شکاف | امنیت سایت - طراحی سایت - سئو سایت

آشنایی با حملات ارجاع مستقیم ناامن به اشیاء داخلی برنامه یا حملات IDOR عبارت یا اصطلاح ارجاع مستقیم به اشیاء داخلی برنامه یا Direct Object Reference، یک رویکرد در طراحی صفحات وب را توصیف و بیان می‌کند که در آن کلیدهای واقعی و نام‌های موجود، برای شناسایی منابع تحت کنترل برنامه، استفاده می‌شوند. اگر طراح یا برنامه‌نویس وب‌سایت، در برنامه خود یک مقدار متفاوت را به‌اشتباه، برای کلیدها و نام‌ها جایگزین نماید و از طریق آن، برنامه به منابع مختلفی که قصد و تصمیم طراح نیست و یا کاربر مجاز به دسترسی در آن منابع نبوده است، دسترسی پیدا نماید، یک آسیب‌پذیری ارجاع مستقیم ناامن به اشیاء دخلی برنامه صورت می‌پذیرد. به بیان ساده‌تر، این نوع از حملات زمانی رخ می‌دهد که طراح یا برنامه‌نویس، دسترسی ارجاع یک منبع، به Object های داخلی برنامه را باز بگذارد و یا سطح دسترسی‌ها را به‌درستی پیکربندی نکرده باشد. به‌عنوان‌مثال می‌توان به فایل‌ها، دایرکتوری‌ها و یا بانک‌های اطلاعاتی اشاره نمود. زمانی که کنترل دسترسی بر روی یک دایرکتوری یا فایل به‌صورت صحیح پیکربندی نشده باشد، هکر می‌تواند منابع را در جهت استفاده خ...

آشنایی با حملات CSRF یا حملات جعل درخواست فرا وبگاهی با توجه به اینکه، حملات CSRF به‌عنوان یکی از خطرناک‌ترین حملات در امنیت سایت شناخته می‌شود، در این مقاله قصد داریم تا با انواع گوناگون این حملات آشنا شویم. ازآنجایی‌که حملات CSRF مخفف عبارت Cross-Site Request Forgery است و به‌عنوان یکی از شناخته‌شده‌ترین نوع حملات سایت در بین هکرها محسوب می‌شود؛ منابع و مقالات بسیار زیادی در این زمینه ارائه‌شده است و هدف ما از ارائه‌ی این مقاله آشنایی اصولی و پایه‌ای با مفاهیم و انواع این نوع حملات در سطح وب‌سایت‌ها می‌باشد. [caption id="attachment_687" align="aligncenter" width="300"] انواع حملات CSRF[/caption] حملات جعل درخواست فرا وبگاهی یا همان حملات CSRF که گاهی Sea-Surf نیز تلفظ و بیان می‌گردد بانام‌هایی همچون One-Click Attack، Session Riding و یا XSRF نیز شناخته می‌شود. حملات CSRF از یک اعتماد اشتباه به وجود می‌آید. در این اعتماد اشتباه، یک وب‌سایت به کاربر خود و مرورگرش، اعتماد می‌نماید و کاربر، قربانی حملات CSRF می‌گردد. برای درک بهتر این نوع حملات به مثال زیر ...

آشنایی با حملات تزریق یا Injection Attack حملات تزریق در بین هکرها و مهندسان امنیت اطلاعات به‌عنوان شایع‌ترین و رایج‌ترین نوع حملات در بحث امنیت شناخته می‌شود. این‌گونه از حملات به‌عنوان یک نوع تهدید جدید در جوامع امنیتی شناخته نمی‌شود و همیشه از آن به‌عنوان یکی از سرفصل‌های عمومی در دوره‌ها و آموزش‌های امنیتی و تست‌های نفوذ نام برده می‌شود. گروه‌های امنیتی و هکرها به این‌گونه از حملات نگاه ویژه‌ای دارند و از آن به‌عنوان یک نوع حمله‌ی گسترده استفاده می‌نمایند. ضعف‌ها و شکاف‌های امنیتی که باعث حملات تزریق می‌گردد در ماهیت خود دچار مشکل هستند. به عبارت ساده‌تر، ضعف در برنامه‌نویسی و استفاده نادرست از متغیرهای کنترل نشده باعث بروز حملات تزریق می‌گردد. به‌عنوان‌مثال، زمانی که برنامه‌نویس از یک متغیر استفاده نماید و متغیر، بازه‌ی غیرقابل‌کنترلی از مقادیر و ورودی‌ها را بپذیرد، هکر می‌تواند با استفاده از مقداردهی به آن متغیر، تزریق کد را انجام دهد. به‌صورت کلی استفاده از دستورات نامطمئن و غیراصولی در کد نویسی برنامه‌ها، هنگام تفسیر توسط مفسر یا کامپایلر، شکاف امنیتی محسوب می‌شود و این امر باع...

امنیت سایت یا برنامه کاربردی وب و اهمیت آن امنیت سایت را از آنجا شروع می کنیم که در مقاله قبلی درباره تفاوت واژگان وب‌سایت و برنامه‌های کاربردی وب صحبت کردیم، اکنون وقت آن رسیده است که درباره امنیت در وب‌سایت و برنامه‌های کاربردی وب بپردازیم. امروزه کلیه‌ی کسب‌وکارها و فروشگاه‌ها، با توجه به بازخوردهایی که از جامعه دریافت می‌نمایند، سعی بر این دارند تا برای کالا و خدمات خود وب‌سایتی را راه‌اندازی نمایند و محصولات خود را برای درآمد بیشتر و فروش بهتر ارائه دهند. همان‌گونه که در مقاله‌های قبلی با اهمیت امنیت در دنیای امروزه آشنا شدیم. در اینجا می‌خواهیم از اهمیت امنیت در صفحات وب و برنامه‌های کاربردی وب آشنا شویم. [caption id="attachment_541" align="aligncenter" width="300"] امنیت سایت بر اساس استاندارد[/caption] در دنیای امروزه که کسب‌وکارها به سمت‌وسوی آنلاین شدن در فضای مجازی را پیش گرفته‌اند، صفحات وب بستری مناسب و قابل‌اعتماد برای انسان گشته تا بتوانند کالا و خدمات موردنیاز خود را یا ارائه دهند و یا به فروش برسانند. با توجه به تجارت الکترونیکی که از طر...

