Module 6 Part 4 Introduction to Information Security

Module 6 Part 4YouTube↗ IA↗(long shot)
People & Blogs 740 views 1 likes 0 dislikes 06 Feb 2015

Introduction to Information Security – I 1.3K subscribers N/A YouTube↗

Now, we will take a look at Open Web Application Security Project. OWASP is a open community, it is a non for profit organization, the primary purpose or core purpose is to be the thriving global community that drives visibility and evolution

अब, हम ओपन वेब एप्लीकेशन सिक्योरिटी प्रोजेक्ट पर एक नज़र डालेंगे। ओडब्ल्यूएएसपी एक खुला समुदाय है, यह एक गैर- लाभ संगठन है, इसका प्राथमिक

उद्देश्य या मुख्य उद्देश्य वैश्विक

in the safety and security of the world's software. So, if you need to know the back ground of OWASP and other details you can go to www.OWASP.org. What are the principles of OWASP? One it is free and open, it is governed by rough consensus and running code, abide by

समुदाय बनना है, जो विश्व के सॉफ्टवेयर की सुरक्षा में दृश्यता और विकास को संचालित करता है। यदि आपको ओडब्ल्यूएएसपी और अन्य विवरणों

a code of ethics it is not for profit, it is not driven by commercial interest and it follows of risk based approach. The vision for OWASP is for the builders, the breakers or hackers and the defenders. Now, what all areas covered; the platform is OWASP meaning that is the foundation then

के पीछे का आधार जानना है तो आप www.ओडबल्यूएएसपी.org पर जा सकते हैं। ओडब्ल्यूएएसपी के सिद्धांत क्या हैं?

there is a global committee and board for OWASP, the stake holder focus can be either

एक यह मुफ़्त और खुला है, यह आम सहमति और

the builder, the breaker or the defender; projects again the same; outreach the same.

चल रहे कोड द्वारा शासित है, आचार संहिता

Now, when we save breakers you can save in the positively were it is someone who tries to test the system for security class one and need not necessarily be occurs, but it could be information security professional within the organization. OWASP has a lot of resources and some of the projects that OWASP has done is enterprise

के अनुसार यह लाभ के लिए नहीं है, यह वाणिज्यिक हित से प्रेरित नहीं है और यह जोखिम आधारित दृष्टिकोण का अनुसरण

security API, ESAPI which is the collection of all security methods that a developer needs

करता है। ओडबल्यूएएसपी का विज़न बिल्डरों, ब्रेकर्स

to build a secure web application. Zed attack proxy which is zap, which is easy to use integrated penetration testing tool for finding vulnerabilities in web application.

या हैकर्स और रक्षकों के लिए है। अब, किन क्षेत्रों को कवर किया गया है;

Security shepherd, which is the CBT application for web and mobile security awareness and education.

मंच ओडबल्यूएएसपी है, जिसका अर्थ है

Then, there is massive document covering all aspects of web application and web service

कि वह नींव है।

security on the development guide. We willlook at the OWASP the top 10 they have been different versions released over a period of years it is basically a guide line to conduct web application security audits or to assess the web application security risk.

ओडबल्यूएएसपी के लिए एक वैश्विक समिति और बोर्ड है, हिस्सेदारी धारक का ध्यान या तो बिल्डर, ब्रेकर या डिफेंडर पर हो

OWASP by following OWSAP you have a guided or organized approach to testing information

सकता है; परियोजनाएं फिर से वही; आउटरीच

security in web applications.

वही है।

But, it does not mean that is the end of testing of web applications, because you there are like I said in the beginning, there are several other areas which you will have tested manually it may fall in to the one of the categories of OWASP, but then step by step details are not given for example, existence of captcha is not mentioned in your but, it should come

अब, जब हम ब्रेकरों को बचाते हैं तो आप सकारात्मक रूप से बचा सकते हैं, यह वह व्यक्ति था जो सुरक्षा वर्ग एक के लिए सिस्टम का परीक्षण करने की कोशिश करता है

under it to which is broken access and an authentication. So, similarly audit trails should come in one of the categories. So, you have to do a lot of manual testing as well in order to ensure that the application

और जरूरी नहीं कि ऐसा हो, लेकिन यह संगठन

that you are auditing or you are accessing it is secure. Theremay be minute things which you may feel that it is not of consequences, but then it does carry a lot of risk. So, OWASP will give you a basic guideline on how to conduct web application audits.

के भीतर सूचना सुरक्षा पेशेवर हो सकता है। ओडबल्यूएएसपी के पास बहुत सारे संसाधन हैं और कुछ परियोजनाएँ जो ओडबल्यूएएसपी

What are the categorization of vulnerabilities or threats?

And how your report structure can be the simple ways I have a 1 to a 10?

