SlideShare a Scribd company logo
1 of 21
Безопасность AJAX ,[object Object],Капранов Алексей программист, Рамблер [email_address]
Цель доклада ,[object Object],[object Object],[object Object],[object Object]
Картинка с http://myappsecurity.blogspot.com/
[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Веб надо защищать
Полимеры ,[object Object],[object Object],[object Object]
Новая цель — пользователь ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]
По данным Sokr.Ru: ,[object Object]
Hey, Jacks ,[object Object],[object Object],[object Object],[object Object]
XSS (Cross Site Scripting) ,[object Object],[object Object],[object Object],setTimeout loop + remote reqs JS-код Браузер злодей.com/control.cgi
 
XSS ,[object Object],[object Object],[object Object],[object Object]
CSRF (X Site Request Forgery) ,[object Object],[object Object],[object Object],[object Object],[object Object]
CSRF ,[object Object],[object Object],[object Object],[object Object],[object Object]
CSRF ,[object Object],[object Object],[object Object]
All your cookies are belong to us ,[object Object],[object Object],[object Object],TRACE / HTTP/1.1 Cookies: XHR сервер ИЛИ squid
Фишинг ,[object Object],[object Object],[object Object]
 
Javascript is the new shellcode ,[object Object],[object Object],[object Object]
О чём не рассказано ,[object Object],[object Object],[object Object],[object Object]
Примеры ,[object Object],[object Object]
Вопросы?

More Related Content

What's hot

Под капотом Vulners
Под капотом VulnersПод капотом Vulners
Под капотом VulnersKirill Ermakov
 
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.revisium
 
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...Badoo Development
 
Основные угрозы безопасности веб-сайтов
Основные угрозы безопасности веб-сайтовОсновные угрозы безопасности веб-сайтов
Основные угрозы безопасности веб-сайтовSiteSecure
 
Безопасность Joomla: мифы и реальность
Безопасность Joomla: мифы и реальностьБезопасность Joomla: мифы и реальность
Безопасность Joomla: мифы и реальностьrevisium
 
Выступление Ревизиум на ХостОбзор 2017
Выступление Ревизиум на ХостОбзор 2017Выступление Ревизиум на ХостОбзор 2017
Выступление Ревизиум на ХостОбзор 2017revisium
 
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайтеЯндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайтеrevisium
 
Mythbusters - Web Application Security
Mythbusters - Web Application SecurityMythbusters - Web Application Security
Mythbusters - Web Application SecurityMikhail Shcherbakov
 
Безопасность сайта: мифы и реальность — Петр Волков
Безопасность сайта: мифы и реальность — Петр ВолковБезопасность сайта: мифы и реальность — Петр Волков
Безопасность сайта: мифы и реальность — Петр ВолковYandex
 
Атаки на web-приложения. Основы
Атаки на web-приложения. ОсновыАтаки на web-приложения. Основы
Атаки на web-приложения. ОсновыPositive Hack Days
 
Как обезопасить PBN от взлома? Практические рекомендации
Как обезопасить PBN от взлома? Практические рекомендацииКак обезопасить PBN от взлома? Практические рекомендации
Как обезопасить PBN от взлома? Практические рекомендацииNaZapad
 
Угрозы безопасности, которые будут мешать вам спокойно зарабатывать с сайта -...
Угрозы безопасности, которые будут мешать вам спокойно зарабатывать с сайта -...Угрозы безопасности, которые будут мешать вам спокойно зарабатывать с сайта -...
Угрозы безопасности, которые будут мешать вам спокойно зарабатывать с сайта -...Joomla Secrets
 
Magic Box, или Как пришлось сломать банкоматы, чтобы их спасти
Magic Box, или Как пришлось сломать банкоматы, чтобы их спастиMagic Box, или Как пришлось сломать банкоматы, чтобы их спасти
Magic Box, или Как пришлось сломать банкоматы, чтобы их спастиPositive Hack Days
 
Risspa domxss
Risspa domxssRisspa domxss
Risspa domxssyaevents
 
Андрей Ковалев - Безопасность сайта: мифы и реальность
Андрей Ковалев - Безопасность сайта: мифы и реальностьАндрей Ковалев - Безопасность сайта: мифы и реальность
Андрей Ковалев - Безопасность сайта: мифы и реальностьYandex
 
