امنیت php

WAF چیست؟

در حال حاضر بیش از ۷۰ درصد حملات اینترنتی از طریق بستر وب صورت می‌گیرد، برنامه‌های کاربردی تحت وب به عنوان بزرگترین هدف مهاجمین جهت نفوذ به زیرساختهای اطلاعاتی سازمان‌ها تبدیل شده‌اند. با توجه به رشد روزافزون حملات تحت وب و عدم کارایی سیستم‌های تشخیص و جلوگیری از نفوذ محصول جدیدی در عرصه امنیت اطلاعات و ارتباطات با عنوان «فایروال برنامه‌های کاربردی تحت وب» (Web Application Firewall)  به منظور مقابله با این حملات توسعه یافته است.

web application firewall(WAF)یک نرم افزار؛سخت افزار و یا مجموعه ای از قوانین پیاده سازی شده بر روی پروتکل ارتباطی HTTP می باشد. به طور کلی این قوانین جهت جلوگیری از حملات معمول هکر ها به وب سایت ها مثل cross-site scripting (XSS)و یا SQL injection و … می باشد.

با ایجاد چنین قوانینی بر ارتباطات HTTP می توان بسیاری از حملات هکرها را تشخص و مهار کرد و ترافیک را اعتبارسنجی کرد؛ نقش WAF در جلوگیری از حملات Zero Day ( ناشناخته و پتچ نشده) بر روی اسکریپت های تحت وب غیر قابل انکار است!

WAF را به شکلهای مختلف میتوان به اجرا درآورد؛ نوع اول به صورت یک ماژول قابل اضافه شدن به برنامه های موجود در Application Server است، نوع دوم به عنوان یک برنامة مجزا بر روی Application Server اجرا میشود و در نوع سوم به عنوان یک سیستم مستقل بر روی سخت افزار مجزا از سامانة اینترنتی نصب و راه اندازی میشود.

به خواندن ادامه دهید →

وارش ؛ اسکنر آنلاین کد های مخرب php

وارش یک اسکریپت امنیتی می باشد که کلیه فایل های سایت شما را جهت شناسایی کد های مخرب احتمالی اسکن می نماید.
وارش یه معنی باران و ابزاری در دستان شما جهت شناسایی کد های مخرب سایتتان است.

اسکنر امنیتی وارش


اسکنر امنیتی وارش

وارش به دنبال چه می گردد؟

وارش فایل های شما را جهت یافتن PHP Shell, Malware,IFrame و توابع خطرناک و همچنین کد های انکدینگ شده جستجو می نماید.
توجه:این برنامه به هیچ وجه تغییری در فایل های شما به وجود نمی آورد و فقط کد های شما را اسکن می کند و هیچ فایل یا کدی حذف یا ویریش نمی شوند.
این برنامه تمام تلاش خود را جهت شناسایی موارد مشکوک می کند اما به معنی امنیت و تست صد در صد نیست.
زمان اسکن به مواردی همچون حجم و تعداد فایل های PHP دارد؛ برای سایت های بزرگ تر نیاز به مدت زمان اجرای PHP بیشتری است تا با خطا مواجه نشود

توجه: فرمز شدن یک فایل دلیل بر صد در صد مورد داشتن یا مخرب بودن یک فایل نیست؛ بلکه شما پیشنهاد می کند آن را بازبینی کنید تا مشکلی نداشته باشد ؛ پس در صورتی که هیچ آشنایی با کد نویسی و توابع PHP ندارید استفاده از این برنامه برای شما توصیه نمی شود.

دانلود Varesh

این اسکریپت توسط سنترال هاستینگ نوشته شده است و هر گونه استفاده غیر قانونی از آن برای شما عذاب وجدان به همراه خواهد داشت.

فعال کردن SSL وردپرس در سرویس های reverse

وردپرس بدون شک یکی از محبوب ترین سیستم های مدیریت و محتوا می باشد که جایگاه خاص در بین وبمستر ها پیدا کرده است. وردپرس نهایت انعطاف پذیری و سادگی و همچنین امنیت را برای کاربران مهیا می نماید.

برخی از کاربران جهت امنیت هر چه بیشتر اطلاعات مبادله شده در وردپرس از SSL استفاده می کنند. خود وردپرس نیز برخی ویزگی های پیشفرض جهت انطباق پذیری با SSL در آن تعبیه شده که در صورت تشخیص فعال بودن SSL ؛ سایت را با آن هماهنگ می کند.

اما زمانی که از سیستم های reverse p**** xy همچون فایروال کلود پروتکشن استفاده می نمایید ممکن است وردپرس نتواند SSL را تشخیص دهد که این امر منجر به بروز مشکلاتی خواهد شد؛
دلیل این مشکل نیز این است که همچون تصویر زیر کاربرانتان با ارتباط امن SSL به سرور reverse متصل می شوند ولی ارتباط بین این سرور  و سرور شما SSL نیست؛

>> هاست وردپرس

wordpress-ssl

بنابراین وردپرس نمی تواند یک اتصال SSL را تشخیص دهد و ممکن است سایت به صورت کامل لود نشود و مرورگر ها از لود فایل هایی که با آدرس غیر https باشد خودداری می نمایند که این خود یک مشکل می باشد. همچنین در بخش ورود به مدیریت وردپرس نیز ممکن است با خطای  redirect loop مواجه شوید.