ने की हैं, एंटरप्राइज़ सिक्योरिटी एपीआई,

So, classify all the risk in each of the categories of watched. So, I get a very nice frame work to work on, so was we will give you that guideline, but you need to work on different architectures to understand the intricacies of OWASP Top 10.

ईएसएपीआई है, जो सभी सुरक्षा विधियों का संग्रह है जिसे एक डेवलपर को सुरक्षित वेब एप्लिकेशन बनाने की आवश्यकता होती

For example, when you do a security assessment in a PHP environment it may be totally different than what you would do in a ASP IaaS based environment.

है। जेड अटैक प्रॉक्सी जो जैप है, जो वेब

So, you each audit like I said is a new experience. So, as you go step by step into auditing applications or assessing the security of the application you will come to know that OWASP is indeed or very useful guideline to follow. The top 10 2013 has got, again top 10 OWASP web as always being top 10.

एप्लिकेशन है, में कमजोरियों को खोजने के लिए एकीकृत पैठ परीक्षण उपकरण का उपयोग करना आसान है। सुरक्षा शेपर्ड, जो वेब और मोबाइल

Now, under 2013 version A 1 is injection, A 2 is broken authentication and session management,

सुरक्षा जागरूकता और शिक्षा के लिए सीबीटी अनुप्रयोग है।

A 3 XSS, A 4 is in secure direct object reference, A 5 security misconfiguration, A 6 is sensitive data exposure, A 7 is missing function level access control, A 8 is cross site request forgery, A 9 is using known vulnerable components and A 10 is unvalidated redirects and forwards.

फिर, विकास गाइड पर वेब एप्लिकेशन और वेब सेवा सुरक्षा के सभी पहलुओं को कवर करने वाले बड़े पैमाने के दस्तावेज़ है।

Now, we are added one more thing of OWASP which was Ex-A6 which isis information leakage and improper error handling to this.

हम ओडबल्यूएएसपी के शीर्ष 10 पर ध्यान देंगे, वे विभिन्न संस्करणों में वर्षों

So, that you will understand how the classification has been done. The top 10 risk rating methodology is this we just taken from OWASP again, there are threat agents and then there are attack vectors, which exploits the security weaknesses, which in turn gives you what control you have to put and what are the technical impacts of

से जारी हैं, यह मूल रूप से वेब एप्लिकेशन सुरक्षा ऑडिट करने के लिए या वेब एप्लिकेशन सुरक्षा जोखिम का आकलन करने के लिए एक गाइड लाइन है।

that what function has to be change, ultimately what is the business impact.

ओडब्ल्यूएसएपी का पालन करके ओडब्ल्यूएएसपी

Now, if you see the table below question mark we have put. So, if there is a threat agent or whatever threat agent, the attack vector is classified as easy, average and difficult. That means, particular exploit is easy to attack it is of average difficulty and it

आपके पास वेब अनुप्रयोगों में सूचना सुरक्षा के परीक्षण के लिए एक निर्देशित या संगठित दृष्टिकोण है। लेकिन, इसका मतलब यह नहीं है कि वेब

is very difficult to attack. The weakness prevalence is widespread that means it is affects a large number of systems and again weakness prevalence is common means it is a common occurrence and the third one is uncommon means it has not happen very frequently it is rarely it happens and detectability

अनुप्रयोगों के परीक्षण का अंत है, क्योंकि आप वहां हैं, जैसे मैंने शुरुआत में

of the weakness is again average easy, average and difficult; there are some vulnerability

कहा था, कई अन्य क्षेत्र हैं जिन्हें आपने

that you can easily detect some with an average time frame and third it is very difficult

मैन्युअल रूप से परीक्षण किया होगा,

to defect, but it still exist technical impact is severe moderate or minor.

यह ओडब्ल्यूएएसपी की श्रेणियों में

So, that is self explanatory and the business impact based on the vulnerability how we it affects the function, how we affect the business that will be put.

से एक में आ सकता है , लेकिन फिर स्टेप

If you see this the weighted risk rating equal to probability into impact.

बाय स्टेप विवरण उदाहरण के लिए नहीं

Now, if you see an example there is a particular threat agent which has got an attack vector of one the weakness problems of 2, the weakness detectability as 2 and the technical impact as 1. So, 1 plus 2 plus 2 divided by 3, so you are taking average 1.66.

दिए गए हैं, कैप्चा के अस्तित्व का आपके में उल्लेख नहीं किया गया है, लेकिन

So, if you see the attack vector the weakness prevalence and detectability, it is 1.66.

