[نقاش] الثغرات الأمنية وطرق تفاديها

المهمة9 · 18-12-2004, 05:25 PM

السلام عليكم ورحمه الله وبركاته

الحقيقه منذ زمن بعيد والهواجس الأمنية في المواقع والبرامج والبرمجيات العربية خصوصا ..

وجرت العادة من بعض الأخوان جزاهم الله خيرا على ذكرهم لطرق علاج اي ثغرة امنية دون الأفصاح عن سببها او كيفية حدوثها خوفا على مواقع الاخرين من الأفساد والتخريب .

ولكنني اعتقد ان هذا السبب يؤجل عملية فتح هذا الباب ويضع الضماده ولا يعالجه .

خصوصا وان المواقع الاجنبيه قد فتحت عقولها ومصادرها لاي جديد لكي يكون صاحب الموقع على درايه باخر المعلومات والتحديثات الامنية للبرامج والبرمجيات .

سأنطلق الى نقطه اخرى للحوار وهي البرمجيات العربية

انا لست ناشطا في البحث عن الثغرات في البرامج العربية ولكنني متأكد ان هنالك نسبه تكاد تصل الى 30 % من البرامج العربية كافضل تفاؤل يوجد بها ثغرات امنية وربما تكون قاتله احيانا

لدي تساؤلات عديدة
هل هنالك موقع عربي واحد على الأقل يضع قاعدة بيانات للثغرات الامنية وطرق معالجتها او البرنامج او البرامج التى فيها هذه الثغره او تلك ؟

لا اعتقد والسبب هو خوف الاخوان جزاهم الله خيرا من وضع اسرار الثغره بيد من لا يخاف الله عزوجل في اموال اخوانه المسلمين

النقاش مفتوح للجميع واتمنى من لديه مصدر قد يفيدني ان لا يحرمني منه

مُجَاهِد · 18-12-2004, 06:14 PM

أتمنى الخوض في النقاش ..

المهمة9 · 18-12-2004, 07:30 PM

حسنا لماذا لا تناقش وتضع رأيك اخي الكريم مجاهد ؟؟؟؟؟؟؟؟؟؟

altibb · 20-12-2004, 09:56 PM

افضل وسيلة اراها لحماية نفسك من ثغرات اي سكريبت تقوم بتركيبه انك تقوم بتغيير كل المتغيرات واسماء الصفحات في السكريبت بذلك تكون قد منعت بنسبة 70-90% من اختراق السكريبت لان كل من يريد تطبيق الثغرة لن يعرف المتغيرات التي قمت بأختيارها .

اما الوسائل الاخرى كحماية مجلد لوحدة التحكم لسكريبت ، وضع كلمة سر يصعب فك تشفيرها ، فهذه الطرق تم الاسهاب في شرحها ومن اساسيات حماية اي سكريبت .

المهمة9 · 21-12-2004, 02:34 AM

حسنا ماذا لو كانت تلك الثغرات مبيته في البرنامج ولا تستطيع اختبارها الا في حالات معينة ..

انا اتحدث هنا عن المبرمجين وكيف يقوم المبرمج بتفادي الثغرات البرمجية الخطيرة ... او الثغرات البسيطه ولكنها تعتبر ثغرة في الاخر ..

حديثي يطال الاخوه من لديهم خبرة باختراق المواقع عن طريق البرمجيات فهم اكثر من يتعامل مع الأخطاء البرمجية بذكاء

أمير عبدالله · 21-12-2004, 12:47 PM

المشكلة تكون في السكربت نفسه
إذا لاحظت تجد ان جميع السكربتات لديها قاسم مشترك وهو تطابق اسماء الملفات وهذا مايسهل عمل المخترق .
البرمجة الصحيحة هي تكون اسماء الملفات الفرعية تحوي حروف طويلة او ارقام ورايت في احد المواقع الاجنبيه سكربت للحوار جميع صفحاته تبدأ بارقام مثل

" a54s5.87445.78.2.985.13022.01.028.178.02.01.php/ "
وبالتلي يصعب معرفة محتوى الملفات في حالة عدم وضع رابطه لها

ايضا تجد اغلب السكربتات تحتاج لحماية ملف او مجلد الادمن وقد لايعلم البعض كيفية حمايته وتجد اكثر المواقع تتعرض للعبث من قبل اشخاص تافهين ومنهم صغار السن بسبب عدم دارية صاحب الموقع وإهمال مبرمج السكربت لمثل هذه الثغرات الأمنيه .

