Server Side Scripting

Transcriptie

1 Server Side Scripting

2 Formulieren & beveiliging

3 Vakopzet C WC TOETS

4 Lessen Lesweek 1 (47) Vakoverzicht en introductie Lesweek 2 (48) Doornemen Ch3 (40p) Lesweek 3 (49) Deeltoets 1, Doornemen Ch4+Ch5 (72p) Lesweek 4 (50) Doornemen Ch6+Ch7 (74p) [Ch 8] Lesweek 5 (51) Doornemen Ch9+Ch10 (60p) Lesweek 6 (2) Deeltoets 2, Doornemen Ch11 (32p) Lesweek 7 (3) 12+Ch15] Doornemen Ch13+Ch14 (52p) [Ch Lesweek 9 (5) Deeltoets 3 Maandag voor 12:00 's middags inleveren

5 Aanbevolen

6 Vragen Chapter 3?

7 Controlestructuren

8 Beslissingsboom

9 If statements if( conditie ) { # code } elseif ( conditie ) { # code } else { # code } &&! > < >= <=

10 Formulieren

11 Versturen van informatie

12 Superglobal arrays $rijtje = array(0, 1, 1, 2, 3, 5, 8, 13, 21); $_GET['naam'] $_POST['naam']

13 post/ get INFORMATIE HTTP REQUEST HTTP RESPONSE $_POST['naam'] $_GET['naam'] PHP MySQL Mongo [...] 13

14 Formulieren POST-INFORMATIE HTTP REQUEST HTTP RESPONSE $_POST['status'] PHP MySQL

15 /les2/voorbeelden/showvars.php 1. Geef wat HTML weer 2. Toon recursief de inhoud van de $_GET array 3. Geef wat HTML weer 4. Toon recursief de inhoud van de $_POST array

16 git clone CMD-SSS git

17 Kwetsbaarheden

18 Disclaimer De wellicht controversiële stof die deze werkgroep behandeld is enkel en alleen bedoeld ter educatie. Het doel van deze werkgroep is het verschaffen van dieper inzicht in processen die te maken hebben met computerbeveiliging welke leiden tot een betere beveiliging van door studenten op te leveren projecten. De projecten en handelingen van personen buiten deze werkgroep vallen buiten de verantwoordelijkheid van CMD.

19 README Wat ik jullie leer mag niet misbruikt worden!

20 Hacker ethics

21 Kwetsbaarheden request forging script injection (xss) form-hijacking sql injection

22 Code injection 1. Mail-form-hijacking 2. Request forging 3. Script injection (XSS) 4. SQL injection

23 Mail-form-hijacking CC:

24 /les2/oefeningen/mailformhijacking/index.php 1. Een controle op \r\n ondervangt het probleem!!preg_match("/[\r\n]/", $_POST[' ']) #=> true als \r\n niet voorkomt (door! )

25 Request forging Dit ziet er raar uit, eens kijken wat er allemaal ingevoerd kan worden...

26 /les2/oefeningen/requestforging/index.php 1. Hard opgeven welke pagina's op deze manier aangeroepen mogen worden in_array($_get['page'], $toegestanepagina) #=> true als de pagina voorkomt in het rijtje

27 Script injection (en XSS) Hé een formulier, eens kijken of we daar script in mogen stoppen...

28 /les2/oefeningen/scriptinjection/index.php 1. Vervang gevaarlijke door ongevaarlijke tekens transform_html($_post['tekst']); #=> <script>alert('muhahaaa');</script>

29 Hé een formulier, eens kijken of we daar SQL in mogen stoppen... SQL injection

30 /les2/oefeningen/sqlinjection/unsafe.php Haal gebruikersinvoer altijd door mysql_real_escape_string( ) $safedata = mysql_real_escape_string($evildata); #=> $safedata is veilig om te gebruiken in mysql

31 /les2/oefeningen/sqlinjection/index.php Beter nog: gebruik mysqli, prepared statements en parameter binding Let op: je moet zelf nog steeds script-injecties afvangen.

32 Wat te onthouden? 1. Webapps zijn gebaseerd op formulieren Je kunt versturen via GET en POST GET is via de URL, POST via de header 2. Toepassen van formulieren kent altijd veiligheidsrisico's Code injection attacks: Mail-form-hijacking Request-forging Script injection (XSS/Cross site scripting) SQL injection 3. NEEM BEVEILIGINGSMAATREGELEN! Eindgebruikers zijn per definitie evil...

33 Versleuteling

34 Encryptie

35 Decryptie

36 2 weg encryptie Scythale /ˈskɪtəliː/ abcdefghijklmnopqrstuvwxyz efghijklmnopqrstuvwxyzabcd ß public key encryptie origineel transpositie private key encryptie à

37 1 weg encryptie md5 à sha1à cryptà salt 7a016ff07fb4b d6fb1f69185c 8d21786de786cc2b81561bc2d3006c71f5f50baf safhbyzzafs6i

38 /week2/encryptie/index.php 1. Alleen crypt gebruikt salt 2. Crypt is veilige(re) manier om passwords op te slaan 3. Geef nooit je salt weg...

39 Volgende week: toets 1 4 vragen: 3 theorie vragen Vb. Leg uit wat voor beveiligingsrisico's kleven aan het toepassen van web-formulieren. 1 programmeervraag Vb. Bekijk het volgende stuk code en geef de HTML output die deze code genereert. Hulpmiddelen: boek PHP Solutions (papier of op e- reader; geen gebruik van computer tijdens toets!)

40 Huiswerk Doornemen Ch4+Ch5 (72p) 4: Lightening Your Workload with Includes 5: Bringing Forms to Life

41 Bronnen Diagramstijl: Nassi-Shneiderman Diagram (NSD)