شکاف | امنیت سایت - طراحی سایت - سئو سایت

اسکریپت چیست؟ قبل از شروع آشنایی با حملات XSS بگذارید تا با مفهوم اسکریپت آشنا شویم. اسکریپت یا Script در مبانی کامپیوتری و برنامه‌نویسی به دنباله‌ای از دستورالعمل‌های نوشتاری و کدها گفته می‌شود که توسط یک نرم‌افزار خوانده‌شده و سپس تفسیر و در انتها اجرا می‌گردد. زبان‌های اسکریپت نویسی در اصل نمونه‌های کوچکی از زبان‌های مادرشان به‌حساب می‌آیند. اسکریپت‌ها برنامه‌های کوچکی هستند که می‌توان توسط آن‌ها برخی امور و وظایف تکرارشونده و پراستفاده را به‌صورت خودکار انجام داد. درواقع اسکریپت نویسی به کدهایی گفته می‌شود که غالباً تفسیر می‌شوند و نیاز به کامپایل ندارند؛ یعنی درواقع کامپایل آن‌ها در زمان اجرا انجام می‌گردد. [caption id="attachment_616" align="aligncenter" width="300"] انواع حملات XSS[/caption] در زبان‌های برنامه‌نویسی مانند C، هنگامی‌که بخواهیم خروجی یک برنامه را ببینیم، باید ابتدا برنامه را کامپایل نماییم و بعد از نداشتن مشکل در برنامه خروجی نمایش داده می‌شود؛ ولی در زبان‌های اسکریپت نویسی وقتی کدها را اجرا می‌نماییم، از همان خط ابتدایی برنامه شروع ...

آشنایی با حملات تزریق یا Injection Attack حملات تزریق در بین هکرها و مهندسان امنیت اطلاعات به‌عنوان شایع‌ترین و رایج‌ترین نوع حملات در بحث امنیت شناخته می‌شود. این‌گونه از حملات به‌عنوان یک نوع تهدید جدید در جوامع امنیتی شناخته نمی‌شود و همیشه از آن به‌عنوان یکی از سرفصل‌های عمومی در دوره‌ها و آموزش‌های امنیتی و تست‌های نفوذ نام برده می‌شود. گروه‌های امنیتی و هکرها به این‌گونه از حملات نگاه ویژه‌ای دارند و از آن به‌عنوان یک نوع حمله‌ی گسترده استفاده می‌نمایند. ضعف‌ها و شکاف‌های امنیتی که باعث حملات تزریق می‌گردد در ماهیت خود دچار مشکل هستند. به عبارت ساده‌تر، ضعف در برنامه‌نویسی و استفاده نادرست از متغیرهای کنترل نشده باعث بروز حملات تزریق می‌گردد. به‌عنوان‌مثال، زمانی که برنامه‌نویس از یک متغیر استفاده نماید و متغیر، بازه‌ی غیرقابل‌کنترلی از مقادیر و ورودی‌ها را بپذیرد، هکر می‌تواند با استفاده از مقداردهی به آن متغیر، تزریق کد را انجام دهد. به‌صورت کلی استفاده از دستورات نامطمئن و غیراصولی در کد نویسی برنامه‌ها، هنگام تفسیر توسط مفسر یا کامپایلر، شکاف امنیتی محسوب می‌شود و این امر باع...

استاندارد حملات سایت در این مقاله قصد داریم تا شما را با استانداردی برای انجام روند حملات سایت آشنا نماییم و در ادامه کار، این استاندارد روش کاری می‌شود تا بتوانید بر اساس یک متد و روش خاص مراحل یادگیری هک سایت، امنیت سایت و تست نفوذ سایت‌ها را یاد بگیرید. وب‌سایت شکاف با استناد به این متدولوژی و استاندارد بین‌المللی آن، کلیه آموزش‌های خود را از ابتدا تا انتهای با آرمانی برای متخصص شدن شما در برقراری امنیت سایت خودتان همراهی خواهد کرد. در مقاله قبلی که با عنوان -امنیت سایت یا تست نفوذ در برنامه‌های کاربردی وب ، با استفاده از استانداردهای بین‌المللی- معرفی‌شده بود، با استانداردی آشنا شدیم که سازمان ایجادکننده آن OWASP است. [caption id="attachment_613" align="aligncenter" width="300"] انواع حملات سایت[/caption] ده آسیب‌پذیری مهم وب‌سایت‌ها سازمان OWASP با تکیه‌بر بررسی آخرین تهدیدات، خطرات و شکاف‌های امنیتی در وب‌سایت‌ها و برنامه‌های کاربردی وب، یک پروژه بانام OWASP Top Ten دارد که معروف به ده آسیب‌پذیری مهم و حیاتی وب‌سایت‌ها است. پروژه OWASP Top Ten به‌صو...

امنیت سایت یا برنامه کاربردی وب و اهمیت آن امنیت سایت را از آنجا شروع می کنیم که در مقاله قبلی درباره تفاوت واژگان وب‌سایت و برنامه‌های کاربردی وب صحبت کردیم، اکنون وقت آن رسیده است که درباره امنیت در وب‌سایت و برنامه‌های کاربردی وب بپردازیم. امروزه کلیه‌ی کسب‌وکارها و فروشگاه‌ها، با توجه به بازخوردهایی که از جامعه دریافت می‌نمایند، سعی بر این دارند تا برای کالا و خدمات خود وب‌سایتی را راه‌اندازی نمایند و محصولات خود را برای درآمد بیشتر و فروش بهتر ارائه دهند. همان‌گونه که در مقاله‌های قبلی با اهمیت امنیت در دنیای امروزه آشنا شدیم. در اینجا می‌خواهیم از اهمیت امنیت در صفحات وب و برنامه‌های کاربردی وب آشنا شویم. [caption id="attachment_541" align="aligncenter" width="300"] امنیت سایت بر اساس استاندارد[/caption] در دنیای امروزه که کسب‌وکارها به سمت‌وسوی آنلاین شدن در فضای مجازی را پیش گرفته‌اند، صفحات وب بستری مناسب و قابل‌اعتماد برای انسان گشته تا بتوانند کالا و خدمات موردنیاز خود را یا ارائه دهند و یا به فروش برسانند. با توجه به تجارت الکترونیکی که از طر...