Вирусы-шифровальщики и фишинг
Вирусы-шифровальщики и фишингВирусы-шифровальщики и фишинг
Вирусы-шифровальщики и фишингSergey Borisov
 
Как и зачем ломают интернет-магазины
Как и зачем ломают интернет-магазины Как и зачем ломают интернет-магазины
Как и зачем ломают интернет-магазины SiteSecure
 
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежногоrevisium
 
Где прячутся мобильные вирусы — Григорий Земсков
Где прячутся мобильные вирусы — Григорий ЗемсковГде прячутся мобильные вирусы — Григорий Земсков
Где прячутся мобильные вирусы — Григорий ЗемсковYandex
 

What's hot (19)

Под капотом Vulners
Под капотом VulnersПод капотом Vulners
Под капотом Vulners
 
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
Почему хакеры выбирают WordPress. WordCamp 2017, Moscow.
 
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимо...
 
Основные угрозы безопасности веб-сайтов
Основные угрозы безопасности веб-сайтовОсновные угрозы безопасности веб-сайтов
Основные угрозы безопасности веб-сайтов
 
Безопасность Joomla: мифы и реальность
Безопасность Joomla: мифы и реальностьБезопасность Joomla: мифы и реальность
Безопасность Joomla: мифы и реальность
 
Выступление Ревизиум на ХостОбзор 2017
Выступление Ревизиум на ХостОбзор 2017Выступление Ревизиум на ХостОбзор 2017
Выступление Ревизиум на ХостОбзор 2017
 
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайтеЯндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
Яндекс.Вебмастерская №3: как найти вирусы и вредоносный код на сайте
 
Mythbusters - Web Application Security
Mythbusters - Web Application SecurityMythbusters - Web Application Security
Mythbusters - Web Application Security
 
Безопасность сайта: мифы и реальность — Петр Волков
Безопасность сайта: мифы и реальность — Петр ВолковБезопасность сайта: мифы и реальность — Петр Волков
Безопасность сайта: мифы и реальность — Петр Волков
 
Атаки на web-приложения. Основы
Атаки на web-приложения. ОсновыАтаки на web-приложения. Основы
Атаки на web-приложения. Основы
 
Как обезопасить PBN от взлома? Практические рекомендации
Как обезопасить PBN от взлома? Практические рекомендацииКак обезопасить PBN от взлома? Практические рекомендации
Как обезопасить PBN от взлома? Практические рекомендации
 
Угрозы безопасности, которые будут мешать вам спокойно зарабатывать с сайта -...
Угрозы безопасности, которые будут мешать вам спокойно зарабатывать с сайта -...Угрозы безопасности, которые будут мешать вам спокойно зарабатывать с сайта -...
Угрозы безопасности, которые будут мешать вам спокойно зарабатывать с сайта -...
 
Magic Box, или Как пришлось сломать банкоматы, чтобы их спасти
Magic Box, или Как пришлось сломать банкоматы, чтобы их спастиMagic Box, или Как пришлось сломать банкоматы, чтобы их спасти
Magic Box, или Как пришлось сломать банкоматы, чтобы их спасти
 
Risspa domxss
Risspa domxssRisspa domxss
Risspa domxss
 
Андрей Ковалев - Безопасность сайта: мифы и реальность
Андрей Ковалев - Безопасность сайта: мифы и реальностьАндрей Ковалев - Безопасность сайта: мифы и реальность
Андрей Ковалев - Безопасность сайта: мифы и реальность
 
Вирусы-шифровальщики и фишинг
Вирусы-шифровальщики и фишингВирусы-шифровальщики и фишинг
Вирусы-шифровальщики и фишинг
 
Как и зачем ломают интернет-магазины
Как и зачем ломают интернет-магазины Как и зачем ломают интернет-магазины
Как и зачем ломают интернет-магазины
 
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
"На Стачку" - Взлом сайта: 5 стадий принятия неизбежного
 
Где прячутся мобильные вирусы — Григорий Земсков
Где прячутся мобильные вирусы — Григорий ЗемсковГде прячутся мобильные вирусы — Григорий Земсков
Где прячутся мобильные вирусы — Григорий Земсков
 