به خواندن ادامه دهید →

حملات گسترده DDoS به واسطه جوملا

سیستم مدیریت و محتوا جوملا یکی از محبوب ترین ابزار های راه اندازی سایت ها و پرتال ها می باشد؛اما در عین حال وجود آسیب پذیری هایی مثل SQL Injection و اجازه اجرای کد های مخرب در نسخه های قبلی این سیستم مدیریت و محتوا نشان داد که محبوبیت این سیستم نه صرفه برای کاربران عادی بلکه برای هکر ها نیز به طرز چشمگیری افزایش پیدا کرده است.

در سال 2012 یک حمله سازمان بافته بزرگ DDoS به بانک های آمریکایی آغاز شد؛ این گروه خود را “Izz ad-Din al-Qassam Cyber Fighters” نامید و عملیات گسترده دیداس خود را عملیات”ابابیل” نامید و این عملیات در جواب نمایش تریلر فیلم بحث برانگیزی در خصوص حضرت محمد(ص) بود.

این حملات بین 60 تا 100 گیگابیت در ثانیه انجام شد که باعث ضرر های سنگین مالی و افت سهام بعضی بانک ها شد.

برای راه اندازی چنین حمله سنگینی هکر ها ار یک شبکه بات گستره استفاده کردند اما چیزی که مشخص بود تفاوت این حمله و نوع بات آن با بات های دیگر و قدیمی بود؛در این نوع حمله از یک سرور اصلی به عنوان مرکز کنترل استفاده شد که “itsoknoproblembro” نام گرفت.

این سرور ابزار های مورد نیاز انجام حمله را از طریق باگ های PHP در سرور های مختلف دنیا قرار می داد؛ بدین صورت سرور ها بدون اینکه صاحبان آنها متوجه شوند به عنوان ابزار های قوی( بسیار قوی تر از بات نت پی سی های خانگی) دیداس مورد استفاده قرار می گرفتند که به سرور های نفوذ شده brobot می گفتند.

به خواندن ادامه دهید →

حل مشکل Cannot modify header information

یکی از مشکلات و هشدارهایی (warning) که خیلی ها در php با آن مواجه هستند Warning معروف زیر است :

Warning: Cannot modify header information – headers already sent by (output started at /…………….) in ……….php on line ….

این مشکل اکثرا زمانی رخ می دهد که یک فایل PHP با یونیکد UTF-8  دارای کارکتر های BOM باشد. اما BOM چیست و آیا در یک ویرایشگر ساده قابل نمایش است؟ جهت حل مشکل Cannot modify header information چه کاری باید انجام داد؟

BOM یا Byte Order Mark ترکیبی است از چند نویسه‌ی ویژه که قرارگیری آن در ابتدای یک فایل متنی، نوع کدگذاری نویسه‌های موجود در آن فایل را مشخص می‌کند. BOM بخشی از متن فایل به حساب نمی‌آید و وجود آن تنها برای رفع ابهام از نوع و شیوه‌ی کدگذاری نویسه‌های یک فایلی متنی ضروری است.
با توجه به اینکه سیستم UTF-8 برای رفع مشکل سازگاری یونی‌کد با سیستم ASCII توسعه یافته است، در بیشتر مواقع از درج BOM مخصوص به UTF-8 در ابتدای فایل‌ها خودداری می‌شود. زیرا این علامت می‌تواند باعث ایجاد سردرگمی برای ویرایشگرها و کامپایلرهایی شود که آن را نمی‌شناسند.
عبارت‌های UTF-8 Without BOM، UTF-8 w/o BOM یا به طور ضمنی UTF-8 که در ویرایشگرهای متنی به نمایش درمی‌آیند، نشان‌دهنده‌ی عدم وجود BOM در ابتدای فایل UTF-8 هستند. (منبع)

Bom چیست

Bom چیست

برای حل مشکل فوق در فایل های UTF-8 باید BOM را حذف کرد؛که در اینجا دو روش پیشنهاد می شود؛

به خواندن ادامه دهید →

امنیت در PHP – جلوگیری از SQL Injection

یکی از مباحث مورد علاقه ی هکر ها بحث SQL injection می باشد، در این روش هکر با تزریق کد های SQL به یک فایل php اطلاعات مورد نیاز خود را از دیتابیس به دست می آورد.این اطلاعات ممکن است نام کاربری و کلمات عبور،ایمیل ها و هر اطلاعات مهم دیگر باشد.

SQL-Injection

SQL-Injection

در PHP روش های مختلفی برای اینکار توصیه شده است.اما در این مطلب کوتاه قصد داریم با یک تابع کوچک جلوی این حملات را بگیریم!

از آنجایی که حملات از طریق فرم ها انجام می شود پس باید اطلاعات دریافتی از فرم ها قبل از پردازش و استفاده در برنامه امن شوند!

نمونه زیر یک دریافت فرم  خطرناک است که اطلاعات آن قبل از پردازش ف..تر نشده اند و به راحتی منجر به نفوذ هکر خواهد شد:

$name= $_GET[‘name’];

در اینجا متغییر $name اطلاعات را توسط متود get  دریافت می کند, اما خبری از ایمن سازی و بررسی اطلاعات ارسالی get نیست ! استفاده از این متغییر در دیتابیس جهت جستجو یا ویرایش  یا حتی حذف اشتباه هست!

به خواندن ادامه دهید →