Основные типы уязвимостей web-систем и соответствующие им способы защиты

Аутентификация (Authentication)

- Подбор (Brute Force)

-Недостаточная аутентификация (Insufficient Authentication)

-Небезопасное восстановление паролей (Weak Password -Recovery Validation)

Авторизация (Authorization)

-Предсказуемое значение идентификатора сессии (Credential/Session Prediction)

-Недостаточная авторизация (Insufficient Authorization)

-Отсутствие таймаута сессии (Insufficient Session Expiration)

-Фиксация сессии (Session Fixation)

Атаки на клиентов (Client-side Attacks)

-Подмена содержимого (Content Spoofing)

-Межсайтовое выполнение сценариев (Cross-site Scripting, XSS)

-Расщепление HTTP-запроса (HTTP Response Splitting

Выполнение кода (Command Execution)

-Переполнение буфера (Buffer Overflow)

-Атака на функции форматирования строк (Format String Attack)

-Внедрение операторов LDAP (LDAP Injection)

-Выполнение команд ОС (OS Commanding)

-Внедрение операторов SQL (SQL Injection)

-Внедрение серверных расширений (SSI Injection)

-Внедрение операторов XPath (XPath Injection)

Защита:

XSS Filter

SmartScreen Filter

Data Execution Prevention – функция безопасности, встроенная в семейство операционных систем Windows, которая не позволяет приложению исполнять код из области памяти.

DEP в Internet Explorer 8 помогает избежать атак путем предотвращения запуска кода, размещенного в участке памяти.

\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\\