آشنایی با حملات Web Parameter Tampering

سلام.در این پست ویدیویی قراره با حمله Web Parameter Tampering آشنا بشید.

در اکثر Html Form ها یکسری فیلدهای hidden وجود داره.

عموما این فیلدها وقتی که فرم به سمت سرور submit میشه، کمک می‎کنند که بدانیم چه چیزی را باید در سمت سرور تغییر بدیم.

آسیب پذیری عمده وب‌سایت‌ها اینجاست که هر کسی می‌تواند این فیلدها را در سمت مرورگر دستکاری کنه.

مثلا با تغییر id به موجودیت دیگری (که مجاز نیست) اشاره کند و سپس فرم را submit کنه.

در این صورت اینکه شخص مهاجم، داده‌هایی را دستکاری کند، احتمال این که به داده‌هایی که نباید دسترسی پیدا کند زیاد است.

همچنین بی نظمی و آسفتگی‌هایی در داده‌ها به وجود خواهد آمد که علت شان به سادگی قابل تشخیص نخواهد بود.

به این اتفاق حمله جعل پارامترها گفته می‌شود که متاسفانه بسیاری از سایت‌های ایرانی این مشکل را دارند.

راه حل‌ها:

راه حل اول آن است که بر اساس تمام پارامترهایی که کاربر نباید بتواند دستکاری کند یک مقدار hash تولید کنیم.

برای امنیت بیشتر بهتر است تابع hash، به عنوان پارامتر ورودی، مشخصاتی از session کاربر هم دریافت کند تا این مقدار برای کاربران و session های مختلف، توفیر داشته باشد.

مقدار hash تولید شده را هم به عنوان یک فیلد hidden در فرم قرار می‌دهیم.

سپس وقتی که فرم از سمت کاربر برای سرور submit شد، باید مجددا بر اساس فرمول قبلی (پارامترهای مخفی فرم و session کاربر) مقدار hash را تولید کرده و با مقداری که در فرم قرار داده بودیم مقایسه کنیم.

بدین صورت دستکاری های غیر مجاز را می‌توانیم بی اثر کنیم.

مورد بعدی برای جلوگیری از دستکاری داده‌ها این است که پیش از اعمال هر تغییری که در وضعیت سیستم داده می‌شود باید بررسی کنیم که آیا این تغییر مجاز هست که از سمت این کاربر اعمال شود یا خیر.

برای ورود به بازار کار هک و امنیت بد نیست یه سری به کلوپ امنیت بزنی.

پیشنهاد میکنم برای آگاهی بیشتر این مطلب رو مطالعه کنید.

اگر دوست داشتید می‌تونید اینجا با حمله Directory Traversal آشنا بشید.

“آشنایی با حملات Web Parameter Tampering”