คุณได้รับการว่าจ้างให้แก้ไขข้อบกพร่องเล็ก ๆ สำหรับไซต์ที่เน้นเรื่องความปลอดภัย ดูที่รหัสนั้นเต็มไปด้วยช่องโหว่ความปลอดภัย คุณทำอะไร? [ปิด]

ฉันได้รับการว่าจ้างจากใครบางคนที่จะทำงานเล็ก ๆ บนเว็บไซต์ มันเป็นเว็บไซต์สำหรับ บริษัท ขนาดใหญ่ มันมีข้อมูลที่ละเอียดอ่อนมากดังนั้นการรักษาความปลอดภัยจึงมีความสำคัญมาก เมื่อวิเคราะห์รหัสฉันพบว่ามันเต็มไปด้วยช่องโหว่ด้านความปลอดภัย - อ่านไฟล์ PHP จำนวนมากที่ส่งผู้ใช้รับ / โพสต์เข้าสู่คำขอ mysql และคำสั่งของระบบโดยตรง

ปัญหาคือคนที่สร้างเว็บไซต์ให้เขาเป็นโปรแกรมเมอร์กับครอบครัวและเด็ก ๆ ที่ต้องพึ่งพางานนั้น ฉันไม่สามารถพูดได้ว่า: "เว็บไซต์ของคุณเป็นสวนสนุกตัวเล็กสคริปต์ให้ฉันทำซ้ำสำหรับคุณและคุณจะดี"

คุณจะทำอะไรในสถานการณ์นี้

ปรับปรุง:

ฉันทำตามคำแนะนำที่ดีที่นี่และรายงานอย่างสุภาพต่อผู้พัฒนาว่าฉันพบข้อบกพร่องด้านความปลอดภัยที่เป็นไปได้ในไซต์ ฉันชี้ให้เห็นสายและบอกว่าอาจมีช่องโหว่ที่เป็นไปได้สำหรับการโจมตีการฉีด SQL ที่นั่นและถามว่าเขารู้เกี่ยวกับเรื่องนี้หรือไม่ เขาตอบว่า: "แน่ใจ แต่ผมคิดว่าการที่จะใช้ประโยชน์จากมันโจมตีควรมีข้อมูลเกี่ยวกับโครงสร้างของฐานข้อมูลนั้นฉันต้องเข้าใจดีกว่า"

อัปเดต 2:

ฉันบอกว่านั่นไม่ใช่กรณีเสมอไปและแนะนำให้เขาติดตามลิงก์คำถาม Stack Overflow นี้เพื่อจัดการกับมันอย่างถูกต้อง: จะป้องกัน SQL injection ใน PHP ได้อย่างไร? เขาบอกว่าเขาจะศึกษาและขอบคุณฉันที่บอกเขามาก่อน ฉันคิดว่าส่วนของฉันเสร็จแล้วขอบคุณพวกคุณ

ก่อนอื่นที่นี่ลำดับความสำคัญคือการปิดช่องโหว่ด้านความปลอดภัย

หากคุณทำงานโดยตรงกับวิศวกรที่เขียนสิ่งนี้ให้บันทึกทุกอย่างและมอบให้วิศวกรคนนั้น

ถ้าไม่ได้บอกนายจ้างของคุณปัญหาด้านความปลอดภัยที่มีขนาดใหญ่กว่าและเริ่มคิดว่าเว็บไซต์ที่มีความต้องการจำนวนมากของการทำงาน ขอให้ทำงานร่วมกับนักพัฒนาหลักที่อยู่บนเว็บไซต์และเสนอที่จะสอนพวกเขาเกี่ยวกับความปลอดภัยของ PHP (ไม่สัญญาว่าจะทำให้คน ๆ นั้นเป็นผู้เชี่ยวชาญ แต่เสนอที่จะฝึกพวกเขาในทุกสิ่งที่คุณรู้) เพื่อให้บุคคลนั้นสามารถรับมันได้ หลังจากเสร็จแล้ว

อย่าทำให้สิ่งนี้เป็นปัญหา "ชายคนนี้ไม่ดียิงเขา" เข้าใกล้จากมุมมองของ "เฮ้ฉันพบข้อบกพร่องที่อาจเกิดขึ้นซึ่งต้องมีการแก้ไขสถิติซึ่งดูเหมือนว่ามาจากความเข้าใจผิด / ความเข้าใจผิดทั่วไปเกี่ยวกับความปลอดภัยของเว็บไซต์ฉันต้องการพูดคุยกับการพัฒนาของคุณเพื่อให้เราสามารถปรับปรุงเว็บไซต์ของคุณ และหวังว่าจะหลีกเลี่ยงปัญหาเหล่านี้ได้อีกในอนาคต "

มีความแตกต่างระหว่างความไม่รู้และความไร้ความสามารถ มีบางครั้งที่คุณไม่รู้ว่าการฉีด SQL คืออะไรและไม่มีเหตุผลที่จะเชื่อว่าโปรแกรมเมอร์ดั้งเดิมไม่สามารถแก้ไขปัญหาได้เมื่อเขารู้ตัวแล้ว

ดังนั้นบอกพวกเขา มีความเฉพาะเจาะจงและมีเป้าหมายและทำให้คุณพร้อมที่จะตอบคำถามให้ตัวอย่างของการหาประโยชน์และคำแนะนำสำหรับการแก้ไข หากพวกเขายังไม่ได้รับหลังจากจุดดังกล่าวส่วนใหญ่คุณสามารถทำได้จริง ๆ ไม่ได้ใส่ข้อมูลส่วนตัวของคุณเองบนเว็บไซต์