इसे इसके अंतर्गत आना चाहिए, जो कि मिली

Now, weakness prevalence, the weakness detectability and technical impact is also 1.66, because

हुई पहुंच और एक प्रमाणीकरण है।

1.66 in to 1 is 1.66 again how the 1.66 need 1.66 in to 1 because the technical impact

तो, इसी तरह ऑडिट ट्रेल्स को एक कैटेगरी में

is 1, this is just to show you how the risk rating methodology is. So, for different threat agencies, the risk weightage will be different, the calculation even though is a similar the output will be different say let us say that there is a weighted risk rating of 7.5 then you have to classify as sever, if it is 9 or 10 then it is catastrophic.

आना चाहिए। आपको यह सुनिश्चित करने के लिए बहुत सारे मैनुअल परीक्षण करने होंगे कि आप जिस एप्लिकेशन का ऑडिट कर रहे हैं या

So, again depending on the kind of risks that are coming out, the kind of vulnerability

आप जिसे एक्सेस कर रहे हैं वह सुरक्षित

there are dropping out and depending upon the attack vector,weakness prevalence weakness detectability, the averages from and then ultimately you can see what ever impact for

है। मिनट की चीजें हो सकती हैं जो आपको

the organization as a whole. Are there any alternatives to OWASP top 10 there are like your SANS top 25 let us take

लग सकता है कि यह परिणाम में नहीं है, लेकिन

a... So, here in SANS, CWE SANS top 25 most dangerous software errors, this is 2011 version, there

फिर यह बहुत अधिक जोखिम उठाती है। तो, ओडबल्यूएएसपी आपको वेब एप्लिकेशन

are 25 categories here; you can match the 10 categories of OWASP to certain categories of SANS top 25 also.

ऑडिट करने के तरीके के बारे में एक बुनियादी

Now, you just see many of these are development related also in the CSRF is that as point

दिशानिर्देश देगा। कमजोरियों या खतरों का वर्गीकरण क्या है?

12 and in a OWASP top 10 also it is there, buffer over flow it is categorized under some

और आपकी रिपोर्ट संरचना में सरल तरीके

other domain in OWASP here it is there in three, then improper limitation of path name

कैसे हो सकते हैं, मेरे पास 1 से 10 तक

path traversal or directory traversal which is there in both. This is the remaining, download of code without integrity check, incorrect authorization, inclusion of functionality from untrusted control sphere, incorrect permission assignment, use of potentially dangerous function, use of a broken or risky cryptographic algorithm

के हैं? इसलिए, देखे गए श्रेणियों में से प्रत्येक में सभी जोखिम को वर्गीकृत करें। मुझे काम करने के लिए एक बहुत अच्छा

which is there in OWASP under different name, incorrect calculation of buffer size, improper

फ्रेमवर्क मिलता है, हम आपको वह दिशानिर्देश

restriction of excessive authentication attempts, URL redirection open redirection also classified under one of the domains of OWASP, uncontrolled format string, integer overflow, use of one way hash without a salt.

देंगे, लेकिन आपको ओडबल्यूएएसपी टॉप 10 की पेचीदगियों को समझने के लिए विभिन्न आर्किटेक्चर पर काम करने की आवश्यकता

So, OWASP was a CWE/SANS when a look at it both are like different sites of the same coin PCI DSS points to both as industry best practices.

है। उदाहरण के लिए, जब आप पीएचपी में एक

So, if you need a PCI DSS certifications you can either follow OWASP top 10 or CWE/SANS

सुरक्षा मूल्यांकन करते हैं, यह पूरी

top 25. Now, the optimal knowledge level is you be similar with both, because except for a few variations the standard the run in parallel or the guidance run in parallel. We have to keep read-writing a particular thing is do not perform any attacks on servers,

तरह से अलग हो सकता है कि आप एएसपी आईएएएस आधारित वातावरण में क्या करेंगे। यह एक नया अनुभव है।

we have all ready discussed in the beginning of this module. So, do not perform any attacks on servers, networks and applications, you do not own

जैसे आप अनुप्रयोगों के ऑडिट में कदम रखते

and operate yourself; that means, do not touch anybody else's systems, servers, network, if you have a specific permission from the owner of that infrastructure you can do it analysis it is a no no. Now, we will continue with the top 10 before starting the top 10 we will just look at Ex-A6

हैं या आवेदन की सुरक्षा का आकलन करते हैं, आपको पता चल जाएगा कि ओडबल्यूएएसपी वास्तव में पालन करने के लिए बहुत

of 2007 version which is improper leakage and improper error handling.

उपयोगी दिशानिर्देश है।

If you see here the prevalence is the widespread and the impact is minor, take a look at this particular site and can you find out what information is leaked here, probably we will

शीर्ष 10 2013 मिल गया है, फिर से शीर्ष 10 ओडब्ल्यूएएसपी वेब है, जैसा कि हमेशा

hold like this for a couple of vacant.

