Oprez: Pet najčešćih veb napada koji za cilj imaju da vam ukradu podatke

Broj programa koji mogu da naškode vašem kompjuteru i koji se nalaze na vebu u poslednjih nekoliko godina dramatično je porastao. Evo pet najčešćih metoda napada kojih trba da se pozaite.

Jedan od najvećih razloga uzroka rasta je automatizacija i dostupnost kompleta za iskorištavanje sigurnosnih „rupa”. Američka kompanija za tehnološku sigurnost „Symantec” upozorava da sve veća popularnost takozvanih „exploit” kompleta ne samo da snižava lestvicu za ulazak napadača na vaš kompjuter, nego i podiže kriterijume kompanijama koje žele da zaštite svoju infrastrukturu na Internetu.

„Symantec” je objavio pet najuobičajenijih metoda napada koje su i dalje problem za mnoge sajtove.

SQL Injection

SQL Injection je tehnika umetanja koda koja unosi zloćudne SQL izjave i naredbe u polje unosa za izvršavanje što dovodi do toga da web server šalje, odnosno vraća informaciju koju ne bi smeo da vrati.

Kao rezultat, web server omogućava pristup informacijama koje bi trebalo da su sigurne i izvan dohvata. Na primer, korisnička imena i lozinke su takvi podaci.

Cross Site Scripting (XSS)

Cross Site Scripting najrašireniji je sigurnosni propust u web aplikacijama, a događa se kad aplikacija prihvati neproverene podatke i pošalje ih browseru bez prave provere ili označavanja kraja.

To napadačima omogućava da ugrađuju skripte u browsere žrtvi kada one posete sajt, čime se može preuzeti kontrola nad korisničkim sesijama ili preusmeriti korisnika na zloćudne sajtove.

CSRF (Cross-Site Request Forgery)

CSRF napad krade žrtvin „sesijski kolačić” („cookie”) i druge informacije koje se koriste za prijavu na ranjivi sajt. Kad se to izvrši, napadač može da preuzme kontrolu nad žrtvinom sesijom, na primer na sajtu banke i tako dobije potpunu kontrolu nad računom. Međutim, kako sajt veruje da je prijavljen legitimni korisnik, jako je teško otkriti kada je ovakav napad uspeo.

Korištenje komponenti sa poznatim ranjivostima

Komponente – kao što su biblioteke koda, okviri i drugi softverski moduli – koje imaju poznate ranjivosti postale su napadačima vrlo lako dostupno voće.

Međutim, kako se moglo videti kod nedavnog „Heartbleed bug-a”, efektivno upravljanje zakrpama i sigurnosno kodiranje, mogu biti teški, pogotovo za složene web aplikacije. Aplikacije koje koriste komponente sa poznatim ranjivostima mogu potkopati obranu aplikacije i omogućiti čitav niz mogućih napada i uticaja.

Posrednik (Man in The Middle)

Napad poznat pod imenom „posrednik” („Man in The Middle”) presreće komunikaciju između dva sastava. Na primer, u http transakciji (komunikaciji web servera i klijenta), meta je TCP veza između klijenta i servera.