সুরক্ষা-নিবিড় সাইটের জন্য আপনাকে একটি ছোট বাগটি ঠিক করতে ভাড়া করা হয়েছে। কোডটির দিকে তাকিয়ে, এটি সুরক্ষা গর্তে পূর্ণ। আপনি কি করেন? [বন্ধ]

Question

আমাকে সাইটে কোনও ছোট কাজ করার জন্য কারও দ্বারা নিয়োগ দেওয়া হয়েছে। এটি একটি বৃহত সংস্থার জন্য একটি সাইট। এটিতে খুব সংবেদনশীল ডেটা রয়েছে, তাই সুরক্ষা খুব গুরুত্বপূর্ণ। কোডটি বিশ্লেষণ করার পরে, আমি লক্ষ্য করেছি যে এটি সুরক্ষা গর্তগুলিতে পূর্ণ হয়েছে - পড়ুন, প্রচুর পিএইচপি ফাইল ব্যবহারকারীরা ফেলে / পোস্ট ইনপুট সরাসরি মাইএসকিএল অনুরোধ এবং সিস্টেম কমান্ডগুলিতে পান।

সমস্যাটি হ'ল, যে ব্যক্তি তার জন্য সাইট তৈরি করেছিলেন তিনি হলেন পরিবার এবং সেই চাকরির উপর নির্ভরশীল বাচ্চাদের সাথে প্রোগ্রামার। আমি কেবল এটি বলতে পারি না: "আপনার সাইটটি একটি স্ক্রিপ্ট কিডি বিনোদন বিনোদন পার্ক me আমাকে আপনার জন্য এটি আবারও করতে দিন এবং আপনি ভাল থাকবেন।"

আপনি এই পরিস্থিতিতে কি করবেন?

হালনাগাদ:

আমি এখানে কিছু ভাল পরামর্শ অনুসরণ করেছি এবং বিনীতভাবে বিকাশকারীকে জানিয়েছি যে আমি সাইটে কিছু সম্ভাব্য সুরক্ষা ত্রুটি পেয়েছি। আমি লাইনটি ইঙ্গিত করে বললাম সেখানে এসকিউএল ইনজেকশন আক্রমণের সম্ভাব্য দুর্বলতা হতে পারে, এবং জিজ্ঞাসা করলাম যে সে সম্পর্কে এটি জানে কিনা। তিনি জবাব দিয়েছিলেন: "অবশ্যই, তবে আমি মনে করি যে এটির ব্যবহার করতে হামলাকারীর ডাটাবেসের কাঠামোর তথ্য থাকতে হবে; আমাকে আরও ভাল করে বুঝতে হবে" ।

আপডেট 2:

আমি বললাম যে এটি সর্বদা ক্ষেত্রে হয় না এবং এটি সঠিকভাবে মোকাবেলা করার জন্য তিনি এই স্ট্যাক ওভারফ্লো প্রশ্ন লিঙ্ক অনুসরণ করার পরামর্শ দিয়েছিলেন: পিএইচপি-তে এসকিউএল ইঞ্জেকশনটি কীভাবে প্রতিরোধ করবেন? তিনি বলেছিলেন যে তিনি এটি অধ্যয়ন করবেন এবং তার আগে বলার জন্য আমাকে ধন্যবাদ জানিয়েছেন। আমি অনুমান করি আমার অংশটি সম্পন্ন হয়েছে, ধন্যবাদ ছেলেরা।

Comments

আমি সত্যিই এমন একটি সমাধান উপভোগ করব যাতে কারও জীবন নষ্ট করা জড়িত না। আমি এটিকে একা রেখে দিই তবে আমি জানি যে এই জাতীয় সুরক্ষা গর্ত কিছু লোকের জীবনকেও নষ্ট করতে পারে। জটিল।

— মাইয়াভিক্টর

আক্রমণকারী ডেটাবেসের কাঠামোর তথ্য পেতে শোষণটি ব্যবহার করতে পারে। কোনও এসকিউএল ইঞ্জেকশন দুর্বলতা কখনও প্লে করা উচিত নয় ।

— ডেভ র্যাজার

ডাটাবেসের কোনও জ্ঞান না ব্যবহার করে কীভাবে কিছুটা দুর্বলতা কাজে লাগানো যায় তা তাকে দেখান। এটি তার থেকে দূরে ডেকে আনবে।

— ইউফোরিক

আমি অন্য কোনও ব্যক্তি / প্রোগ্রামার সন্ধানের জন্য ভাল কাজ বলতে চাই যা আপনি জানেন না। এটি তাদের জীবিকা নষ্ট করা কোনও ভয়াবহ জিনিসের তুলনায় কম নয় কারণ তারা ভুল করেছে এবং আপনি তাদের জানেন না, এবং এটি বিবেচনায় নেওয়ার জন্য আমি আপনাকে প্রশংসা করি।