शीर्ष 10 रहा है।

So, that you can see what kind of information is leaked here. So, the fact is applications can unintentionally leak, information about their configuration

अब, 2013 संस्करण के तहत ए 1 इंजेक्शन है, ए 2 टूटा हुआ प्रमाणीकरण और सत्र प्रबंधन,

or internal workings or violation privacy. Internal state via how long they take to process certain operations or via different responses

ए 3 एक्सएसएस, ए 4 सुरक्षित प्रत्यक्ष वस्तु

to different or different inputs, information about their internal state through detailed

संदर्भ में है, ए 5 सुरक्षा गलतफहमी,

or debug error messages, this information can be leveraged to launch or even automate more powerful attacks . Now, if you go back to that slide you know what is leaked here errors OTRS, CGI, top 10, OX, Linux, time is given, message, remote, address is also available 57, 66, 70 something, then we trace back is quite a bit of information

ए 6 संवेदनशील डेटा एक्सपोज़र है, ए 7 लापता फ़ंक्शन स्तर एक्सेस कंट्रोल है, ए 8 क्रॉस साइट अनुरोध जालसाजी है, ए 9 ज्ञात

which is coming here. Now, using this information and attacker can potentially get a lot or we can customize the attack to see this particular environment from information leakage.

कमजोर घटकों का उपयोग कर रहा है और ए 10 अप्रभावित पुनर्निर्देश और आगे है।

So, this is what was there in A6 of 2007 and this could give a lot of information to the

अब, हमने ओडबल्यूएएसपी की एक और चीज़ जोड़ी

attack of to proceed further on how to attack the system. So, there is a possibility of a information harvesting that is implementation details

है, जो है एक्स-A6 जो कि जानकारी का रिसाव

we saw that server OS and version was there, programming language, language version, VM

और अनुचित त्रुटि से निपटने के लिए

vendor, I mean there are possibility that this could be leaked. Database Oracle, mySQL and detail about the version, the schema names, tables names, column

है। तो, आप समझ जाएंगे कि वर्गीकरण कैसे

names, names and versions of used third party libraries if any had use. Other useful information that we will get a stack traces, debugging information, SQL statements and some cases even the passwords again depends on how the application it is developed and how it is configure.

किया गया है। शीर्ष 10 जोखिम रेटिंग कार्यप्रणाली यह है कि हमने सिर्फ ओडबल्यूएएसपी से फिर से लिया है, खतरे के एजेंट हैं और फिर

Many of you will have a internet banking sites or you will be subscribing to certain sites for information for account transfer or so many other things. So, how to you login a failed attempt.

हमला करने वाले वैक्टर हैं, जो सुरक्षा कमजोरियों

Now, if you see the first on the left it says security notice, the user name does not exist,

का फायदा उठाते हैं, जो बदले में आपको

please choose a valid username and try again that is one kind of pop up.

नियंत्रण देता है और क्या तकनीकी प्रभाव

The second one is the password was not correct, please correct your password and try again

होते हैं, किस फ़ंक्शन को बदलना पड़ता है,

versus third one is warning your login was not successful either username or password

आखिरकार व्यापार प्रभाव क्या है।

was wrong please try again. So, when you looked at this is very evident that one of the right hand side, the only one this is right one can a system tell you or tell a potential attacker that your user name does not exists.

अब, यदि आप प्रश्न चिह्न के नीचे दी गई तालिका देखते हैं, हमने डाल दिया

So, if we know sure that particular user name does not exist we will go on trying some other user names, if you password was not corrected or not correct again if the system tells you

है। यदि कोई खतरा एजेंट या जो भी खतरा एजेंट

the password is not correct; obviously, it is going to tell you or other we to login when the password is correct. So, you eliminate a certain level of task or hard work when you get these kind of messages. Now, the correct one is your login was not successful, either user name or password is

है, उसमे हमले के वेक्टर को आसान, औसत और कठिन के रूप में वर्गीकृत किया गया है।

wrong please try again, most of the sites use the one on the right, but I have seen instances, where the first one and the second one the one's in the yellow also where use,

इसका मतलब है कि, विशेष रूप से शोषण करने

which is actually if you see it is stupid because that is not the kind of message that should be put on a website or other the application it gives the attacker a whole lot of information

के लिए हमला करना आसान है यह औसत कठिनाई

he knows also. Suppose I try admin it says username does not exist, so I know admin is not there similarly administrator or root. So, there are several ways to gather information it is the way it is done is more important,

है और हमला करना बहुत मुश्किल है। कमजोरी की व्यापकता का अर्थ है कि यह बड़ी संख्या में प्रणालियों को प्रभावित करता

possibility is suppose you use at tool like THC high drop for web application brute force academy, suppose the login and password screen is not validated for 3 unsuccessful attempts or 5 unsuccessful attempts the tool will keep trying different combinations of user name

है और फिर से कमजोरी का प्रसार आम है इसका मतलब यह है कि यह एक सामान्य घटना है

and password. So, a brute force or a dictionary attack and be done. So, when such a situation happens based on the error messages or based on the information that the server is going to give you, the attacker can fine tune the tool to say this

और तीसरा एक असामान्य साधन है, बहुत बार ऐसा नहीं होता है यह शायद ही कभी होता

is what I need to check; so that becomes very dangerous for the application. In fact, you are speeding up the process of attack rather than delaying it.