Viewers also liked

PAISAJE URBANO Y RURAL
PAISAJE URBANO Y RURALPAISAJE URBANO Y RURAL
PAISAJE URBANO Y RURALcursocecam07
 
Espacio rural y urbano
Espacio rural y urbanoEspacio rural y urbano
Espacio rural y urbanojahitg
 
GUARDIANES AMBIENTALES
GUARDIANES AMBIENTALESGUARDIANES AMBIENTALES
GUARDIANES AMBIENTALESgueste08abc
 
El Medio Urbano Y Rural
El Medio Urbano Y RuralEl Medio Urbano Y Rural
El Medio Urbano Y Ruralprofericardo
 
Paisajes urbanos y rurales trabajo frete y lemos
Paisajes urbanos y rurales trabajo frete y lemosPaisajes urbanos y rurales trabajo frete y lemos
Paisajes urbanos y rurales trabajo frete y lemosJee-ssii Lemos
 
Rúbrica para evaluar debates en foros y redes sociales
Rúbrica para evaluar debates en foros y redes socialesRúbrica para evaluar debates en foros y redes sociales
Rúbrica para evaluar debates en foros y redes socialesVíctor Marín Navarro
 
ÁREAS URBANAS Y RURALES
ÁREAS URBANAS Y RURALESÁREAS URBANAS Y RURALES
ÁREAS URBANAS Y RURALESadrianjoviero
 
criterios basicos para evaluar un proyecto
criterios basicos para evaluar un proyectocriterios basicos para evaluar un proyecto
criterios basicos para evaluar un proyectonikevildur
 

Viewers also liked (9)

Ambiente Rural Urbano
Ambiente Rural UrbanoAmbiente Rural Urbano
Ambiente Rural Urbano
 
PAISAJE URBANO Y RURAL
PAISAJE URBANO Y RURALPAISAJE URBANO Y RURAL
PAISAJE URBANO Y RURAL
 
Espacio rural y urbano
Espacio rural y urbanoEspacio rural y urbano
Espacio rural y urbano
 
GUARDIANES AMBIENTALES
GUARDIANES AMBIENTALESGUARDIANES AMBIENTALES
GUARDIANES AMBIENTALES
 
El Medio Urbano Y Rural
El Medio Urbano Y RuralEl Medio Urbano Y Rural
El Medio Urbano Y Rural
 
Paisajes urbanos y rurales trabajo frete y lemos
Paisajes urbanos y rurales trabajo frete y lemosPaisajes urbanos y rurales trabajo frete y lemos
Paisajes urbanos y rurales trabajo frete y lemos
 
Rúbrica para evaluar debates en foros y redes sociales
Rúbrica para evaluar debates en foros y redes socialesRúbrica para evaluar debates en foros y redes sociales
Rúbrica para evaluar debates en foros y redes sociales
 
ÁREAS URBANAS Y RURALES
ÁREAS URBANAS Y RURALESÁREAS URBANAS Y RURALES
ÁREAS URBANAS Y RURALES
 
criterios basicos para evaluar un proyecto
criterios basicos para evaluar un proyectocriterios basicos para evaluar un proyecto
criterios basicos para evaluar un proyecto
 

Similar to AJAX Security

Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)defcon_kz
 
Alexei Sintsov - "Between error and vulerability - one step"
Alexei Sintsov - "Between error and vulerability - one step"Alexei Sintsov - "Between error and vulerability - one step"
Alexei Sintsov - "Between error and vulerability - one step"Andrew Mayorov
 
Методы обхода Web Application Firewall
Методы обхода Web Application FirewallМетоды обхода Web Application Firewall
Методы обхода Web Application FirewallDmitry Evteev
 
Periculum est in mora
Periculum est in moraPericulum est in mora
Periculum est in moraFDConf
 
Pt devteev-risspa
Pt devteev-risspaPt devteev-risspa
Pt devteev-risspayaevents
 
Пост-эксплуатация веб-приложений в тестах на проникновение
Пост-эксплуатация веб-приложений в тестах на проникновениеПост-эксплуатация веб-приложений в тестах на проникновение
Пост-эксплуатация веб-приложений в тестах на проникновениеbeched
 
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхАнализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхDmitry Evteev
 
