[閒聊] 無形成本就在這裡

看板toberich作者LaPass (LaPass)時間11年前 (2012/11/15 15:39)推噓6(7推 1噓 8→)

留言16則, 12人參與討論串1/1

被XXS攻擊搞到停站的網站 http://f23ko.com/432/popo-tw http://www.popo.tw/ http://i.imgur.com/07WBw.jpg

http://i.imgur.com/LyLB7.jpg

雖然聽別人講過這次攻擊的手法但我PO這篇的重點跟技術無關，只是借題發發牢騷而已簡單來講，就是這個站被駭到讓站方關站維修了其實..... 那個漏洞已經足已將使用者資料給撈走，而且不留任何痕跡那駭客會這麼高調是為了把漏洞給桶出來我自己本身是寫網頁程式的主要工作的是在後端看到這個畫面，感觸很深有些看不到的東西，是很貴的很多防護、撰寫程式要注意的細節，很傷神又費工但客戶、老闆、主管往往看不到，也不會去看那些地方他們只會看、也只看得懂那些前端部分例如版面怎麼排、圖漂不漂亮、滑鼠移上去會不會出現提示訊息之類的小地方而且評鑑進度時，也只會看XXX功能有沒有完成之類的安全性等功能，通常會被忽略因為客戶不懂、也不會去注意這一方面有時候，客戶可能也會有一些安全性上的要求例如說，要求變更私人資料時要再次輸入密碼但是，該怎麼實行又是個大問題我看過只出現個視窗驗證密碼，但是session cookies全部都沒動也就是說，那個驗證功能根本是「假的」頂多防止，別人趁使用者離開電腦時去修改他的資料而已要探究這種現象原因，大概又是因為趕工、規格變動的關係而有意無意把那些考量給忽略了其實，要寫出一個堅固、好的程式，需要縝密思考很多非預期的使用者行為，根本不是客戶規畫中會去想的但如果要把資安問題納入考量，這些都是寫程式時要去想、做的功能或許有些剛進入這一行的人會去思考這些東西但是，去做了之後就會發現，客戶、主管根本不會感激你做了這些防護只會因為你沒使用最快的方式把功能給做出來，而發火、扣款等而且，多做防護的另一個負面效果就是當客戶要求變更規格時，容易讓程式變得難以修改有時候流程、規格變化之大，讓人難以想像老實說，潛在漏洞，並不是那麼容易出問題我曾經在一個已經運行將近十年的網頁系統上發現一個重大漏洞而且這個漏洞是在系統的核心元件上也就是說這十年間不論是在哪個網頁頁面，都可以用幾行script 把整個系統的資料庫整個幹掉但這個漏洞卻這樣沉睡了十年，沒人發現過..... 所以..... 懂程式、懂攻擊的人並不多即使一個程式設計師了解安全性的嚴重性在這種得過且過的環境下，久而久之，也就不會在乎那些東西當程式設計師變成主管、老闆時他也知道在客戶的眼中，安全性的順位排在很後面自然會叫屬下先弄出漂亮的介面跟華麗的flash來討客戶開心而把安全問題忽略掉了反正，出問題時，吃虧的是客戶，也不是自己 -- ※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 61.59.16.65

噓

koller

11/15 17:20, , 1^F

11/15 17:20, 1^F

→

LaPass

11/15 18:53, , 2^F

11/15 18:53, 2^F

推

Giuliani

11/15 21:26, , 3^F

11/15 21:26, 3^F