О каких проблемах безопасности мне нужно думать при написании HTTP-прокси? - PullRequest
Новая
       21

О каких проблемах безопасности мне нужно думать при написании HTTP-прокси?

2 голосов
/ 25 ноября 2011

Моя компания написала HTTP-прокси, который берет исходную страницу веб-сайта и переводит ее.Подумайте, как работает служба веб-перевода, предоставляемая Google, Bing и т. Д.

Я занимаюсь тестированием безопасности службы и связанного с ней веб-сайта.Конечно, будет миллион атак или злоупотреблений сайтом, о которых я еще не думал.Кроме того, я не хочу, чтобы наш сайт стал вектором, позволяющим анонимные атаки на сторонние сайты.Поскольку этот сайт будет объектом пристального внимания со дня его открытия, обеспечение безопасности как нашего сервиса, так и сайтов, посещаемых нашим сервисом, касается меня.

Может кто-нибудь указать мне любую онлайн или опубликованную информациюдля тестирования безопасности.например, хорошие списки атак, о которых нужно беспокоиться, рекомендации по безопасности для создания веб-сайтов / прокси / и т.д.Я хорошо разбираюсь в вопросах безопасности (XSS, CSRF, SQL-инъекция и т. Д.).Я больше ищу ресурсы, которые помогут мне со спецификой создания тестов для тестирования безопасности.

Любые указатели?

Просмотрено:

1 Ответ

2 голосов
/ 27 ноября 2011

Наиболее очевидные проблемы для службы перевода:

  • Убедитесь, что прокси не может получить доступ к внутренней сети.Очевидно, когда вы думаете, но в основном забыты в первом выпуске.т. е. пользователь не должен запрашивать перевод для http://127.0.0.1 и т. д. Как вы можете себе представить, это может вызвать серьезные проблемы.Умная атака будет http://127.0.0.1/trace.axd, которая предоставит больше, чем необходимо, так как считает, что запрос поступил от localhost.Если у вас также есть какие-либо ограничения на основе IP между этой системой и любыми другими системами, вы можете быть осторожны с ними.
  • XSS является очевидной проблемой, убедитесь, что перевод доставляется пользователю в отдельном домене (например, в Google Translate).Это очень важно, даже не думайте, что вы можете успешно фильтровать XSS-атаки.

Помимо других распространенных проблем с веб-безопасностью, есть много дел. OWASP - лучший ресурс для автоматического тестирования. Есть бесплатные инструменты, такие как Netsparker и Skipfish

...