Сергей Полаженко - Security Testing: SQL Injection
•
2 likes•1,633 views
Доклад на SQA Days-9, Казань, 22-23 апреля 2011
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (20)
Similar to Сергей Полаженко - Security Testing: SQL Injection
Similar to Сергей Полаженко - Security Testing: SQL Injection (20)
More from SQALab
More from SQALab (20)
Сергей Полаженко - Security Testing: SQL Injection
- 1. Security Testing: SQL Injection Сергей Полаженко, SQALab
- 4. Уровни тестирования безопасности • Нормативно-правовой • Организационный • Технический • Физический
- 6. Что такое SQL Injection
- 7. Что такое SQL Injection? (1/2)
- 8. Что такое SQL Injection? (2/2)
- 9. Почему SQL Injection (1/3) SQL Positive Technologies, 2009
- 10. Почему SQL Injection (2/3) SQL Positive Technologies, 2009
- 11. Почему SQL Injection (3/3)
- 13. Как бороться?
- 14. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 15. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 17. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 18. Способы борьбы: дизайн приложения • не хранить секреты в открытом виде • принцип минимальных привилегий • использовать параметрезированные запросы • использовать хранимые процедуры • сообщения об ошибках не должны содержать служебной информации
- 19. Способы борьбы: Фильтры данных
- 20. Способы борьбы: Application Firewall
- 21. Способы борьбы: Application Firewall •
- 22. Способы борьбы: Application Firewall • www.owasp.org/index.php/Web_Application_Firewall • Open Source: – AQTronix - WebKnight – Trustwave SpiderLabs - ModSecurity
- 23. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 24. Способы борьбы: code review • Экспертиза исходных текстов, как метод тестирования безопасности и защищённости программных продуктов • http://software-testing.ru/library/testing/security/109 • http://securitywiki.ru/PraktikaJekspertizaIsxodnyxTekstov ?v=oqu
- 25. Способы борьбы: code review • Patterns && Practices: Code Review • http://msdn.microsoft.com/en-us/library/ff648637.aspx
- 26. Способы борьбы: code review • Проверка входных данных • Не использовать динамический sql (использовать хранимые процедуры и параметризированные запросы) • Минимальные привилегии • Секретные данные (поток данных)
- 27. Способы борьбы: code review • Java EE – использовать PreparedStatement() • .NET – использовать параметризованные запросы при помощи SqlCommand() or OleDbCommand() • PHP – использовать PDO с строго типизированными парамтризованными запросами (использование bindParam()) • SQLite – использовать sqlite3_prepare() • и т.п. • https://www.owasp.org/index.php/SQL_Injection_Prevent ion_Cheat_Sheet
- 28. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 29. Способы борьбы: input validation • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты Проверяйте входные
- 30. Способы борьбы: input validation Портрет типичного пользователя • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты Dr. User Evil
- 31. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 32. Способы борьбы: Continues integration checks • Microsoft FxCop • "CA2100: Review SQL queries for security vulnerabilities“ • Microsoft Source Code Analyzer for SQL Injection • Microsoft Code Analysis Tool for .Net (CAT.NET)
- 33. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 34. Тестирование: метод «черного ящика»
- 35. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 36. Способы борьбы • Профилактика – Обучение – Дизайн приложения – Code review – Input validation – Continues integration checks • Тестирование – Черным ящиком – Белым ящиком – Серым ящиком – Fuzzy – Автоматизированные инструменты
- 37. Способы борьбы • http://sqlmap.sourceforge.net/ • http://www.owasp.org/index.php/Cate gory:OWASP_SQLiX_Project • Scrawlr (HP) • absinthe
- 38. Чтиво • http://www.ptsecurity.ru/download/PT- devteev-Advanced-SQL-Injection.pdf • https://www.owasp.org/index.php/SQ L_Injection_Prevention_Cheat_Sheet • http://msdn.microsoft.com/en- us/library/ff648637.aspx
- 39. Контакты • polazhenko@gmail.com • www.securitywiki.ru • Polazhenko.moikrug.ru