Reliance on Client-Side Scripting T

Reliance on Client-Side Scripting To test reliance on client-side scripting, follow these guidelines: ■■ Check that the application does not rely solely on the client-side scripting for error checking. ■■ Check that the application does not rely solely on the client-side scripting for authentication because users can bypass the routine by authoring or modifying the Web page. ■■ Try to bypass authentication by going to the URLdirectly. ■■ After a valid login, try to capture the URL. Launch a new browser and use the captured URLto go to the page that supposedly you must go through proper authentication. Can you get in?
When Input Becomes Output Data can easily pass though various programs and then become valid statements for a different interpreted language program. As an example, and a test case to try, when prompted to fill in your name, try this name:
Bob
Using this name you may find that, when redisplayed, HTML directives (i.e. tags) have been sent to the browser. Have you ever used the name: Doing so, many applications could break in strange places. If names are stored in a database, and later those names are part of status reports sent to administrators via Web pages, the reports would end abruptly. This name could be much more destructive, too. For example, a semicolon ends one SQL statement and begins the next statement. So your attack could have started a new request to delete or modify different records in the database, as shown here:
Bob; delete * from all;
Filtering an application to protect from malicious user input requires a lot of complex error-handling code and requires that you understand how the data moves through the components of the application. Then you must determine what would constitute a malicious command in each of those components.

Kết quả (Việt) 1:

Sự phụ thuộc vào Client-Side Scripting để kiểm tra phụ thuộc vào kịch bản phía máy khách, hãy làm theo các hướng dẫn: ■■ kiểm tra rằng các ứng dụng không dựa hoàn toàn vào kịch bản phía máy khách cho việc kiểm tra lỗi. ■■ kiểm tra rằng các ứng dụng không dựa hoàn toàn vào các khách hàng bên kịch bản cho xác thực bởi vì người dùng có thể bỏ qua những thói quen của riêng hay sửa đổi trang Web. ■■ cố gắng để vượt qua xác thực bằng cách vào URLdirectly. ■■ sau khi một đăng nhập hợp lệ, cố gắng nắm bắt URL. Khởi chạy một trình duyệt mới và sử dụng URLto bị bắt đi đến trang được cho là bạn phải đi qua xác thực đúng. Bạn có thể nhận được trong?Khi đầu vào trở nên sản lượng dữ liệu có thể dễ dàng vượt qua mặc dù nhiều chương trình và sau đó trở thành các điều khoản hợp lệ cho một chương trình ngôn ngữ diễn giải khác nhau. Như là một ví dụ, và một trường hợp thử nghiệm để thử, khi được nhắc để điền vào tên của bạn, hãy thử tên này:BobBằng cách sử dụng tên này bạn có thể thấy rằng, khi redisplayed, chỉ thị HTML (tức là khoá) đã được gửi cho trình duyệt. Bạn đã bao giờ sử dụng tên: làm như vậy, nhiều ứng dụng có thể phá vỡ trong những nơi lạ. Nếu tên được lưu trữ trong cơ sở dữ liệu, và sau đó những tên là một phần của tình trạng báo cáo gửi cho người quản trị thông qua trang Web, các báo cáo sẽ kết thúc đột ngột. Tên này có thể nhiều hơn nữa phá hoại, quá. Ví dụ, một dấu chấm phẩy kết thúc một lệnh SQL và bắt đầu câu tiếp theo. Vì vậy, cuộc tấn công của bạn có thể đã bắt đầu một yêu cầu mới để xóa hoặc sửa đổi các bản ghi khác nhau trong cơ sở dữ liệu, như được hiển thị ở đây:Bob; xóa * từ tất cả;Lọc ứng dụng để bảo vệ từ độc hại người dùng nhập vào đòi hỏi rất nhiều quản lý lỗi mã phức tạp và đòi hỏi rằng bạn hiểu như thế nào dữ liệu di chuyển qua các thành phần của ứng dụng. Sau đó, bạn phải xác định những gì sẽ tạo thành một lệnh độc hại trong mỗi của những thành phần.

Kết quả (Việt) 2:

Reliance trên Client-Side Scripting Để kiểm tra sự phụ thuộc vào client-side scripting, hãy làm theo các hướng dẫn sau: ■■ Kiểm tra xem các ứng dụng không chỉ dựa trên các kịch bản phía máy khách để kiểm tra lỗi. ■■ Kiểm tra xem các ứng dụng không chỉ dựa trên các kịch bản phía máy khách để xác thực bởi vì người dùng có thể bỏ qua những thói quen của tác giả, sửa chữa các trang Web. ■■ Hãy thử để xác thực bỏ qua bằng cách vào URLdirectly. ■■ Sau khi đăng nhập hợp lệ, cố gắng nắm bắt các URL. Khởi động một trình duyệt mới và sử dụng bắt URLto đi đến các trang đó được cho là bạn phải đi qua xác thực thích hợp. Bạn có thể có được trong?
Khi trở thành Input Output có thể dễ dàng vượt qua mặc dù các chương trình khác nhau và sau đó trở thành báo cáo hợp lệ cho một chương trình ngôn ngữ diễn giải khác nhau. Như một ví dụ, và một trường hợp thử nghiệm để thử, khi được nhắc điền tên của bạn, hãy thử tên này: Bob Sử dụng tên này, bạn có thể thấy rằng, khi hiển thị lại, chỉ thị, HTML (tức là thẻ) đã được gửi tới trình duyệt. Bạn đã bao giờ sử dụng các tên: Làm như vậy, nhiều ứng dụng có thể phá vỡ trong những nơi kỳ lạ. Nếu tên này được lưu trữ trong cơ sở dữ liệu, và sau đó là những cái tên đó là một phần của báo cáo tình trạng gửi đến quản trị thông qua các trang Web, các báo cáo sẽ kết thúc đột ngột. Tên này có thể được nhiều hơn nữa phá hoại, quá. Ví dụ, một dấu chấm phẩy kết thúc một câu lệnh SQL và bắt đầu câu lệnh tiếp theo. Vì vậy, cuộc tấn công của bạn có thể đã bắt đầu một yêu cầu mới để xóa hoặc sửa đổi hồ sơ khác nhau trong cơ sở dữ liệu, như được hiển thị ở đây: Bob; xóa * từ tất cả; Filtering một ứng dụng để bảo vệ từ đầu vào người sử dụng độc hại đòi hỏi rất nhiều mã lỗi xử lý phức tạp và đòi hỏi rằng bạn hiểu làm thế nào các dữ liệu di chuyển qua các thành phần của ứng dụng. Sau đó, bạn phải xác định những gì sẽ tạo thành một lệnh độc hại trong mỗi của những thành phần.