है और कमजोरी का पता लगाना फिर से आसान,

As say sample see how to handle a failed login attempt. Now, the syntax may not be right it is just for a explanation that we are given yet.

औसत और मुश्किल है; कुछ भेद्यतायें है,

The two yellow once is a wrong one versus the warning message what you hear is the right

जिन्हे आसानी से एक औसत समय सीमा के

one. So, if you read through the statement you with no the differences in the syntax, not in the syntax in the way that he application has been written and how the application will handle these instances.

साथ पता कर सकते हैं और तीसरा यह पता करना बहुत मुश्किल है, लेकिन यह अभी भी मौजूद

So, what is the protection for this; the common approach to exception handling, disable or limit detailed error messages only give what is required, in some places are seeing 403 forbidden. So, forbidden when you get a 403 error you know that there is a directory.

है तकनीकी प्रभाव गंभीर, मध्यम या मामूली है। तो, यह आत्म व्याख्यात्मक है और भेद्यता पर

Now, instead of 403 imagine a situation that I give a 404 error instead of 403 error, so

आधारित व्यापार प्रभाव है कि हम इसे कैसे

it become is difficult to find out whether that directory really exist. So, I have the actually do a invasive scanning to find out whether the directory really exist. Otherwise, the error messages itself will tell you that yes there is a directory like

प्रभावित करते हैं, हम उस व्यवसाय को कैसे प्रभावित करते हैं, जो डाला गया है।

this and access not for method to that directory. Ensure that secure paths that have multiple outcomes return similar or identical error messages in roughly the same time and create a default error handler which returns an appropriately

यदि आप इसे देखते हैं वेटेड रिस्क रेटिंग = संभावना * प्रभाव । यदि आप एक उदाहरण

sanitized error message for most users in production for all error paths. Now, instead of displaying the OS version, the data base version and other confidential information there should be a default error handler, where the errors can be customized and say for this kind of the error, this is the error page that we will come for this

देखते हैं कि एक विशेष खतरा एजेंट है, जिसे 2 कमजोर समस्याओं में से एक हमला वेक्टर मिला है, कमजोरी का पता लगाने के लिए

kind of error this should be displayed.

So, you should have error handler which will return the appropriately sanitized, sanitized means after filtering of the critical information or if there is a chance of information disclosure that information should be remove and the appropriately message should be put, it could just be that no page not found or it could be there function not found.

2 और तकनीकी प्रभाव के लिए 1। 1 प्लस 2 प्लस 2 को 3 से विभाजित किया गया है, औसतन 1.66 ले रहे हैं।

So, it could be any message like that, but details of the data base, the OS, the version,

इसलिए, यदि आप हमले के वेक्टर को कमजोरी की व्यापकता और पहचान की क्षमता देखते हैं, तो यह 1.66 है। अब, कमजोरी की व्यापकता, कमजोरी का पता लगाना

और तकनीकी प्रभाव भी 1.66 है, क्योंकि 1.66 गुणित 1, 1.66 है।

the frame work, the library.

अब 1.66 को 1 से गुना करने की आवश्यकता क्यों है क्योंकि तकनीकी प्रभाव 1 है, यह आपको केवल यह दिखाने के लिए है कि जोखिम रेटिंग मनोविज्ञान कैसा है।

विभिन्न खतरे वाली एजेंसियों के लिए, जोखिम भार भिन्न होगा, भले ही गणना एक समान हो, लेकिन आउटपुट अलग-अलग होगा, हम कहें कि 7.5 की भारित जोखिम रेटिंग है,

तो आपको इसे गंभीर रूप से वर्गीकृत करना होगा, यदि यह 9 या 10 है तो यह भयावह है। इसलिए, फिर से जिस तरह के जोखिम सामने

आ रहे हैं, उस पर निर्भर करता है कि किस तरह भेद्यता गिर रही है और हमला वेक्टर, कमजोरी की पहचान, औसत से और फिर अंततः आप संगठन के लिए क्या प्रभाव देख सकते

हैं सब कुछ। क्या ओडबल्यूएएसपी के शीर्ष 10 में कोई विकल्प हैं, आपके एसएएनएस के शीर्ष 25 हैं।