WAF наше все?!
WAF наше все?!WAF наше все?!
WAF наше все?!Dmitry Evteev
 
Эволюция атак на веб приложения (Evolution of web applications attacks)
Эволюция атак на веб приложения (Evolution of web applications attacks)Эволюция атак на веб приложения (Evolution of web applications attacks)
Эволюция атак на веб приложения (Evolution of web applications attacks)c3retc3
 
Безопасность веб-приложений. Так ли опасна виртуальная угроза?
Безопасность веб-приложений.  Так ли опасна виртуальная угроза?Безопасность веб-приложений.  Так ли опасна виртуальная угроза?
Безопасность веб-приложений. Так ли опасна виртуальная угроза?phpdevby
 
Svyatoslav Login
Svyatoslav LoginSvyatoslav Login
Svyatoslav LoginDakiry
 
Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...
Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...
Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...Ontico
 
Введение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийВведение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийDmitry Evteev
 
XSS. Обходы фильтров и защит.
XSS. Обходы фильтров и защит.XSS. Обходы фильтров и защит.
XSS. Обходы фильтров и защит.Дмитрий Бумов
 
Изоморфные приложения и Python - Виталий Глибин, Huntflow
Изоморфные приложения и Python - Виталий Глибин, HuntflowИзоморфные приложения и Python - Виталий Глибин, Huntflow
Изоморфные приложения и Python - Виталий Глибин, Huntflowit-people
 

Similar to AJAX Security (20)

PT MIFI Labxss
PT  MIFI LabxssPT  MIFI Labxss
PT MIFI Labxss
 
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
Безопасный кодинг. Хакеры нас не достанут (Максим “Arrim” Попов)
 
Alexei Sintsov - "Between error and vulerability - one step"
Alexei Sintsov - "Between error and vulerability - one step"Alexei Sintsov - "Between error and vulerability - one step"
Alexei Sintsov - "Between error and vulerability - one step"
 
Методы обхода Web Application Firewall
Методы обхода Web Application FirewallМетоды обхода Web Application Firewall
Методы обхода Web Application Firewall
 
Periculum est in mora
Periculum est in moraPericulum est in mora
Periculum est in mora
 
Periculum est in mora
Periculum est in moraPericulum est in mora
Periculum est in mora
 
Pt devteev-risspa
Pt devteev-risspaPt devteev-risspa
Pt devteev-risspa
 
Пост-эксплуатация веб-приложений в тестах на проникновение
Пост-эксплуатация веб-приложений в тестах на проникновениеПост-эксплуатация веб-приложений в тестах на проникновение
Пост-эксплуатация веб-приложений в тестах на проникновение
 
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условияхАнализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
Анализ защищенности Web-приложений, выявление уязвимостей в реальных условиях
 
WAF наше все?!
WAF наше все?!WAF наше все?!
WAF наше все?!
 
Эволюция атак на веб приложения (Evolution of web applications attacks)
Эволюция атак на веб приложения (Evolution of web applications attacks)Эволюция атак на веб приложения (Evolution of web applications attacks)
Эволюция атак на веб приложения (Evolution of web applications attacks)
 
Безопасность веб-приложений. Так ли опасна виртуальная угроза?
Безопасность веб-приложений.  Так ли опасна виртуальная угроза?Безопасность веб-приложений.  Так ли опасна виртуальная угроза?
Безопасность веб-приложений. Так ли опасна виртуальная угроза?
 
Svyatoslav Login
Svyatoslav LoginSvyatoslav Login
Svyatoslav Login
 
Web Threats
Web ThreatsWeb Threats
Web Threats
 
Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...
Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...
Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...
 
176023
176023176023
176023
 
Введение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложенийВведение в тему безопасности веб-приложений
Введение в тему безопасности веб-приложений
 
XSS. Обходы фильтров и защит.
XSS. Обходы фильтров и защит.XSS. Обходы фильтров и защит.
XSS. Обходы фильтров и защит.
 
Изоморфные приложения и Python - Виталий Глибин, Huntflow
Изоморфные приложения и Python - Виталий Глибин, HuntflowИзоморфные приложения и Python - Виталий Глибин, Huntflow
Изоморфные приложения и Python - Виталий Глибин, Huntflow
 
Yii rit 2010
Yii rit 2010Yii rit 2010
Yii rit 2010
 

AJAX Security