Güvenlik yanlış yapılandırması ve eski bileşenler

Güvenlik yanlış yapılandırması ve eski bileşenler dersinde neler var

Web Uygulama Güvenliği yolunun 8 dakikalık dersi. Kazanılan puan: 50 XP.

Varsayılan ayarla yayına çıkan bir panel ya da yamasız kalan bir kütüphane, saldırgana kapıyı arayüzden değil arkadan açar.

Bu derste yaygın yanlış yapılandırmaları, sürüm bilgisinin nasıl sızdığını ve bağımlılık taramasının nasıl çalıştığını göreceksin.

Sıkılaştırılmış varsayılanlar ve düzenli tarama ile iki riski birlikte kapatacaksın.

Bu derste sınanan sorular

• Aşağıdaki durumları yanlış yapılandırma ya da eski bileşen riski olarak ayır. Yanlış yapılandırma, ayarın gevşek bırakılmasıyla doğar; kodun kendisi değişmez. Eski bileşen riski, kullanılan paketin taşıdığı bilinen açıktan gelir; sürüm güncellenmeden bu açık kapanmaz.
• Bu ayar dosyasında üretimde en tehlikeli satırı bul. 1. satırdaki DEBUG=True üretimde ayrıntılı hata sayfasını ve iç dosya yollarını karşı tarafa gösterir. Üretimde bu bayrak kapalı olmalı, hata ayrıntısı yalnız sunucu kaydına yazılmalıdır.
• Log satırlarından düz metin API anahtarı sızdıranları yakala: api_key= ile başlayıp en az 16 karakter süren bir değeri ara. Gerçek anahtarlar uzun ve rastgele bir dizeyle devam eder. api_key=test gibi kısa bir değer gerçek bir sızıntı değildir. En az 16 karakter isteyen bir desen kısa sahte değerleri eler ve gerçek anahtarı yakalar.
• Bir tarama aracı, üretimde kullanılan bir kütüphanede uzaktan kod çalıştırmaya izin veren bir CVE buldu. Yama henüz yayımlanmadı. İlk adım hangisidir? Yama yoksa risk sıfırlanamaz, ama etkilenen özelliği geçici kapatmak saldırı yüzeyini daraltır. Yeniden başlatmak açığı etkilemez, uyarıyı kapatmak riski görünmez kılar, ortadan kaldırmaz.
• Herkese açık izinle bırakılan bir bulut depolama kovası saldırgana ek bir teknik beceri gerektirmez. Doğru. Kova herkese açıksa dosya adını bilen ya da tahmin eden herkes içeriği indirir; kimlik doğrulama gerekmez. Risk, ayrıcalıklı bir saldırıda değil, iznin kendisinde durur.