तो, यहाँ, एसएएनएस में, सीडबल्यूई एसएएनएस शीर्ष 25 सबसे खतरनाक सॉफ़्टवेयर त्रुटियों, यह 2011 संस्करण है , यहाँ 25 श्रेणियां हैं; आप ओडबल्यूएएसपी की 10 श्रेणियों को

एसएएनएस के शीर्ष 25 श्रेणियों में भी मैच कर सकते हैं। अब, आप देखते हैं कि इनमें से कई सीएसआरएफ में भी विकास से संबंधित हैं।

बिंदु 12 के रूप में और एक ओडब्ल्यूएएसपी शीर्ष 10 में भी यह है, प्रवाह पर बफर इसे ओडब्ल्यूएएसपी में कुछ अन्य डोमेन के तहत वर्गीकृत किया गया है, यह तीन

में है। फिर पथ नाम पथ अनुक्रमणिका या निर्देशिका अनुक्रमणिका की अनुचित सीमा जो दोनों में है। यह शेष है, प्रामाणिकता जांच के बिना कोड

डाउनलोड, गलत प्राधिकरण, अविश्वास नियंत्रण क्षेत्र से कार्यक्षमता का समावेश, गलत अनुमति असाइनमेंट, संभावित खतरनाक फ़ंक्शन का उपयोग, जोखिम भरा क्रिप्टोग्राफिक

एल्गोरिथ्म का उपयोग जो विभिन्न नाम के तहत ओडबल्यूएएसपी में है, बफर आकार की गलत गणना, अत्यधिक प्रमाणीकरण प्रयासों का अनुचित प्रतिबंध, यूआरएल पुनर्निर्देशन

खुले पुनर्निर्देशन को डोमेन में से एक के तहत वर्गीकृत किया गया है। ओडबल्यूएएसपी, अनियंत्रित प्रारूप स्ट्रिंग, पूर्णांक अतिप्रवाह, एक तरह से बिना नमक

के हैश का उपयोग। तो, ओडबल्यूएएसपी सीडबल्यूई / एसएएनएस था, ये दोनों एक ही सिक्के के विभिन्न साइटों की तरह हैं पीसीआई डीएसएस दोनों

को उद्योग की सर्वोत्तम प्रथाओं के रूप में इंगित करता है। इसलिए, यदि आपको पीसीआई डीएसएस प्रमाणपत्रों की आवश्यकता है, तो आप ओडबल्यूएएसपी

शीर्ष 10 या सीडबल्यूई / एसएएनएस शीर्ष 25 का अनुसरण कर सकते हैं। इष्टतम ज्ञान का स्तर दोनों के साथ समान है, क्योंकि कुछ भिन्नताओं के

अलावा मानक दोनों में समानांतर या रन में चलता है। मार्गदर्शन समानांतर चलता है। हमें पढ़ना-लिखना जारी रखना है, एक खास

बात यह है कि सर्वर पर कोई हमला ना करें, हम इस मॉड्यूल की शुरुआत में चर्चा के लिए तैयार हैं। सर्वर, नेटवर्क और एप्लिकेशन पर कोई

भी हमला न करें, आप अपने आप को संचालित नहीं करते हैं; इसका मतलब है, किसी और के सिस्टम, सर्वर, नेटवर्क को न छूएं, अगर आपके पास उस इंफ्रास्ट्रक्चर के मालिक से विशिष्ट

अनुमति है, तो आप इसका विश्लेषण कर सकते हैं। अब, हम शीर्ष 10 के साथ जारी रखेंगे शीर्ष 10 शुरू करने से पहले हम सिर्फ 2007 संस्करण

के एक्स-ए 6 को देखेंगे जो अनुचित रिसाव और अनुचित त्रुटि हैंडलिंग है। अगर आप यहाँ देखें तो व्यापकता व्यापक है और प्रभाव मामूली है, इस विशेष साइट

पर एक नज़र डालें, क्या आप पता लगा सकते हैं कि यहाँ क्या जानकारी लीक हुई है। आप देख सकते हैं, कि यहां किस तरह की जानकारी

लीक हुई है। तो, यह तथ्य यह है कि आवेदन अनजाने में लीक हो सकता है, उनके विन्यास या आंतरिक कामकाज या उल्लंघन की गोपनीयता

के बारे में जानकारी। आंतरिक स्थिति कितनी देर तक वे कुछ ऑपरेशनों को करने के लिए या अलग-अलग या अलग-अलग इनपुट के लिए अलग-अलग प्रतिक्रियाओं के

माध्यम से, विस्तृत या डिबग त्रुटि संदेशों के माध्यम से अपने आंतरिक स्थिति के बारे में जानकारी प्राप्त करते हैं, इस जानकारी को लॉन्च करने या अधिक शक्तिशाली

हमलों को स्वचालित करने के लिए लीवरेज किया जा सकता है। अब, यदि आप उस स्लाइड पर वापस जाते हैं, तो आप जान जाएगे कि यहां क्या लीक हुआ