— ইস্পাত

@ ডক্কাট বিষয়টি একটি ভারসাম্যপূর্ণ। প্রোগ্রামারের দৃষ্টিকোণ থেকে, স্ত্রী এবং সন্তানের সাথে দুর্বল মানের প্রোগ্রামার প্রকৃতপক্ষে সংস্থাকে বিপন্ন করে তুলেছে এবং এভাবে স্ত্রী এবং সন্তানদের সহ অনেক কর্মচারীর চাকরি। এছাড়াও, সমস্যাটি "বড প্রোগ্রামার এমন কিছু কাজ করে যা আমার জীবনকে আরও শক্ত করে তোলে hard " এটি একটি অযৌক্তিক প্রতিক্রিয়া, তবে লোকেরা ভাবেন।

— ডিফোর্ড

Answer 1

এখানে প্রথম এবং সর্বাগ্রে, অগ্রাধিকারটি হল সুরক্ষা গর্তগুলি বন্ধ করা close

আপনি যদি প্রকৌশলী যিনি এটি লিখেছিলেন তাদের সাথে সরাসরি কাজ করছেন, সমস্ত কিছু নথিভুক্ত করুন এবং সেই ইঞ্জিনিয়ারকে দিন।

যদি তা না হয় তবে আপনার নিয়োগকর্তাকে বলুন যে সুরক্ষা সংক্রান্ত সমস্যাগুলি প্রাথমিকভাবে ভাবার চেয়ে বড় এবং সাইটটির অনেক কাজের প্রয়োজন। সাইটে থাকা প্রধান বিকাশকারীদের সাথে কাজ করার জন্য জিজ্ঞাসা করুন এবং তাদের পিএইচপি সুরক্ষা সম্পর্কে শেখানোর প্রস্তাব দিন (ব্যক্তিকে বিশেষজ্ঞ বানানোর প্রতিশ্রুতি দেবেন না, তবে আপনার পরিচিত সমস্ত কিছুতে তাদের প্রশিক্ষণের প্রস্তাব দিন) যাতে সেই ব্যক্তি এটি নিতে পারে আপনার কাজ শেষ হওয়ার পরে

না এই একটি "এই লোক খারাপ, তাকে অগ্নি" ইস্যু করা। "আরে, আমি কিছু সম্ভাব্য বাগ খুঁজে পেয়েছি যা স্থির স্থির প্রয়োজন, যা সাইটের সুরক্ষা সম্পর্কে কিছু অজ্ঞতা / সাধারণ ভুল ধারণা থেকে আসে বলে মনে হয়েছে I'd আমি আপনার বিকাশের সাথেও কথা বলতে চাই যাতে আমরা আপনার সাইটের উন্নতি করতে পারি এবং আশা করি ভবিষ্যতে এই বিষয়গুলি আরও এড়িয়ে চলুন "

Comments

সামগ্রিকভাবে দুর্দান্ত উত্তর। বিষয়টি বিষয়গত, তাই আমি আপনাকে চিহ্নিত করব কারণ এটি সম্প্রদায়টি সর্বাধিক গ্রহণযোগ্য।

— মাইয়াভিক্টর

আপনি যদি ইঞ্জিনিয়ারের সাথে কাজ করছেন, কিন্তু বাই ম্যানেজমেন্টের মাধ্যমে বেতন পেয়েছেন, আপনার কি ম্যানেজমেন্টকে রিপোর্ট করা উচিত নয়? যদি ইঞ্জিনিয়ার আপনাকে ধন্যবাদ জানায়, তবে আপনি চলে যাওয়ার মুহুর্তটি, প্রতিবেদনটি নষ্ট করে দেয়?

— কোনারাক

হয় উভয়ই বলুন, বা প্রথমে ইঞ্জিনিয়ারকে বলুন এবং যা-ই ব্যবহার করুন না কেন সিস্টেমে বাগগুলি তৈরি করা এবং ট্র্যাক করা হচ্ছে তা যাচাই করুন। যদি বাগ তৈরি না করা হয় তবে ম্যানেজমেন্টকে বলুন।

— এরিক হাইড্রিক

আমি এই উত্তরটি আরও ভাল পছন্দ করেছি: প্রোগ্রামার.সটাকেক্সচেঞ্জ / আ/189206/28351, কারণ নিয়োগকর্তার পক্ষে অগ্রাধিকারগুলি আলাদা। প্রথমে সুরক্ষা গর্তের প্রতিবেদন করুন, তারপরে ছোট বাগটি ঠিক করুন।