وب‌سایت یا برنامه کاربردی وب از زمانی که اینترنت در زندگی روزمره انسان قدم نهاد، همیشه و در همه حال، روند رو به رشدی داشته است. درگذشته نه‌چندان دور، زمانی که صفحات وب وارد عرصه جهانی شدند، پروتکل‌های متفاوتی برای این انتقالات خلق گردیدند. یکی از این پروتکل‌ها، پروتکل انتقال ابرمتن یا HTTP است که اطلاعات را در صفحه جهان‌گستر یا World Wide Web منتشر می‌کند. صفحات وب شامل اطلاعات ثابتی هستند و به‌صورت فایل‌های HTML ذخیره می‌شوند. در این حالت اطلاعات از سمت سرور به سمت کلاینت درحرکت است. این بدین معنی است که وب‌سایت اطلاعات را در اختیار کاربر قرار می‌دهد. در خلال انتقال اطلاعات از سمت سرور به‌سوی کلاینت ارائه‌دهنده سرویس یا همان سرور، هیچ‌گونه اطلاعاتی از کلاینت نداشته و ندارد؛ یعنی کلاینت می‌تواند در هر مکانی قرار داشته باشد و مکان خود را جابه‌جا کند و هیچ‌گونه اختلالی بروی وب‌سایت اولیه نداشته باشد. در مقابل این رفتار، برنامه‌های کاربردی وب یا همان Web Application ها ، اطلاعات را برای کاربر یا گروهی از کاربران به‌صورت خاص پیکربندی و یا فرمت دهی کرده و سپس ارسال می‌نماید. در این حالت و ...

تست نفوذ را به‌عنوان یک فرآیند بشناسیم تست نفوذ با رویکردی بر ارزیابی امنیت سازمان‌ها و سیستم‌ها می‌تواند به‌عنوان یک بازرسی سامانمند و قانونی، سطح امنیتی را مشخص نماید. در فرایند تست نفوذ، یک گروه متخصص و کارآمد با استفاده از فن‌ها و شگردها، شروع به شبیه‌سازی حمله به سازمان و سیستم‌ها را انجام می‌دهند و در انتها گزارش کاملی را به سازمان‌ها ارائه داده و نحوه اصلاح ضعف‌های امنیتی شبکه و ساختار سازمان را مورد تجزیه‌وتحلیل قرار می‌دهند. این سلسله‌مراتب باید برای سازمان‌ها و سیستم‌ها به‌صورت فرایندی چرخه‌ای همیشه و در بازه‌های زمانی مختلف انجام گیرد تا امنیت را در سازمان برقرار نماید. باید به این نکته توجه داشته باشیم که تست نفوذ یک فرایند است و نباید آن را به‌عنوان یک فعالیت در نظر بگیریم که پس از پایان آن امنیت برقرارشده باشد و دیگر نیازی به تست نفوذ نباشد. بلکه این، یک تفکر اشتباه درباره تست نفوذ است که بخواهیم آن را به‌عنوان یک فعالیت بنامیم و بعد از اتمام کار دیگر آن را انجام ندهیم. تست نفوذ باید برای سازمان‌ها و سیستم‌های مختلف به‌صورت یک فرایند بازه‌ای انجام پذیرد تا امنیت اطمینان ...

امنیت سایبری و گرایش ها در این مقاله قصد داریم تا با مفهومی از تفاوت هکر و تستر نفوذ با هم آشنا شویم. در بحث امنیت سایبری، شاخه‌ها و گونه‌های مختلفی از امنیت وجود دارد که می‌توان به امنیت در زیرساخت‌ها و سخت‌افزارهای شبکه، امنیت در پروتکل‌های ارتباطی، امنیت در رمزنگاری‌ها، امنیت در برنامه‌های اندرویدی و IOS، امنیت در وب‌سرویس‌ها و وب‌سایت‌ها، امنیت در سیستم‌عامل‌ها، امنیت در شبکه‌های بی‌سیم، امنیت در نرم‌افزارها اشاره نمود. اگر بخواهیم به‌صورت دقیق‌تری در هر شاخه از امنیت وارد شویم با دنیای از اطلاعات و مطالب روبه‌رو می‌شویم که نه‌تنها باعث سردرگمی و گیج شدن می‌گردد، بلکه باعث از بین رفتن علاقه برای ادامه راه می‌گردد. در دنیای امنیت اطلاعات همیشه دسته‌ای افراد جامعه وجود دارند که ازنظر سطح فنّاوری، دیدگاه و دانش نسبت به دیگر افراد فراتر هستند و سعی آن‌ها بر نفوذ به سیستم‌ها و فناوری‌های پیشرفته است که در اصطلاح به این گروه از افراد نفوذ گر می‌گوییم. شاید بارها و بارها شنیده باشید که هکر یا به‌اصطلاح نفوذ گر انسان‌هایی با قصد خرابکاری و نابودی هستند که تصمیم بر متلاشی نمودن یک سیستم را ...