है त्रुटियां ओटीआरएस, सीजीआई, शीर्ष 10, ओएक्स, लिनक्स, समय, संदेश, रिमोट, पता 57, 66, 70 इस तरह कुछ, तो हम वापस ट्रेस करते हैं काफी जानकारी है जो यहाँ आ रही है।

अब, इस सूचना और हमलावर के उपयोग से संभावित रूप से बहुत कुछ प्राप्त हो सकता है या हम सूचना के रिसाव से इस विशेष वातावरण को देखने के लिए हमले को अनुकूलित कर सकते हैं।

तो, यह वही है जो 2007 के ए 6 में था और यह सिस्टम को हमला करने के तरीके पर आगे बढ़ने के लिए बहुत सारी जानकारी दे सकता है।

इसलिए, यहा सूचना प्राप्त करने की संभावना है, जो कार्यान्वयन विवरण है हमने देखा कि सर्वर ओएस और संस्करण वहाँ था, प्रोग्रामिंग भाषा, भाषा संस्करण, वीएम विक्रेता, मेरा

मतलब है कि संभावना है कि यह लीक हो सकता है। डेटाबेस ओरेकल, माइएसक्यूएल और संस्करण के बारे में विस्तार से, स्कीमा नाम, टेबल नाम, स्तंभ

नाम, और उपयोग किए गए तीसरे पक्ष के पुस्तकालयों के संस्करण अगर कोई भी उपयोग किया था। अन्य उपयोगी जानकारी जो हमें स्टैक के

निशान, डिबगिंग की जानकारी, एसक्यूएल स्टेटमेंट और कुछ मामलों में मिलेगी, यहां तक कि पासवर्ड भी, इस बात पर निर्भर करते हुये कि यह कैसे विकसित होता है और

कैसे कॉन्फ़िगर होता है। आपमें से कई लोगों के पास इंटरनेट बैंकिंग साइटें होंगी, खाता स्थानांतरण या अन्य कई चीजों की जानकारी के लिए कुछ साइटों

की सदस्यता लेंगे। तो, आप एक असफल प्रयास को कैसे लॉगिन करते हैं। अब, यदि आप पहली बार बाईं ओर देखते हैं

तो यह सुरक्षा सूचना कहती है, उपयोगकर्ता नाम मौजूद नहीं है, कृपया एक वैध उपयोगकर्ता नाम चुनें और फिर से प्रयास करें जो एक प्रकार का पॉप अप है।

दूसरा है कि पासवर्ड सही नहीं था, कृपया अपना पासवर्ड सही करें और फिर से प्रयास करें। तीसरा यह चेतावनी है कि आपका लॉगिन

सफल नहीं था या तो उपयोगकर्ता नाम या पासवर्ड गलत था कृपया फिर से प्रयास करें। इसलिए, जब आपने देखा कि यह बहुत स्पष्ट है कि एक दाहिने हाथ की ओर, केवल एक यह

सही है तो एक सिस्टम आपको बता सकता है या संभावित हमलावर को बता सकता है कि आपका उपयोगकर्ता नाम मौजूद नहीं है। इसलिए, यदि हम जानते हैं कि विशेष उपयोगकर्ता

नाम मौजूद नहीं है, तो हम कुछ अन्य उपयोगकर्ता नामों की कोशिश करेंगे, यदि पासवर्ड सही नहीं था या नाम सही नहीं है यदि सिस्टम आपको बताता है कि पासवर्ड सही नहीं

है; जाहिर है, यह आपको पासवर्ड को सही करने के लिए लॉगिन करने के लिए या अन्य कुछ बताया जा रहा है। इसलिए, जब आप इस प्रकार के संदेश प्राप्त

करते हैं, तो आप एक निश्चित स्तर के कार्य या कड़ी मेहनत को समाप्त कर देते हैं। अब, आपका लॉगिन सफल नहीं था, या तो उपयोगकर्ता

नाम या पासवर्ड गलत है कृपया फिर से प्रयास करें, अधिकांश साइटें दाईं ओर एक का उपयोग करती हैं, लेकिन मैंने ऐसे उदाहरण देखे हैं, जहां पहला और दूसरा एक पीले रंग

में भीउपयोग होता है, जो अगर आप देखते हैं तो यह बेवकूफी है क्योंकि यह उस तरह का संदेश नहीं है जिसे किसी वेबसाइट या अन्य एप्लिकेशन पर डाला जाना चाहिए,

यह हमलावर को पूरी जानकारी देता है जिसे वह भी जानता है। मान लीजिए, मैं कोशिश करता हूं कि यह कहा जाए कि उपयोगकर्ता नाम मौजूद नहीं है,

