6個”檔案上傳”功能的資訊安全風險與防護 有些網站會提供檔案上傳的功能，例如 DropBox、社交網站提供照片上傳或是部落格網站提供檔案上傳分享等功能。 駭客可以透過檔案上傳的方式執行惡性程式或是產生非預期的結果。因此，檔案上傳的安全防護不亞於帳號密碼的保護措施。 這篇文章主要討論這些”檔案上傳”的網站，需要注意哪些資訊安全風險與防護的建議。 我們會舉 6 個檔案上傳相關安全風險的原因、程式範例討論與安全防護必須要注意的建議。 風險1: 檔案路徑 file path injection 又稱為 path traversal。這樣的攻擊主要是透過檔案路徑的搜尋，間接存取其他網站的資源。 當URL 網址的路徑內包含 ../ 就表示該網站有潛在的風險…
Injection
網站安全測試的測試個案資料庫 – FuzzDB
資訊安全測試的測試個案資料庫 – FuzzDB 這篇文章主要介紹 FuzzDB，FuzzDB主要提供網站資訊安全測試時， 或是自動化安全測試工具所需要的測試個案資料，舉例來說, Injection的攻擊， 但是實際測試的時候，到底要輸入什麼值來當作是 Injection Attack 的測試資料呢? FuzzDB 提供各種攻擊行為會用到的測試個案資料 https://code.google.com/p/fuzzdb/source/browse/#svn%2Ftrunk 舉例來說 “All-attacks-win.txt” 這個檔案提供許多安全測試個案所需的資料 https://code.google.com/p/fuzzdb/source/browse/trunk/attack-payloads/all-attacks/all-attacks-win.txt Command…
SQL Injection 基本原理與保護
SQL Injection 基本原理與保護 由於每個網站背後都會有 Database 存放資料， 這篇文章主要介紹SQL Injection 的形成原因、如何避免、 SQL injection 所帶來的資訊安全風險與建議。 通常來說，網站或是雲端服務會利用資料庫來存放下列資料 使用者資料、帳號 商品資訊、訂單 其他相關商業邏輯與權限 由於 SQL是直譯式的語言， 因此如果網站的使用者輸入與後端資料庫沒有適當的安全防護，…