A Jarlsberg egy Pythonban írt mikroblog alkalmazás a Google-től, amelynek ezúttal nem a mikroblog-társadalom újjáépítése a célja, hanem az, hogy az arra nyitott fejlesztőket bevezesse a biztonságos webalkalmazás-programozás alapjaiba.
Az alkalmazás futtatható a Google AppEngine-jében, vagy helyi gépen is, a különböző hibákat pedig egy sor feladat végrehajtása közben lehet felkutatni. A feladatok először csak egy teljesítendő célt definiálnak, ha reménytelennek érezzük a dolgot, egy-két segtséget is igénybe vehetünk, végül megnézhetjük a teljes exploit-ot, és ami a legfontosabb, a javítás módját is.
A program összeállításánál első sorban a tisztán webes sérülékenységekre fókuszálnak, és olyan kevésbé ismert problémákat is kiveséznek, mint a CSSI (Cross-Site Script Injection) vagy a CSRF (Cross-Site Request Forgery). Az SQL injection ugyanakkor kimaradt (a feladatok közül, szó azért esik róla), mivel az alkalmazás nem használ SQL-t - ezt sajnálom, bár tény, hogy az SQL injection nem egy kizárólag webet érintő probléma.
Szerintem jó alap lehet ez bármelyik webfejlesztőnek, a Python szintaxisa pedig kellően jól olvasható és általános ahhoz, hogy bármelyik, más nyelvben jártas kóder kiigazodjon rajta.
|Z| 2010.05.06. 14:51:25
print 'Pls edit the post'
}
else {
print 'WTF is CSSI?'
}
buherator · http://buhera.blog.hu 2010.05.06. 15:12:15
A oldal dinamikusan generál erőforrásokat (pl. JavaScripteket), amikbe (ha be van jelentkezve a felhasználó) belepakol mindenféle érzékeny cuccot is. Erre a generált szkriptre hivakozhatunk egy külső oldalon (script src), majd tetszés szerint felülírhatjuk a kliens oldali változókat függvényeket, etc. ilyen módon pedig hozzáférhetünk az érzékeny adatokhoz. A dolog leginkább a CSRF-re hasonlít.
_2501 2010.05.07. 10:58:35
glossary:
NVC - New Vulnerability Class
XSBS - Cross Site Buzzword Spreading
NVP - Narcissistic Vulnerability Pimp
SIRW - Security Industry Reputation Warrior
IVDS - Insane Vulnerablity Denomination Syndrome