Hossam AL-Abdeh · 21-12-2004, 01:28 PM

أخي جرب زيارة مواقع مثل www.securityfocus.com و غيرها و يعني أخي الأمر بحاجة لدراسة يعني يوجد شهادات بمجال الأمن يعني أخي الأمر ليس فقط بقراءة أو غيره يجب البدء به بطريقة علمية يوجد كثير من شهادات الأمن و برأيي هي الطريق الامثل لهذا الأمر و تبقى المواقع للبقاء و الاطلاع على أخر المعلومات بهذا المجال ..
تحياتي

Dr-dre67 · 21-12-2004, 03:48 PM

للحماية هناك مستوايان :
-مستوى الحماية في البرنامج المستعمل ( السكربتات )
- مستوى الحماية في الhost platform ( الإستضافة )

على اي مستوى تريدون النقاش ؟

لي عودة ان شاء الله

المهمة9 · 24-12-2004, 03:46 AM

AmeerN.Net

تغيير اسم الملفات والمتغيرات ليست طريقه عملية 100% نحتاج الى مستوى آمان عالي للبرمجيات والبرامج المستخدمة

hossam alabdeh

شكرا لك اولا على هذا الموقع واتمنى ان تزودني ايضا ببعض المواقع الموثوقة في محتوياتها ..

لا ادري اين يمكن ان اتحصل على شهادة آمان ؟

Dr-dre67

نتحدث عن مستوى الحماية في البرنامج المستخدم (السكربتات)

وانتظر عودتك

المهمة9 · 24-12-2004, 03:49 AM

الحقيقه في الأيام الماضيه التى توقف في سوالف سوفت عن العمل اصررت على أكمال الطريق ومتابعة مساءلة الامان

هل يجب ان اكون مخترقا ؟ لكي اقوم بالحماية .

وقد قرأت احد الكتب لاخوان مسلمين فيه من الخير الكثير وما زلت في الاجزاء الاولى لا يعلمك الأختراق بقدر ما يعلمك كيف تتحايل على البرامج او السيرفرات

aloyon · 24-12-2004, 04:05 AM

موضوع اتمنى ان تنحى جميع المواضيع منحاها من حيث المستوى ..

اتمنى ان يشمل النقاش ASP و PERL و JSP ولكن ان يوجه بشكل خاص للــ PHP لإنها لغة مفتوحة المصدر وشعبيتها كبيرة ولا تدعمها مؤسسة رسمية

كما يجب التطرق لأساليب البرمجة الخاطئة والتركيز على إتباع الخطوط الأساسية للبرمجة ، اتمنى ان اكون مساهم لكن خبرتي قليلة في برمجة الويب فأنا مبرمج جافا.

المهمة9 · 24-12-2004, 05:30 AM

aloyon

اخي الكريم النقاش مفتوح لكل لغات البرمجة ولكل الأخوان اعتقد اننا هنا نحاول ان نؤسس القاعدة ان لم نكن متأخرين في هذا الأمر كثيرا

قاعدة للتعامل مع الثغرات في البرامج والبرمجيات كلن على حسب تخصصه .

DesiGner · 24-12-2004, 02:27 PM

نقاش جميل وموضوع مهم اعمل على ايجاد نتائج له منذ مده.
وسأقوم بإضافة المزيد قريباً...

Hossam AL-Abdeh · 24-12-2004, 02:43 PM

يوجد العديد من الشهادات سواء لحماية الشبكات أو السيرفرات أو حتى لل php و يوجد أيضا كتب مهمة بهالمجال على سبيل المثال شهادة security + مفيدة جدا و أنا أجد الجزء الأهم من الحماية هو على المستضيف و طبعا بفضل الاستعمال المتكرر للسكريبتات المسروقة و عدم شراء ترخيصها من شركتها يضل أغلب المستخدمين على جهلهم للسكريبت برأيي و نصيحة كل من يعجبه سكريبت يشتريه عن نفسي لا و لن أستعمل أي سكريبت مسروق نعم انا اراه و أجربه و لو عجبني أشتريه لأنه سيكون لي دعم و التحديثات أما السكريبتات غير هيكك حرام استعمالها الأمر الأخر لنفرض ال php البرمجة الخاصة هي أفضل حل و طبعا الموضوع طويل جدا و المعرفة الجيدة بلغات البرمجة تفيدجدا ...
تحياتي

Dr-dre67 · 24-12-2004, 05:51 PM

السلام عليكم
عدنا

حماية سكربتاتنا :

البيئة البرمجية

لحماية سكربتاتنا يجب ان نوفر بيئة خاصة و محمية , الأغلبية هنا يستعملون الPHP كمجرد module في الApache و كما تعلمون الApache عادة ما يكون في Group او مجموعة خاصة و يكون اسمها في الغالب" nobody "

و اذا اردنا مثلا عمل سكربت يستعلم بيانات من قاعدة بيانات اذن يجب ان نجعل قاعدة البيانات متاحة للمستخدم " nobody" لكي يستطيع القيام بعملية الإستعلام + حماية القاعدة من خلال تحديد صلاحيات الApache او تخصيص الإتصال بقاعدة البيانات و حمايتها يا إما بعمل حماية للملفات التي تتصل بالقاعدة (قاعدة البيانات طبعا

) و ذلك يكون بhtaccess , LDAP , ...

وهذا طبعا لا يكفي و لا يجعل حماية المجلدات الأخرى و قواعد البيانات مضمونة فإن بستعمال الPHP بإمكانك تغير مجلدك بإستعمال الchroot function
و غيرها من الfunctions مثل : exec , system ....
و لكن مثل هذه الأشياء بإمكانك الوقاية منها و منع حدوثها بإستعمال open_basedir

و أيضا الSAFE MODE و الDisabled_functions يجب تعديلهامن php.ini

حماية كلمات و المرور و التثبت في البيانات التي يتم ادخالها لقواعد البيانات
في هذا المثال سنأخذ الpostreSQL

كود PHP:

  <?

 
$query  = sprintf("INSERT INTO users(name,pwd) VALUES('%s','%s');",addslashes($username), md5($password));

$result = pg_exec($conn, $query);

 
$query = sprintf("SELECT 1 FROM users WHERE name='%s' AND pwd='%s';",addslashes($username), md5($password));

$result = pg_exec($conn, $query);

if (pg_numrows($result) > 0) {    

echo "Welcome, $username!";

}

else {    

echo "Mr $username Happy new DAY :p";

}

 
?>

في هذا المثال يتم تشفير كملة المرور md5 ثم في محاولة تسجيل الدخول نقوم بالتثبت في كلمة المرور المخزنة و طبعا نلاحظ بعض الإجراءات الأمنية مثل استعمال addslashes

بإمكان استعمال عدة دوال اخرى لتنقية و التثبت من المعلومات المدخلة الى قاعدة البيانات : htmlspecialchars , trim ...

مثال لهجوم : مثل لو اراد شخص ما ادخال username الخاص به و كتب مثلا <h1>you site is defaced by me</h1> و ثم اردت عرض الأعضاء الذين اشتركو ستجد ان العضو هذا اسمه بالحجم الكبير

و بذلك يجب استعمال htmlspecialchars في عرض قائمة الأعضاء ...

و في ايضا الSQL injection سأشرحها في المرة القادمة لو اردتم طبعا
و ان شاء الله يكون ردي نفعكم بشي

محمود المسعودي · 24-12-2004, 06:04 PM

السلام عليكم و رحمة الله و بركاته

للأسف يا اخوان فمعظم المبرمجين العرب لا دراية لهم بالاختراق و الثغرات ، فقد تجد مبرمج 10/10 في البرمجة و يتميز السكربت الخاص به بالعديد من المميزات و لكنه لا يعرف شيئاً في الاختراق ... لذا تجد برنامجه معرض للاختراق بأتـفه الوسائل.

المهمة9 · 25-12-2004, 02:02 PM

DesiGner

ننتظرك

hossam alabdeh
حسنا ماذا عن المبرمجين كيف يتعاملون مع برامجهم التى يريدون بيعها اذا لم يعرفوا اين ثغراتها ؟

Dr-dre67
شكرا لك مرورك واضافتك الجميله وننتظر المزيد فلا يمل من العلم

ابو محمود

هذا ما لاحظته شخصيا

Hossam AL-Abdeh · 25-12-2004, 02:36 PM

أوكي أخي بهذا نكون نتكلم فقط عن الجانب البرمجي و المتعلق بالمبرمج و نترك السيرفرات أوكي في أخي أيضا شهادات و لكن للأسف مغيبة عندنا في الوطن العربي و يوجد أيضا مواقع و منتديات مفيدة جدا على سبيل المثال هذا الموقع
http://php-forum.com/p/viewforum.php...2fcc675a95656b
شوف هنا أيضا الكتب مفيدة ..
http://www.arab-team.com/files.php?cat=

مُجَاهِد · 31-12-2004, 06:20 PM

وفي الحقيقة أيضاً ..
لا يوجد اي موقع خالي من الثغرات ..

وهذه تحصل مثلاً لو ركبت منتدى ..
تحصل فيه اوامر بجلب الكثير من أوامر الاختراق..
مثل إرسال الباسووردات إلى بريد ,,

أدوات الموضوع
مشاهدة صفحة طباعة الموضوع أرسل هذا الموضوع إلى صديق