— এলোমেলোভাবে

Answer 2

অজ্ঞতা এবং অক্ষমতা মধ্যে পার্থক্য আছে। এমন একটি সময় ছিল যখন আপনি জানেন না যে এসকিউএল ইনজেকশনটি কী তা ছিল, এবং বিশ্বাস করার কোনও কারণ নেই যে মূল প্রোগ্রামার সে সম্পর্কে একবার সচেতন হয়ে গেলে সমস্যাগুলি ঠিক করতে সক্ষম হয় না।

সুতরাং তাদের বলুন। সুনির্দিষ্ট এবং উদ্দেশ্যমূলক হয়ে উঠুন এবং প্রশ্নের উত্তর দেওয়ার জন্য নিজেকে উপলব্ধ করুন, শোষণের উদাহরণ প্রদান করুন এবং সংশোধন করার জন্য সুপারিশ করুন। যদি তারা এখনও সেই বিন্দুটির পরে এটি না পান তবে আপনি যা করতে পারেন তা সর্বাধিক আপনি নিজের ব্যক্তিগত সাইটে কোনও তথ্য না রাখেন।

Comments

+1 টি। অজ্ঞতা স্থির করা যেতে পারে। অযোগ্যতা কারও কারও ক্যারিয়ার!

— মিচ গম

Answer 3

আপনার কাজ তার জন্য সাইটটি আবার করা নয়। এটি ছোট বাগটি ঠিক করার জন্য। তবে, যদি আপনি সুরক্ষিত সমস্যাগুলি ঠিক করা উচিত লক্ষ্য করেছেন তবে আপনি এটি সাইটের মালিকের কাছে নিয়ে আসতে পারেন এবং সমস্যাটি কী হতে পারে সে সম্পর্কে অন্তর্দৃষ্টি সরবরাহ করতে পারেন।

আসল বিকাশকারী সম্পর্কে বেয়ার বা নেতিবাচকভাবে কথা বলবেন না বা কোডটি কতটা ভয়াবহ তা নিয়ে মন্তব্য করবেন না। শ্রদ্ধাশীল এবং পেশাদার হন। সমস্যাগুলি সমাধান করতে আপনি বিকাশকারীর সাথে কাজ করার প্রস্তাব দিতে পারেন। সমস্যাটি সমাধানের জন্য আপনাকে চুক্তি করা না হলে এটি নিজেই ঠিক করার চেষ্টা করবেন না বা কোনও প্রস্তাব দেওয়ার প্রস্তাব করবেন না। যদি তারা আপনার পরামর্শ অনুসরণ করে এবং আপনি ভুল করে তবে তারা আপনার কাছে ফিরে আসতে পারে।

Answer 4

প্রথম এবং সর্বাগ্রে - যে জিনিসটির জন্য তারা আপনাকে নিযুক্ত করেছিল তা ঠিক করুন। যদি আপনি এটি না করেন, তবে আপনাকে সেই ধরণের পরামর্শদাতা হিসাবে বিবেচনা করা হবে যারা কাজটি করার পরিবর্তে তাদের জন্য আরও কাজ করার বিষয়ে আগ্রহী।

ঠিকঠাকগুলির পাশাপাশি, আপনার সুরক্ষার দৃষ্টিকোণ থেকে এটি যে জিনিস ভুল হয়েছে সেগুলি এবং এই জিনিসগুলি কেন ভুল are

Answer 5

সমস্যাগুলি রিপোর্ট না করার জন্য এটি কারও ভাল কাজ করবে না। যদি আপনার কোনও নির্দিষ্ট কাজ থাকে তবে এটি সম্পূর্ণ করার জন্য আপনাকে নিয়োগ করা হয়েছিল তবে অন্যান্য সুরক্ষা সমস্যাগুলি নথি হিসাবে দেখেন এবং যথাযথ ব্যক্তির কাছে প্রতিবেদন করেন, সম্ভবত আপনি যে ব্যক্তির জন্য নিযুক্ত ছিলেন তার জন্য যে ব্যক্তিকে আপনি প্রতিবেদন করছেন তা সম্ভবত।

এটি এমন পরিস্থিতি যেখানে দৃ strong় নরম দক্ষতা কার্যকর হতে চলেছে কারণ এটিকে দক্ষতার সাথে পরিচালনা করার জন্য সাইটে অন্যের দ্বারা করা কাজটি নিচে রাখা এবং বিকাশকারীকে এমন অনুভূতি না জাগানো উচিত যে আপনি তার প্রতিভা নিয়ে প্রশ্ন করছেন।

স্পষ্টতই সাইটটি লেখেন এমন বিকাশকারীদের কোড / ত্রুটি এবং অনুরূপ শব্দের উল্লেখ করার সময় "বোকা, খারাপ, দরিদ্র, ছিদ্রযুক্ত" শব্দগুলি এড়িয়ে চলুন।

Comments

আমি যোগ করব: নিশ্চিত করুন যে বিকাশকারী ত্রুটিগুলির তীব্রতা এবং সেগুলি কীভাবে কাজে লাগানো যেতে পারে সে সম্পর্কে সচেতন। এই বিকাশকারীকে সাথে নিয়ে একটি স্থানীয় মেশিনে একটি নিয়ন্ত্রিত 'আক্রমণ' চালিয়ে যাওয়ার জন্য সময় লাগানো এই সমস্যা সম্পর্কে তাকে শিক্ষিত করার জন্য অনেক কিছু করতে পারে, যা আপনাকে কোডটি কঠোর করার উপায়গুলির জন্য নির্দেশ উন্মুক্ত করে।

— অ্যান্ড্রু গ্রে

Answer 6

অন্যান্য উত্তরগুলি ছাড়াও আপনি যা করতে চাইতে পারেন তা হ'ল এসকিউএল ইঞ্জেকশন সম্পর্কিত সমস্যাগুলি কীভাবে সহজে ব্যবহার করা যায় সে সম্পর্কে কিছু সংস্থার দিকে বিকাশকারীকে নির্দেশ করা, উদাহরণস্বরূপ স্কেলম্যাপ যা একটি স্বয়ংক্রিয় এসকিউএল ইঞ্জেকশন শোষণের সরঞ্জাম।

অতীতে এই ধরণের সমস্যার গুরুতরতা প্রদর্শন করতে আমি কী কার্যকর বলে মনে করেছি তা এটি দিয়ে কী করা যায় তা প্রদর্শিত হচ্ছে, তাই যদি আপনি কোনও দেবের বিরুদ্ধে এই জাতীয় কিছু চালান। সাইটের অনুলিপি ইত্যাদি দেখানোর জন্য সাইটের অনুলিপি আপনি তাদের গুরুত্বকে বোঝাতে পারেন।

Comments

সচেতন থাকুন এর কিছু ঝুঁকি রয়েছে, এতে আপনাকে "হ্যাকার" বলে মনে করা যেতে পারে। ম্যানেজমেন্টের লোকেরা "বিদ্যমান দুর্বলতা", "বিকাশের অনুলিপি" এবং "সাদা টুপি সুরক্ষা বিশ্লেষক"

— শব্দগুলি বোঝে না

Answer 7

প্রথম এবং একমাত্র; ম্যানেজমেন্ট সমস্যার কথা শুনতে চায় না। আমি অফিস অফ পার্সোনাল ম্যানেজমেন্ট (হোয়াইট হাউসের সুরক্ষা ছাড়পত্র) থেকে বরখাস্ত হয়েছি কারণ আমি তাদের সিস্টেমটি কতটা নিরাপত্তাহীন তা তুলে ধরেছিলাম। এটি কিছুক্ষণ আগে ছিল, কিন্তু পরিচালনার মনোভাব পরিবর্তন হয়নি।

বিকাশকারীকে ইমেলের মাধ্যমে সমস্যার সমাধান করুন যাতে আপনার কোনও ট্রেইল থাকে, তারপরে হাঁটুন বা পালিয়ে যান। ঠিকাদার হিসাবে তাদের যখন শেষ পর্যন্ত কোনও সমস্যা হয় তখন তারা সমস্যার সাথে দূরবর্তীভাবে সংযুক্ত না হয়েও আপনাকে দোষ দেওয়ার চেষ্টা করবে।

এসকিউএল ইনজেকশন হিসাবে মৌলিক সমস্যা হওয়া, সূচনা করে যে তারা যখন প্রাথমিকভাবে সিস্টেমটি বিকাশ করেছিল তখন তারা সস্তা ছিল এবং প্রতিক্রিয়া হ'ল এগুলি এখন সবচেয়ে সস্তা cheap তারা ব্যবসায় থাকাকালীন তাদের কাছ থেকে যা পারেন তা পান তবে অন্য কোথাও ব্যবসায়ের বিকাশ পান।

Comments

"ব্যবস্থাপনার সমস্যা সম্পর্কে শুনতে চায় না" - আপনার কথন সমর্থন করার জন্য কিছু যুক্তি / তথ্যসূত্র যোগ করুন (যা আমার কাছে বিশ্বাসযোগ্য শোনাচ্ছে কিন্তু এই সত্যিই কোন ব্যাপার না) এবং আমি downvote তা প্রত্যাহার করবে

— মশা