งานของคุณไม่ได้ทำซ้ำไซต์สำหรับเขา มันคือการแก้ไขข้อบกพร่องเล็ก ๆ อย่างไรก็ตามหากคุณสังเกตเห็นปัญหาความปลอดภัยที่ควรได้รับการแก้ไขคุณสามารถนำมันมากับเจ้าของไซต์และเสนอข้อมูลเชิงลึกเกี่ยวกับปัญหาที่อาจเกิดขึ้น

อย่าด่าว่าหรือพูดคุยในเชิงลบเกี่ยวกับผู้พัฒนาดั้งเดิมหรือแสดงความคิดเห็นว่าโค้ดนั้นน่ากลัวเพียงใด มีความเคารพและเป็นมืออาชีพ คุณสามารถเสนอให้ทำงานกับนักพัฒนาซอฟต์แวร์เพื่อแก้ไขปัญหา อย่าพยายามแก้ไขด้วยตัวเองหรือเสนอวิธีแก้ปัญหาเว้นแต่คุณจะได้รับสัญญาเพื่อแก้ไขปัญหา หากพวกเขาทำตามคำแนะนำของคุณและคุณผิดพวกเขาอาจกลับมาหาคุณ

ก่อนอื่น - แก้ไขสิ่งที่พวกเขาจ้างคุณ หากคุณไม่ทำเช่นนั้นคุณจะถูกมองว่าเป็นประเภทของที่ปรึกษาที่มีความสนใจที่จะทำงานให้ตัวเองมากกว่าที่จะทำงานให้เสร็จ

นอกเหนือจากการแก้ไขคุณจะต้องให้รายการสิ่งที่คุณสังเกตเห็นว่าผิดจากมุมมองด้านความปลอดภัยและสาเหตุที่สิ่งเหล่านี้ผิด

มันจะไม่ทำสิ่งใดดีกับใครที่จะไม่รายงานปัญหา หากคุณมีงานเฉพาะที่คุณได้รับการว่าจ้างให้ทำงานให้เสร็จสิ้น แต่ทำเอกสารด้านความปลอดภัยอื่น ๆ ตามที่คุณเห็นและรายงานให้บุคคลที่เหมาะสมอาจเป็นบุคคลที่คุณกำลังรายงานถึงงานที่คุณได้รับการว่าจ้าง

นี่คือสถานการณ์ที่ทักษะอ่อนนุ่มกำลังจะมาเป็นประโยชน์ในการจัดการกับชั้นเชิงจะต้องไม่วางงานที่ทำโดยผู้อื่นในเว็บไซต์และไม่ทำให้นักพัฒนารู้สึกราวกับว่าคุณกำลังตั้งคำถามพรสวรรค์ของเขา

เห็นได้ชัดว่าหลีกเลี่ยงคำเช่น "อึเลวแย่พรุน" เมื่ออ้างถึงรหัส / ข้อบกพร่องและคำที่คล้ายกันสำหรับนักพัฒนาที่เขียนเว็บไซต์

นอกเหนือจากคำตอบอื่น ๆ สิ่งที่คุณอาจต้องการทำคือชี้ผู้พัฒนาไปยังแหล่งข้อมูลว่าปัญหาการฉีด SQL สามารถนำไปใช้ประโยชน์ได้ง่ายอย่างไรเช่นsqlmapซึ่งเป็นเครื่องมือการใช้ประโยชน์ SQL Injection อัตโนมัติ

สิ่งที่ฉันพบว่ามีประสิทธิภาพในการแสดงให้เห็นถึงความจริงจังของปัญหาประเภทนี้ในอดีตคือการแสดงสิ่งที่สามารถทำได้ด้วยดังนั้นหากคุณเรียกใช้บางสิ่งเช่นนั้นกับผู้พัฒนา คัดลอกไซต์เพื่อแสดงแยกข้อมูล ฯลฯ คุณอาจโน้มน้าวให้พวกเขาเห็นถึงความร้ายแรง

ครั้งแรกและครั้งเดียว; ฝ่ายบริหารไม่ต้องการรับฟังปัญหา ฉันถูกไล่ออกจากสำนักงานบริหารงานบุคคล (การรักษาความปลอดภัยสำหรับทำเนียบขาว) เพราะฉันชี้ให้เห็นว่าระบบของพวกเขาไม่ปลอดภัยอย่างไร นั่นเป็นอีกสักครู่ แต่ทัศนคติการจัดการก็ไม่เปลี่ยนแปลง

แก้ไขปัญหาที่เกิดขึ้นกับผู้พัฒนาทางอีเมลเพื่อให้คุณมีเส้นทางแล้วเดินหรือวิ่งหนี ในที่สุดเมื่อพวกเขามีปัญหาในฐานะผู้รับเหมาพวกเขาจะพยายามตำหนิคุณโดยไม่คำนึงถึงการมีส่วนร่วมใด ๆ แม้กระทั่งเชื่อมต่อกับปัญหาจากระยะไกล

การมีปัญหาในฐานะพื้นฐานเป็น SQL injection แสดงว่าพวกเขามีราคาถูกเมื่อพวกเขาพัฒนาระบบในตอนแรกและโอกาสที่พวกเขาจะถูกที่สุดในตอนนี้ รับสิ่งที่คุณสามารถทำได้จากพวกเขาขณะที่พวกเขายังอยู่ในธุรกิจ แต่แสวงหาการพัฒนาธุรกิจจากที่อื่น