Тестирование основных функций «нагрузочной способности»

Мы видим линейную зависимость объем памяти, требуемый для поддержки работы определенного числа студентов, так как на обслуживание одного потока, на каждого пользователя выделяется одинаковый объём памяти.

Анализ потенциальных угроз

1) Загрузка файлов. Сайт может позволять посетителям загружать свои файлы с последующим отображением на своих страницах. Это могут быть изображения в формате JPEG. Важно ограничить типы загружаемых файлов, чтобы вместо картинки не был бы загружен исполняемый файл.

При загрузке файла PHP в переменной $_FILES['userfile']['type'] возвращает mime-тип файла, для JPEG-изображения это будет image/jpeg. Может показаться, что проверка этого типа достаточна для уверенности в том, что загружено именно изображение. Также встречается идея пытаться читать файл изображения функциями getimagesize или imаgecreatefromjpeg. Однако тип файла здесь определяется на основе содержания, так что правильное JPEG-изображение, сохраненное с расширением .php, будет определено как image/jpeg. А называться будет xxxxx.php. Веб-сервер же, принимающий решение об обработчике (handler) для того или иного файла, смотрит именно на расширение. Злоумышленник берет корректную картинку, приписывает к ней в конец (или в EXIF-данные) php-скрипт, и сервер его исполняет, мы взломаны.

Таким образом, контролировать для обеспечения безопасности следует именно расширение файла, а проверки через определение mime-type и через попытку открыть файл функцией getimagesize имеют смысл только для контроля того, что вместо картинки не будет загружен мусор, безвредный, но картинкой не являющийся.

Также можно хранить файлы в директории, недоступной для непосредственного доступа посетителей веб-сервера, а отдавать их контент через скрипт. Это, однако же, увеличивает нагрузку на сервер и требует реализации базовой функциональности веб-сервера.

Можно также в настройках веб-сервера для папки с пользовательскими файлами попытаться запретить исполнение скриптов директивой RemoveHandler, однако в ней придется указывать всевозможные расширения для файлов всех поддерживаемых конкретным веб-сервером обработчиков, что чревато пропуском какого-нибудь малоизвестного или нового обработчика.

• 2) RegisterGlobals. В PHP есть функциональность «RegisterGlobals» — автоматическое заведение переменных при поступлении их в запросе (GET, POST, COOKIE). То есть, к примеру, скрипт, будучи вызван как script. php?a=hello, напечатает «hello» при включенныхregister_globals. Если программист не следит за начальной инициализацией переменных, может возникнуть уязвимость, иллюстрируемая простым примером: if ($login == `admin' && $password == `пароль админа') $is_admin = true; … if ($is_admin) { какие-то действия, разрешенные только админу }
• 3) SQL-инъекции. Атаки SQL-инъекциями возможны против сайтов, которые не используют правильное разделение SQL-запросов и вставляемых в них данных. Пояснить суть SQL-инъекций лучше всего на примере.
• 4) XSS. XSS (CrossSiteScripting, «межсайтовый скриптинг») представляет собой атаку, при которой злоумышленник публикует на атакуемом сайте скрипт (к примеру, на языке JavaScript), который исполняется у пользователей сайта при открытии ими страниц. Поскольку этот скрипт выполняется в браузере у пользователя, то он имеет доступ к информации в его cookie, а также может производить на сайте действия от имени пользователя (если тот «залогинен»), к примеру, читать, писать и удалять сообщения. Этим видом пользуются начальные «хакеры», которые хотят навредить человеку.

Очевидно, что в основном XSS угрожает сайтам, на которых регистрируются и оставляют информацию его пользователи (форумы, блоги, доски объявлений), но опасность может угрожать и администраторским интерфейсам, если в них есть модули, предназначенные для просмотра данных, поступающих от посетителей сайта. Это могут быть сообщения из форм обратной связи, заказа или отзывов. Это может быть и статистическая информация об адресах, откуда к нам приходили посетители (поле HTTP-запроса «Referer»), и какими браузерами они при этом пользовались (поле «User-Agent»).

5) DOS. Несколько особняком в ряду угроз безопасности стоят атаки DOS — DenialOfService (отказ в обслуживании). Как правило, к этому классу атак принадлежат события, описываемые в новостях «Хакеры атаковали сайт X, нарушив его работу. Сайт не работал в течение Y часов». То есть это именно «атака», а не «взлом». На сервер производятся запросы, которые он не может (не успевает) обработать, в результате чего он не успевает обработать и запросы обычных посетителей и выглядит для них как неработающий.

Существует несколько вариантов взлома сайта, то есть получения доступа к чужой информации. Рассмотрим первый вариант. Для того чтобы взломать сайт необходимо выполнить следующие операции:

• 1) Зарегистрироваться на сайте
• 2) Пройти аутентификацию со своим логином и паролем
• 3) Затем в адресной строке вместо своего id ввести любой другой идентификационный номер пользователя. Если пользователь с таким id существует, то вы попадете наего личный аккаунт.

Второй способ взлома. Ввести в адресной строке http://localhost/account.php?id=6 и обновить страницу. Если пользователь с idравным 6 существует, то вы попадете на его личный аккаунт.