करने की अनुमति देता है।
ट्विग विशेषताओं [# 2567743] , [# 2552837] , [# 2544110] के माध्यम से XSS हमले को सख्ती से नजरअंदाज किया जाता है ।
आप XSS को सूचना फ़ाइलों में एम्बेड कर सकते हैं। उदाहरण के लिए, विवरण या पैकेज फ़ील्ड के माध्यम से, जो सुविधाओं के माध्यम से शोषण करना दिलचस्प हो सकता है [# 846430] ।
X- XSS- सुरक्षा सुरक्षा हेडर [# 2868150] का उपयोग नहीं किया जाता है।
XSS को प्लेनटेक्स्ट ऑउटपुट क्लास रीरूटिंग विधि के माध्यम से भी धकेला जा सकता है, हालाँकि क्लास का नाम इसके विपरीत [# 2896735] कहता है ।
यह भी आश्चर्य की बात हो सकती है कि कुछ विधियाँ वर्तमान उपयोगकर्ता के एक्सेस अधिकारों की जांच करती हैं और उन्हें कैश करती हैं, न कि उन्हें [# 2628870] , [# 2266809] पर स्थानांतरित किया गया था।
गलत कैश सेटिंग्स के कारण, आप उपयोगकर्ता के लिए अपनी स्वयं की प्रोफ़ाइल [# 2614230] देखना असंभव बना सकते हैं। एक समान चाल दोनों सामग्री [# 2982770] और मीडिया [# 2889855] के साथ कुछ सेटिंग्स के साथ किया जा सकता है।
मटेरियल व्यूज़ के आँकड़ों को ब्राउज़र कंसोल में सामान्य रूप से लूप के माध्यम से आसानी से हेरफेर किया जा सकता है, भले ही आपके पास सामग्री तक पहुँच न हो, भले ही प्रति मिनट हज़ारों व्यू हो। आप अभी तक मौजूदा सामग्रियों [# 2616330] को भी बंद कर सकते हैं।
बाहरी यूआरएल की लंगड़ा मान्यता [# 2691099] , [# 2652236] ।
Breachattack.com [# 2234243] से कोई पूर्ण सुरक्षा नहीं है।
यदि आप सामग्री सुरक्षा नीति को कॉन्फ़िगर करते हैं, तो सामग्री संपादक [# 2789139] बंद हो जाता है।
यह एक शौकिया चयन है, जिसमें कुछ भी दावा नहीं किया गया है। शायद किसी को पता है कि बुरा छेद? 01/30/2019 से 10/15/2020 तक, 89,000.00 € के यूरोपीय संघ के बजट से एक बाउंटी वैध है। आप कुछ ठीक करने की कोशिश कर सकते हैं। लेकिन अगर यह काम नहीं करता है, तो निराशा न करें, इस परियोजना के शिष्टाचार को ड्रुपल को एक स्थान पर रखने के लिए कार्यों के बीच कुशलता से पैंतरेबाज़ी करने के लिए प्रशिक्षित किया जाता है।

द्रुपल सुरक्षा के 50 शेड

More articles: