وحید نصیری وحید نصیری
متوقف سازی حملات خودکار تزریق اس کیوال در IIS

یک سری ابزار وجود دارند که کارشان امتحان الگوهای متداول حملات تزریق اس کیوال به سایت‌ها است. تیم امنیتی اس کیوال سرور وقت گذاشته و این‌ها رو آنالیز کرده، نتیجه‌اش شده یک الگو:

تیم امنیتی IIS هم برای این الگو، یک IIS URL Rewrite زیبا رو تهیه کرده تا فقط با اضافه کردن آن به web.config یک برنامه وب، تعداد زیادی از حملات خودکار تزریق اس کیوال را بتوان بلاک کرد:

این مورد را می‌شود به چک لیست انتشار یک برنامه ASP.NET اضافه کرد.

‫۱۳ سال و ۱ ماه قبل، سه‌شنبه ۱۵ شهریور ۱۳۹۰، ساعت ۰۴:۴۴
۱۹۱۷
۷
Security
مطالب مشابه
  • #
    مهمان مهمان
    ‫۱۳ سال و ۱ ماه قبل، سه‌شنبه ۱۵ شهریور ۱۳۹۰، ساعت ۱۲:۵۶
    سلام آقای نصیری
     با تشکر از مطلب مفیدتون. من فکر کنم اینها فقط جلوی حمله خاصی رو گرفتن و کاری که گفتن به متوقف سازی کل Sql Injection کمک نمیکنه
  • #
    وحید نصیری وحید نصیری
    ‫۱۳ سال و ۱ ماه قبل، سه‌شنبه ۱۵ شهریور ۱۳۹۰، ساعت ۱۳:۰۲
    به همین جهت روی کلمه‌ی automated تاکید کردند.
  • #
    مهمان مهمان
    ‫۱۳ سال و ۱ ماه قبل، چهارشنبه ۱۶ شهریور ۱۳۹۰، ساعت ۰۳:۲۲
    با سلام جناب نصیری
    سوال من اینه که آیا هنوز افرادی هستند که برنامه هاشون مشکل تزریق کد SQL داشته باشه؟
    اگه همه دستورات ارسالی به پایگاه داده رو از طریق یه DAL و یا ... (با استفده از Parameter در SQL) باشه، چه لزومی به این کارها و ایجاد یک سرباره؟
  • #
    وحید نصیری وحید نصیری
    ‫۱۳ سال و ۱ ماه قبل، چهارشنبه ۱۶ شهریور ۱۳۹۰، ساعت ۰۳:۳۰
    بله. اگر کسی از یکی از ORM های موجود استفاده کند، نیازی به این بازی‌ها نخواهد داشت:
    https://www.dntips.ir/2009/11/linq-to-sql.html

    ولی در سایر موارد فقط کافی است یکی یک مورد را فراموش کند؛ یا پروژه‌های قدیمی هنوز برقرار باشند. بنابراین بهتر است کمی احتیاط کرد.
  • #
    مهمان مهمان
    ‫۱۳ سال و ۱ ماه قبل، چهارشنبه ۲۳ شهریور ۱۳۹۰، ساعت ۰۰:۵۰
    در تایید شما:
    http://feedproxy.google.com/~r/readwriteweb/~3/m7Gqu3WscwE/a-brief-history-of-sql-injecti.php
  • #
    مهمان مهمان
    ‫۱۱ سال و ۴ ماه قبل، پنجشنبه ۲۳ خرداد ۱۳۹۲، ساعت ۲۳:۵۱
    سلام؛ کد دوم که باید بذاریم تویه وب کانفیگ رو بنده تویه سایتم گذاشتم ولی تگ <rewrite>  رو شناسایی نمیکنه باید تغییر دیگه  ای اعمال کنم.التبه خطایی نمیده ولی تویه وب کانفیگ یه خط آبی رنگ زیرش کشیده و میگه که تگ<system.webServer>  شامل این تگ نیست با تشکر