Уроки
Среда
15 апреля, 2009
15 апреля, 2009
Целый год прошел со времени последнего скринкаста, сделанного мною на этом сайте. И вот, наконец, рад представить второй скринкаст, посвященный созданию и применению патчей к Друпалу под виндой. Чтобы не обидеть бравых линуксоидов и маководов, дам ссылку на видео создания патчей с помощью консоли. Тем, кто ненавидит консоль и посвящается данный скринкаст.
После просмотра скринкаста, вы сможете создавать полноценные исправления для Друпала и модулей, постить их на drupal.org, таким образом, полноценно принимая участие в разработке системы. Кроме того, вы теперь будете знать, как использовать патчи взятые на том же drupal.org'е для своих нужд.
Пятница
20 Февраль, 2009
20 Февраль, 2009
Друпал предоставляет свои средства для доступа к базе данных.
Во-первых, это позволяет не зависеть от конкретного типа СУБД. На сегодняшний момент полностью функционирует прослойка для MySQL и PostgreeSQL. В седьмом Друпале этот список будет расширен Ораклом и SQLite.
Во-вторых, прослойка позволяет защититься от SQL инъекций.
Понедельник
16 Февраль, 2009
16 Февраль, 2009
Поводом к написанию этой статьи послужило нахождение мною уязвимости в одном довольно известном модуле. Так как по правилам обнаружения уязвимостей, я пока не вправе распространяться о деталях, то расскажу об уязвимости в общих чертах, а также о методах борьбы с ней.
Итак, подделка межсайтовых запросов (анг. Сross Site Request Forgery, или, сокращенно, CSRF): что это такое и с чем его едят.
CSRF — это вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Если жертва заходит на сайт, созданный злоумышленником, от её лица тайно отправляется запрос на другой сервер (например, на сервер платёжной системы), осуществляющий некую вредоносную операцию (например, перевод денег на счёт злоумышленника). Для осуществления данной атаки, жертва должна быть авторизована на том сервере, на который отправляется запрос, и этот запрос не должен требовать какого-либо подтверждения со стороны пользователя.
Данный тип атак, вопреки распространённому заблуждению, появился достаточно давно: первые теоретические рассуждения появились в 1988 году, а первые уязвимости были обнаружены в 2000 году.
Одно из применений СSRF — эксплуатация пассивных XSS, обнаруженных на другом сервере. Так же возможны отправка спама от лица жертвы и изменение каких-либо настроек учётных записей на других сайтах(например, секретного вопроса для восстановления пароля).