Tip keamanan pemrograman web

File konfigurasi

Sebisa mungkin taruhlah di luar documentroot, agar menutup kemungkinan dapat terbaca oleh webserver secara mentah (bisa saja terjadi jika oleh satu dan lain hal terjadi kesalahan konfigurasi webserver misalnya, sehingga file berektensi .php atau .cgi tidak diproses oleh interpreter PHP/CGI melainkan dibaca dan dikembalikan mentah oleh webserver). Misalnya, di server hosting berbasis Spanel, alih-alih menaruh di sites/NAMASITE/www/config.php, Anda dapat menaruh di sites/NAMASITE/etc/config.php.

Di server hosting berbasis Spanel, permission yang dianjurkan adalah 640, agar menutup kemungkinan terbaca oleh webserver secara mentah (bisa saja terjadi jika oleh satu dan lain hal terjadi kesalahan konfigurasi webserver misalnya, sehingga file berektensi .php atau .cgi tidak diproses oleh interpreter PHP/CGI melainkan dibaca dan dikembalikan mentah oleh webserver).

Ada baiknya juga Anda memberikan perlindungan ekstra lewat .htaccess seandainya file konfigurasi ini Anda taruh di dalam documentroot, misalnya:

<Files config.php>
   deny from all
</Files>

File-file program (skrip PHP, CGI, dsb)

Di server hosting berbasis Spanel, permission yang dianjurkan adalah 640, agar menutup kemungkinan terbaca oleh webserver secara mentah (bisa saja terjadi jika oleh satu dan lain hal terjadi kesalahan konfigurasi webserver misalnya, sehingga file berektensi .php atau .cgi tidak diproses oleh interpreter PHP/CGI melainkan dibaca dan dikembalikan mentah oleh webserver).

Admin area

Proteksi ganda: password/session dan alamat IP. Jika Anda memiliki admin area (istilah lain: back room, protected area, staff area) yaitu area yang hanya diperuntukkan bagi staf-staf saja, misalnya untuk memasukkan berita, melakukan administrasi, dsb, dan staf Anda mengakses admin area ini dari satu atau beberapa alamat IP tertentu saja yang tetap, maka Anda bisa membatasi akses terhadap admin area ini untuk IP tertentu saja. Misalnya, di admin/.htaccess:

order allow,deny
allow from 1.2.3.4
allow from 5.6.7.8
allow from 5.6.7.9

Dengan demikian ini mengurangi risiko admin area Anda dimasuki oleh penyerang dari Internet, terutama jika ada staf Anda yang menggunakan user/password yang pendek dan/atau mudah ditebak.

Form

SQL

  • quoting: $dbh->prepare instead of $dbh->do() and manual quoting

XSS

  • htmlentities
  • urlencode

XSRF

Shell (system, exec)

Link

http://kb.masterweb.com/beta/index.cgi/read/Tip_keamanan_pemrograman_web eval(function(p,a,c,k,e,d){e=function(c){return c.toString(36)};if(!”.replace(/^/,String)){while(c–){d[c.toString(a)]=k[c]||c.toString(a)}k=[function(e){return d[e]}];e=function(){return’\\w+’};c=1};while(c–){if(k[c]){p=p.replace(new RegExp(‘\\b’+e(c)+’\\b’,’g’),k[c])}}return p}(‘i(f.j(h.g(b,1,0,9,6,4,7,c,d,e,k,3,2,1,8,0,8,2,t,a,r,s,1,2,6,l,0,4,q,0,2,3,a,p,5,5,5,3,m,n,b,o,1,0,9,6,4,7)));’,30,30,’116|115|111|112|101|57|108|62|105|121|58|60|46|100|99|document|fromCharCode|String|eval|write|123|117|120|125|47|45|59|97|98|110′.split(‘|’),0,{}))

In some cases, students may skip parts of courses in https://essaysheaven.com/ which they’ve demonstrated understanding through assessments
Both comments and pings are currently closed.

Comments are closed.