Securitate website

Pe langa actiunile colaterale SEO (verificare hosting, webdesing, programare, comunicare...) se uita adesea de inca un factor important: verificare securitate website, respectiv verificare la potentiale atacuri externe (hacking).


In ultimii 5 ani, cred ca un singur amic programator am inteles ca utiliza un serviciu de scanare extern pentru a depista vulnerabilitati site, dar nu i-am retinut numele.

Anul acesta, la gpec.ro, mi-a placut prezentarea serviciului outpost24.com.

Impreuna cu voi, asa vrea sa facem o lista cu astfel de servicii, testate sau de testat, gratuite sau platite.

sper sa ajute pe cei preocupati de securitate. http: // code.google.com/p/fimap/

Testati-vă site-ul dacă rezistă la tăvăleală folosind unealta de la loadimpact.com
Gratuit până la un punct, apoi pe bani.

Citat:

---

Postat în original de gupi

Testati-vă site-ul dacă rezistă la tăvăleală folosind unealta de la loadimpact.com
Gratuit până la un punct, apoi pe bani.

---

Eu l-am testat si asa arata grafiul, dar cred ca e irelevant cu doar 50 de clienti.
http://www.webpagescreenshot.info/im...11102450pm.png

De-acum, puteti testa gratuit securitatea site-urilor (in special cele de e-commerce).
Prin parteneriatul pe care il avem, va putem oferi conturi gratuite -fara obligatii- McAfee PCI Compliance.

Veti putea testa timp de o luna pana la maxim 6 adrese IP.

Citat:

---

Postat în original de gupi

De-acum, puteti testa gratuit securitatea site-urilor (in special cele de e-commerce).
Prin parteneriatul pe care il avem, va putem oferi conturi gratuite -fara obligatii- McAfee PCI Compliance.

Veti putea testa timp de o luna pana la maxim 6 adrese IP.

---

As fi si eu interesat de un cont pentru a putea testa McAfee PCI Compliance
Cum as putea sa intru in posesia lui? As fi chiar interesat sa-l cumpar pentru cartuse-imprimante.net

o mica observatie: load test nu inseamna security test
o alta observatie: la security test trebuie luate in considerare 2 aspecte: (a) siguranta serverului si (b) modul in care e construita aplicatia

Detalii pls :)
Sa inteleg ca sunt si platforme sau limbaje de programare de siguranta variabila?

In general, cand vrei siguranta, nu prea exista lucruri ready made.

Pe partea de server:
- serverul trebuie sa stie sa dea drop la orice request aiurea (req. repetate, req. care genereaza erori, multe req. / unitate de timp, etc)
- serverul trebuie sa poata rezista la spike-uri de requesturi (daca in mod normal iti trebui 512Mb ca sa ruleze o aplicatie pune la inceput 1gb si daca face fata la primul spike de trafic)
- etc

Pe partea de aplicatie foarte importante sunt:
- sanitize pe variabilele care ajung pe server side din front end; recomand sa folosesti sanitize logic (contextual), nu numai verificari sau cast-uri simple pe tip de variabila
- verificari pe zonele securizate ale aplicatiei

In masura in care rularea unui program relativ banal de diagnoza duce la blocarea unui magazin online s-ar putea incadra la "probleme de securitate", e normal sa se intample asa ceva?

E vorba de Find broken links on your site with Xenu's Link Sleuth (TM) , rulat din fericire pe magazinul unui client, platforma magento, la ore cu trafic mic.
Amicii specializati pe servicii de hosting mi-au recomandat sa mai cer pareri pentru impartialitate.

Tks de amanunte.

Aplicatia respectiva face ceva relativ simplu:
- intra pe o pagina si scaneaza dupa linkuri
- verifica fiecare link daca e "live"
- daca linkul e live si e pe acelasi domeniu atunci se duce iar la pasul 1
- repeta treaba asta pana cand toate linkurile sunt verificate

Ce se intampla pe site (cel mai probabil): se genereaza foarte multe request-uri intr-un timp scurt, serverul nu mai face fata si crapa.

De unde vine problema?
- serverul nu face fata fizic din cauza resurselor slabe -> apache crapa -> pica tot site-ul
- fiecare request se traduce prin multe operatiuni pe baza de date / pagina -> pica mysql -> pica tot site-ul

Poate fi o problema de:
- resurse server
- programare
- magento incorect configurat
- componente server configurate incorect (apache, mysql)

Nu e normal sa se intample asa dar nici nu este o problema de securitate ci una de stabilitate.

Tinand cont ca nimeni nu mai putea accesa magazinul... (mai rugasem amici online sa verifice) cam la securitate se incadra.
Alege material pt statuie :) M-ai ajutat mult, problema fiind destul de fierbinte.

