Firemní školení Bezpečnost PHP aplikací

Popis, rizika a obrana proti útokům, které jsou vedeny proti webovým aplikacím:

• Vyhledávání aplikací a zařízení

  Pomocí specializovaných vyhledávačů jako např. Shodan nebo Certificate Transparency.

• Full Path Disclosure

  Proč je zobrazení chybových hlášek PHP pro útočníka lákavé a co se z nich dozví?

• Cross-Site Scripting (XSS)

  Útoky na návštěvníky webu a jejich prohlížeče, typy XSS (stored, reflected, DOM-based), obrana na serveru i v browseru, XSS Auditor. Ukázka možností XSS pomocí BeEF.

• Content Security Policy (CSP)

  Další úroveň ochrany nejen proti XSS pomocí vyjmenování povolených zdrojů.

• SQL Injection

  O „dolování“ a změně dat v tabulkách, ke kterým standardně není přístup. Vysvětlení Blind SQL Injection, Time-based blind SQL Injection, i rozdílů mezi technologií prepared statements a vázáním proměnných. Praktický úkol na testovacím webu a ukázka programu sqlmap.

• Vkládání souborů a vzdálené spuštění

  Jak na nahrávání souborů od uživatelů, kam je ukládat a pod jakým jménem. Spouštění externích programů (např. pro změnu velikosti obrázků) „v cloudu“, nebezpečí skrývající se v deserializaci uživatelských vstupů.

• Cross-Site Request Forgery (CSRF), Clickjacking

  Útočník může uživatele donutit provést nějakou akci bez jeho vědomí nebo ho naláká na kliknutí na prvek stránky, na který by normálně nekliknul. K čemu se to dá použít a jak proti tomu aplikace obránit?

• Session Hijacking, Session Fixation

  Kdo má identifikátor sezení (session id), ten je pán, takže je vhodné takový identifikátor dobře chránit. O HTTP-only cookies, přegenerování session id a rozumně vyřešeném přihlášení z více míst současně.

• XML External Entity Injection (XXE)

  Pomocí definice vlastních entit v XML souborech lze během jejich zpracování ze serverů získávat konfigurační soubory nebo zdrojové kódy. Ukážeme si jak a prozradíme jak tomu nejlépe zabránit.

• Generování „bezpečných“ náhodných dat

  Kde se bere náhoda a proč by se funkce rand() neměla používat pro generování tokenů, šifrovacích klíčů apod.

• Ukládání a hashování hesel

  Jak se lámou hesla, k čemu slouží „salt“, proč používat algoritmus bcrypt nebo Argon2i a ne MD5 nebo SHA-1 (ani SHA-2, SHA-3). A jak změnit hashování bez vynucené změny hesel všech uživatelů?

• Šifrování dat

  Co je to Authenticated Encryption (AE) a co na šifrování použít?

• HTTPS

  Konfigurace serveru, testovací nástroje a vynucení pomocí HTTP Strict Transport Security (HSTS). Šifrování přenosu dat je ale samo o sobě natolik rozsáhlé téma, že jsem ho vyčlenil do samostatného školení HTTPS (nejbližší termín: termín zatím nevypsán), ve kterém si do detailu vysvětlujeme certifikáty a certifikační autority, ukazujeme si výměnu šifrovacích klíčů, Certificate Transparency, CAA a další technologie a nastavení používané k zabezpečení přenostu dat.

• Neautorizovaný přístup k cizím datům

  Jak získat faktury ostatních zákazníků a jak útoku Insecure Direct Object Reference zabránit?

• Zneužití formulářů pro odesílání nevyžádané pošty

  Vložením dalších hlaviček na správná místa lze zprávu poslat jinam než bylo původně zamýšleno a to dokonce i s jiným obsahem.

• Konfigurace a ochrana zdrojových kódů

  Jak nejlépe nastavit PHP a webový server.

• Bezpečnostní HTTP hlavičky

  Některé hlavičky mohou pomoci ochránit aplikaci nebo alespoň zmírnit dopad úspěšného útoku. Ukážeme si které i jak jednoduše aplikaci otestovat pomocí Security Headers a Mozilla Observatory.

Ohlasy na školení

Jan Pospíšil, Senior PHP developer, Český rozhlas

Martin Ambrož, AVAST Software a.s.

Pavel Kutáč, Moravio s.r.o.