تست نفوذ را به‌عنوان یک فرآیند بشناسیم تست نفوذ با رویکردی بر ارزیابی امنیت سازمان‌ها و سیستم‌ها می‌تواند به‌عنوان یک بازرسی سامانمند و قانونی، سطح امنیتی را مشخص نماید. در فرایند تست نفوذ، یک گروه متخصص و کارآمد با استفاده از فن‌ها و شگردها، شروع به شبیه‌سازی حمله به سازمان و سیستم‌ها را انجام می‌دهند و در انتها گزارش کاملی را به سازمان‌ها ارائه داده و نحوه اصلاح ضعف‌های امنیتی شبکه و ساختار سازمان را مورد تجزیه‌وتحلیل قرار می‌دهند. این سلسله‌مراتب باید برای سازمان‌ها و سیستم‌ها به‌صورت فرایندی چرخه‌ای همیشه و در بازه‌های زمانی مختلف انجام گیرد تا امنیت را در سازمان برقرار نماید. باید به این نکته توجه داشته باشیم که تست نفوذ یک فرایند است و نباید آن را به‌عنوان یک فعالیت در نظر بگیریم که پس از پایان آن امنیت برقرارشده باشد و دیگر نیازی به تست نفوذ نباشد. بلکه این، یک تفکر اشتباه درباره تست نفوذ است که بخواهیم آن را به‌عنوان یک فعالیت بنامیم و بعد از اتمام کار دیگر آن را انجام ندهیم. تست نفوذ باید برای سازمان‌ها و سیستم‌های مختلف به‌صورت یک فرایند بازه‌ای انجام پذیرد تا امنیت اطمینان ...

امنیت سایبری و گرایش ها در این مقاله قصد داریم تا با مفهومی از تفاوت هکر و تستر نفوذ با هم آشنا شویم. در بحث امنیت سایبری، شاخه‌ها و گونه‌های مختلفی از امنیت وجود دارد که می‌توان به امنیت در زیرساخت‌ها و سخت‌افزارهای شبکه، امنیت در پروتکل‌های ارتباطی، امنیت در رمزنگاری‌ها، امنیت در برنامه‌های اندرویدی و IOS، امنیت در وب‌سرویس‌ها و وب‌سایت‌ها، امنیت در سیستم‌عامل‌ها، امنیت در شبکه‌های بی‌سیم، امنیت در نرم‌افزارها اشاره نمود. اگر بخواهیم به‌صورت دقیق‌تری در هر شاخه از امنیت وارد شویم با دنیای از اطلاعات و مطالب روبه‌رو می‌شویم که نه‌تنها باعث سردرگمی و گیج شدن می‌گردد، بلکه باعث از بین رفتن علاقه برای ادامه راه می‌گردد. در دنیای امنیت اطلاعات همیشه دسته‌ای افراد جامعه وجود دارند که ازنظر سطح فنّاوری، دیدگاه و دانش نسبت به دیگر افراد فراتر هستند و سعی آن‌ها بر نفوذ به سیستم‌ها و فناوری‌های پیشرفته است که در اصطلاح به این گروه از افراد نفوذ گر می‌گوییم. شاید بارها و بارها شنیده باشید که هکر یا به‌اصطلاح نفوذ گر انسان‌هایی با قصد خرابکاری و نابودی هستند که تصمیم بر متلاشی نمودن یک سیستم را ...

امنیت اطلاعات چرا؟ چه چیزی باعث شده که به امنیت نگاه بیشتری داشته باشیم! در دنیای پرهیاهوی شبکه‌های کامپیوتری و سامانه‌های شبکه‌ای، که داده‌هایی با عنوان بیت و بایت جابه‌جا می‌شوند، کاربران و استفاده‌کنندگان از این فضای شبکه‌ای، به‌عنوان پایگاهی مستحکم برای انتقالات و تبادلات خود استفاده می‌کنند. در این تبادلات اطلاعات شخصی و حساس مبادله می‌گردد و کلیه کشورهای دنیا برای محافظت از این داده‌های حساس در تلاش هستند و به دنبال راه‌حل‌هایی برای امنیت اطلاعات در این تبادلات می‌باشند. گروهی دیگر از افراد وجود داشته که قصد بر دستیابی به این اطلاعات(که ممکن است امنیت شخص یا کشور را در معرض خطر قرار دهند) را دارند. بنابراین در این فضای تبادلاتی حساسیت زیادی بر روی امنیت اطلاعات و داده‌ها همیشه بوده و خواهد بود. در اولین روزهایی که کامپیوترها اختراع شدند، گروهی از افراد به دنبال آن بودند که به آن سامانه‌ها نفوذ کنند و حتی‌الامکان از آن‌ها استفاده نمایند. با پیشرفت فنّاوری‌های کامپیوتری، افراد نیز اطلاعات و دانش خود را ارتقا داده‌اند تا بتوانند با این فناوری هماهنگ شده و یک پله از آن جلوتر باشند. «...