तो मुझे पता है कि व्यवस्थापक समान रूप से व्यवस्थापक या रूट नहीं है। जानकारी इकट्ठा करने के कई तरीके हैं, यह जिस तरह से किया जाता है वह अधिक महत्वपूर्ण

है, संभावना है कि आप इस टूल का उपयोग करते हैं जैसे कि वेब एप्लिकेशन ब्रूट फोर्स अकादमी के लिए टीएचसी उच्च ड्रॉप, लॉगिन और पासवर्ड स्क्रीन 3 असफल के

लिए मान्य नहीं है प्रयास या 5 असफल प्रयास उपकरण उपयोगकर्ता नाम और पासवर्ड के विभिन्न संयोजनों की कोशिश करते रहेंगे। तो, एक क्रूर बल या एक शब्दकोश हमला

और किया जाना चाहिए। इसलिए, जब ऐसी स्थिति त्रुटि संदेशों के आधार पर या उस जानकारी के आधार पर होती है जो सर्वर आपको देने जा रहा है, तो हमलावर

यह कहने के लिए टूल को ठीक से ट्यून कर सकता है कि मुझे क्या जांचना है; ताकि आवेदन के लिए बहुत खतरनाक हो जाए। वास्तव में, आप इसमें देरी करने के बजाय

हमले की प्रक्रिया को तेज कर रहे हैं। जैसा कि नमूना देखें कि एक असफल लॉगिन प्रयास को कैसे संभालना है। अब, वाक्यविन्यास सही नहीं हो सकता

है यह सिर्फ एक स्पष्टीकरण के लिए है जो हमें अभी तक दिया गया है। दो पीले एक बार एक गलत बनाम एक चेतावनी संदेश है जो आप सुनते हैं वह सही है।

इसलिए, यदि आप कथन के माध्यम से पढ़ते हैं तो सिंटैक्स में कोई अंतर नहीं है, सिंटैक्स में उस तरह से नहीं है जिस तरह से वह लिखा गया है और आवेदन इन

उदाहरणों को कैसे हैंडल करेगा। तो, इसके लिए क्या सुरक्षा है; अपवाद से निपटने के लिए सामान्य दृष्टिकोण, विस्तृत त्रुटि संदेश को अक्षम या सीमित

करें केवल वही दें जो आवश्यक है, कुछ स्थानों पर 403 निषिद्ध हैं। जब आपको 403 त्रुटि मिलती है तो आप जानते हैं कि एक निर्देशिका है।

अब, 403 के बजाय एक स्थिति की कल्पना करें कि मैं 403 त्रुटि के बजाय 404 त्रुटि देता हूं, यह पता लगाना मुश्किल है कि क्या वास्तव में वह निर्देशिका मौजूद है या नहीं।

मेरे पास वास्तव में इनवेसिव स्कैनिंग है ताकि यह पता लगाया जा सके कि क्या निर्देशिका वास्तव में मौजूद है। अन्यथा, त्रुटि संदेश स्वयं आपको बताएंगे

कि हां इस तरह एक निर्देशिका है और उस निर्देशिका के लिए विधि के लिए उपयोग नहीं है। सुनिश्चित करें कि कई परिणामों वाले सुरक्षित पथ एक ही समय में समान त्रुटि

संदेश लौटाते हैं और डिफ़ॉल्ट त्रुटि हैंडलर बनाते हैं जो सभी त्रुटि पथों के लिए उत्पादन में अधिकांश उपयोगकर्ताओं के लिए एक उचित रूप से स्वीकृत त्रुटि

संदेश देता है। अब, ओएस संस्करण को प्रदर्शित करने के बजाय, डेटा बेस संस्करण और अन्य गोपनीय जानकारी होनी चाहिए जिसमें एक डिफ़ॉल्ट त्रुटि

हैंडलर हो, जहां त्रुटियों को अनुकूलित किया जा सकता है और इस तरह की त्रुटि के लिए कह सकता है, यह त्रुटि पृष्ठ है जिसके लिए हम आएंगे इस तरह की त्रुटि को प्रदर्शित

किया जाना चाहिए। तो, आपके पास त्रुटि हैंडलर होना चाहिए जो महत्वपूर्ण जानकारी को फ़िल्टर करने के बाद उचित रूप से स्वच्छता, स्वच्छता

का मतलब लौटाएगा या यदि सूचना प्रकटीकरण का एक मौका है कि जानकारी को हटा दिया जाना चाहिए और उचित संदेश डाला जाना चाहिए, यह सिर्फ इतना हो सकता है कि पृष्ठ

नहीं मिला या यह हो सकता है कि फ़ंक्शन नहीं मिला। तो, यह उस तरह का कोई भी संदेश हो सकता है, डेटा बेस, ओएस, संस्करण, फ्रेम वर्क,

लाइब्रेरी का विवरण।