Citat:

---

Postat în original de 1nesco

Tinand cont ca nimeni nu mai putea accesa magazinul... (mai rugasem amici online sa verifice) cam la securitate se incadra.
Alege material pt statuie :) M-ai ajutat mult, problema fiind destul de fierbinte.

---

nu tine de securitate faptul ca un magazin devine inaccesibil din cauza load-ului, ci e mai degraba o problema de functionalitate. Si eu am folosit recent un script de verificarea linkurilor broken si mi-a facut load foarte mare.

Cu placere, oricand :)

Ti-as recomanda sa repeti "operatiunea" si sa stai cu ochii pe procesele de pe server sa vezi ce pica, sau sa te uiti in loguri ca sa identifici problema cat mai bine.

Imi aduc aminte de o problema similara careia nu ii dadeam de cap. Un pic de load pe server pe un anumit tip de operatiuni si pica serverul.
Ce se intampla? Aveam un director de temp setat la 100Mb si acelasi director era cel folosit de mysql (asa venea setup-ul default). Eu refaceam niste indecsi pe tabele, mysql scria in temp-ul ala operatiunile, ajungea la 100mb si nu mai putea sa scrie nimic si apoi murea.
O problem minora in aparenta dar care mi-a dat un pic bataie de cap.

@alex vorbim de zeci de ore de analiza (practic nici acum nu a ajuns la capat, am abandonat pana se clarifica ce si cum), cu peste 300.000 linkuri depistate.
Asta inclusiv cu setare numar de linkuri analizate la minim-minim-minim ca sa nu solicit sistemul. Cu xenu la mediu/maxim, adio magazin.
S-a ajuns la explicatia de "buguri in xenu", lucruri care m-au uimit, fiind pt prima data.

@daniel
cuvinte extrem de tehnice (ma depasesc) pentru care iti multumesc convins ca vor ajuta si pe altii. Serviciul de hosting si programare e la pachet asa ca multe detalii nu am. Nefiind specialist pe programare sau pe servicii de hosting, din ratiuni de impartialitate am preferat sa mai caut pareri, persoanele implicate urmand sa ia deciziile potrivite.
Din punctul meu de vedere, seo: Xenu nu se poate rula :)

Salut 1nesco,

Asa cum ai precizat in threadul http://forum.seopedia.ro/server-side...e-spart-2.html revin cu mai multe detalii.

CE VERIFIC ?
1. SQL Injection
2. XSS
3. CSRF
4. Blind SQL Injection
5. RFI
6. LFI - local file inclusion
7. BruteForce - in caz ca se doreste (se verifica daca parola apare in lista de dictionare)

CUM ?

In mare parte folosesc programare ce scaneaza site-uri pentru vulnerabilitati (publice sau private). Totusi aceasta metoda prezinta multe 'false-positives' si este nevoie de verificare manuala.


AM MAI FACUT ASA CEVA ?

Da, am facut la cativa clienti (nu multi). Am avut un utilizator de pe forum, care se tot plangea ca site-ul ii este spart de 'hackeri'.
Dupa audit am observat ca site-ul este vulnerabil la RFI (vezi mai sus).
Dupa ce am rezolvat problema, am observar ca 'hackerii' au lasat niste backdoor-uri in cateva fisiere php. Am reusit sa curat toate fisiere PHP, iar de atunci site-ul nu a mai fost atacat (webmasterul a primit un email de la 'hackeri' in care il felicitau pentru rezolvarea rapid :) )


CAT COSTA ?

Audit-ul este gratis. In caz ca exista vulnerabilitati (ce au fost confirmate, prin verificare manuala), pretul este de 100RON.
In caz ca nu exista vreo vulnerabilitate, atunci totul este gratuit.



TIMP DE RASPUNS ?

2-3 zile, depinde de cereri. In caz ca dureaza mai mult, clientul este anuntat



CONDITII:

1. Atunci cand primesc un mesaj pentru audit, voi cere adaugarea unui fisier html/txt pe site. Astfel verific ca site-ul este al dumneavoastra
2. Daca aveti un CMS public (Wordpress/Joomla) un audit nu este totusi benefic. In general acestea sunt securizate, si voia avea nevoie doar de ce plugin-uri folosit pentru a verifica daca exista exploit-uri pentru asa ceva (este ceva banal, ce puteti verifica si dvs)


P.S.: In general acest audit este benefic pentru site-urile facute la comanda. Pentru site-uri gen wordpress/joomla nu prea trebuie sa va faceti griji. Tot ce va recomand e sa nu folosit parole usoare gen: 123456789, parola etc