проверить безопасный вход в систему и зарегистрироваться через SSL - PullRequest
Новая
       54

проверить безопасный вход в систему и зарегистрироваться через SSL

0 голосов
/ 21 апреля 2010

Я реализовал защищенный вход и регистрацию на своем веб-сайте. Он работает. Теперь я хочу проверить его. Я не уверен, как проверить, правильно ли он защищен.

Ответы [ 2 ]

1 голос
/ 21 апреля 2010

Если вы хотите проверить, не ломается ли он при использовании с SSL, вы можете легко протестировать диск, загрузив и установив OpenSSL , следуйте этому руководству , чтобы создать самозаверяющий сертификат с OpenSSL установите ваш вновь созданный сертификат на ваш веб-сервер (Apache, если вы используете LAMP или XAMPP) и, наконец, перезапустите ваш веб-сервер. Теперь у вас есть готовый SSL-протокол, попробуйте использовать форму входа через https: // и посмотрите, что произойдет. Если веб-браузер, такой как Firefox, жалуется на ваш сертификат, скажите ему создать исключение.

Именно так вы можете протестировать его по SSL, но что касается "правильно ли он защищен", все становится сложнее. Убедитесь, что вы хотя бы позаботились о:

  • Фиксация сессии
  • Межсайтовый скриптинг
  • Безопасное хранение паролей (хеширование)
  • SQL-инъекции
  • Защита от грубой силы с помощью дросселирования или использования капч
0 голосов
/ 21 апреля 2010

Это зависит от того, из чего сделан веб-сайт, например, если он использует Apache или это домашний сервер.

  • Убедитесь, что сайт доступен только через HTTPS (если это то, что нужно)
  • Проверьте доступ через HTTP - убедитесь, что поведение соответствует ожидаемому (может быть перенаправление на HTTPS, страница ошибки или предупреждающее сообщение ...)
  • Попробуйте получить доступ к сайту, не заходя на страницу входа (то есть, подделывая URL)
  • Откройте сеанс, попробуйте получить доступ к нему с другого клиента без входа в систему.
  • Проверка «очевидных» паролей (test / test, admin / admin)
  • Убедитесь, что вы не можете войти без пустого имени пользователя / пароля
  • Убедитесь, что никто не может получить доступ к закрытому ключу системы
  • Убедитесь, что невозможно получить доступ ко всем файлам системы (например, http://website.address/../../../../etc/passwd)
  • ...

Вы также можете использовать набор тестов безопасности веб-сайта, см. этот список от insecure.org, есть коммерческие продукты и инструменты с бесплатным / открытым исходным кодом.

ИМХО, вам не следует пытаться проверять SSL, так как это сторонний инструмент.

...