Concetti base di sicurezza applicativa web. Massimo Carnevali Responsabile Esercizio dei Sistemi Informativi Comune di Bologna

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Concetti base di sicurezza applicativa web. Massimo Carnevali Responsabile Esercizio dei Sistemi Informativi Comune di Bologna"

Raimonda Leone
8 anni fa
Visualizzazioni

1 Concetti base di sicurezza applicativa web Massimo Carnevali Responsabile Esercizio dei Sistemi Informativi Comune di Bologna

2 Agenda Concetti base Esempio reale (SQL code injection) Come cambia lo scenario della sicurezza Sviluppare applicazioni sicure Acquistare applicazioni sicure Pagina 2

3 Concetti base Servizi web esposti al mondo Applicazioni custom complesse Struttura a tre livelli (web, application, DB) SSL non aiuta, anzi! Falso senso di sicurezza Pagina 3

4 Errori più comuni Fidarsi dell'input dell'utente Caratteri speciali non filtrati Output HTML non filtrato Eccesso permessi alle applicazioni Commenti o versioni obsolete Consentire il listing delle directory Non gestire errori Fidarsi Pagina 4

permessi alle applicazioni Commenti o versioni obsolete

5 Esempio reale SQL code injection Pagina 5

6 Esempio reale SQL code injection Pagina 6

7 Esempio reale SQL code injection <form action='login.php' method='post'> Username: <input type='text' name='user' /> Password: <input type='password' name='pwd' /> <input type='submit' value='login' /> </form> Pagina 7

8 Esempio reale SQL code injection <?php $query = "SELECT * FROM users WHERE user='".$_post['user']."' AND pwd='". $_POST['pwd']."'"; $sql = mysql_query($query,$db); if(mysql_affected_rows($sql)>0) { // Consenti l'accesso }?> Pagina 8

9 Esempio reale SQL code injection /login.php?user=pippo&pwd=pluto "SELECT * FROM users WHERE user='". $_POST['user']."' AND pwd='". $_POST['pwd']."'" select * from users where user= 'pippo'and pwd='pluto' Pagina 9

10 Esempio reale SQL code injection /login.php?user=' or 1=1; -- &pwd= "SELECT * FROM users WHERE user='". $_POST['user']."' AND pwd='". $_POST['pwd']."'" select * from users where user='' or 1=1; --'and pwd='' Pagina 10

11 Esempio reale SQL code injection /login.php?user='; drop table users; -- &pwd= "SELECT * FROM users WHERE user='". $_POST['user']."' AND pwd='". $_POST['pwd']."'" select * from users where user=''; drop table users; --'and pwd='' Pagina 11

12 Esempio reale SQL code injection Pagina 12

13 Lo scenario della sicurezza Non esistono tecniche di audit automatico veramente affidabili Analisi delle variazioni delle baseline Analisi del codice sorgente Analisi greybox Analisi blackbox Ambienti di test separati interni Pagina 13

delle baseline Analisi del codice sorgente Analisi greybox

14 Sviluppare applicazioni sicure Pagina 14

15 Sviluppare applicazioni sicure Identificare i security requirement Liste di controllo Linee guida Generare abuse case Generare security patterns Simulare modelli di attacco Framemork di sviluppo sicuro KISS Pagina 15

Generare abuse case Generare security patterns

16 Acquistare applicazioni sicure Semplice da usare e ricca di funzioni Prezzo ragionevole Sicura Pagina 16

17 Acquistare applicazioni sicure Semplice da usare e ricca di funzioni Prezzo ragionevole Sicura Puoi sceglierne due su tre... Pagina 17

18 Acquistare applicazioni sicure (applicazioni custom) Predisporre un disciplinare Imporre degli standard Liste di controllo Security testing Coinvolgere terze parti (applicazioni off-the-shelf) FOSS oppure devi fidarti Pagina 18

di controllo Security testing Coinvolgere terze parti

19 Acquistare applicazioni sicure Pagina 19

20 Acquistare applicazioni sicure Pagina 20

21 Per ulteriori informazioni + Owasp + W3 security guidelines + Web Application Security Consortium + Are You Part Of The Problem? + Top 25 Most Dangerous Progr. Errors + Google + Wikipedia Pagina 21

Documenti analoghi

Corso di Sicurezza Informatica. Sicurezza del software. Ing. Gianluca Caminiti

Corso di Sicurezza Informatica Sicurezza del software Ing. Gianluca Caminiti SQL Injection Sommario Premessa sul funzionamento dei siti dinamici SQL Injection: Overview Scenari di attacco: Errata gestione