Vulnerabilidad Web

[baditxuk]

Hola a tod@s.

Os comento el problema que me he encontrado en mi Web.
Tengo unos blogs donde la gente deja opiniones a través de formularios.
He comprobado que me ha entrado codigo malicioso a mi pagina visible en estos blogs.
He hablado con la empresa que me presta servicios de hosting y me han comentado que el problema es la vulnerabilidad de mi codigo en el tema de formularios, que a través de ahi me ha entrado el codigo malicioso.

Queria saber vuestras opiniones y posibles soluciones. Si hay alguna manera de dar seguridad en las conexiones a mi BD en estos formularios o alguna otra solución...

Gracias y un saludo.

[Adler]

Hola

¿Hablas de injerción sql?. Con esta función puedes filtrar todo aquello que te llega via post o get

Código asp:

Dim str
 
Public Function Limpiar(strlimpiar,modolimpiar)
 
    str = trim(strlimpiar)
    
    Select Case modolimpiar
 
    Case 0:
        str = lcase(str)
        str = replace(str,"  "," ")
        str = replace(str,"=","")
        str = replace(str,"'","")
        str = replace(str,"""""","")
        str = replace(str," or ","")
        str = replace(str," and ","")
        str = replace(str,"(","")
        str = replace(str,")","")
        str = replace(str,"<","[")
        str = replace(str,">","]")
        str = replace(str, "%", "")
        str = replace(str, "*", "")
        str = replace(str,"--","")
        str = replace(str,"having ","")
        str = replace(str,"group by","")
        str = replace(str,"union select sum","")
        str = replace(str,"union select min","")
        str = replace(str,"select ","")
        str = replace(str,"insert ","")
        str = replace(str,"update ","")
        str = replace(str,"delete ","")
        str = replace(str,"drop ","")
        str = replace(str,"-shutdown","")
        str = replace(str, "iframe", "")
    Case Else 
        str = strlimpiar
    End Select
 
    Limpiar = str
 
End Function
 

Uso

contenido = Limpiar(cadanealimpiar,0)

Suerte

[baditxuk]

Gracias por tu respuesta.

O sea que con el codigo que me comentas evito el codigo malicioso a través de formularios en mi web no?

Queria comentar varias cosillas. No estoy puesto en este tema asi que ahi van mis preguntas.

- Con ese codigo malicioso que me entra pueden infectarme la Web por medio de algun virus?
- Con ese codigo malicioso o ese virus pueden conseguir mi usuario y contraseña de mi FTP y eliminar archivos, modificarlos,...de mi servidor?
- Con el codigo que me comentas evito las dos preguntas anteriores?

Querria informarme de como se puede infectar una Web (tener cierta seguridad) y posibles soluciones.
Mi Web se basa basicamente en información (tanto texto, fotos como archivos) en BD.

Gracias y un saludo.

[Adler]

Hola

Mira, ese código evita la inyerción de sql malicioso, que puede eliminar una bd o modificar los registros, etc...

Tipos de ataques que se pueden recibir: el mencionado inyerción sql, inyerción javascript .... Algo que has de tener claro es que nunca podrás protegerte al cien por cien. Yo lo que hago es usar esa función, validar y escapar las variables antes de usarlas, encriptar las contraseñas....

Suerte

[u_goldman]

Iniciado por baditxuk

Gracias por tu respuesta.
- Con ese codigo malicioso que me entra pueden infectarme la Web por medio de algun virus?

Si, es muy posible.

Iniciado por baditxuk

- Con ese codigo malicioso o ese virus pueden conseguir mi usuario y contraseña de mi FTP y eliminar archivos, modificarlos,...de mi servidor?

No necesariamente pues esos datos residen en otra capa, pero puedes dar por hecho que tu base de datos está expuesta, con ello todo lo que almacenes allí.

Iniciado por baditxuk

- Con el codigo que me comentas evito las dos preguntas anteriores?

No necesariamente, evitas solo una parte -la del ataque SQL- asumiendo que envíen el ataque como tal (poco probable) y no en hexadecimal (mas factible).

Iniciado por baditxuk

Querria informarme de como se puede infectar una Web (tener cierta seguridad) y posibles soluciones.
Mi Web se basa basicamente en información (tanto texto, fotos como archivos) en BD.

Hay varias maneras, pero lo que quieres investigar va de manera no limitativa por aquí que coincide con lo que Adler ya mencionó:

1 . Utilizar rutinas para "escapar" caracteres especiales.
2 . Utiliza consultas parametrizadas para consultas SQL dinámicas.
3 . Utiliza técnicas para hacer HTML encode y decode al mostrar tus datos.
4 . Utiliza usuarios específicos en tu base de datos, no tiene caso utilizar un usuario administrador si solo vas a mostrar contenido por ejemplo.


Saludos