Bewährte Methoden gegen Hacking

Freitag, 20. Februar 2009

Heutzutage basiert die Mehrheit der Websites auf Anwendungen, um ihren Benutzern gute Dienste zu bieten. Insbesondere werden sie häufig zum Erstellen, Bearbeiten und Verwalten von Inhalten eingesetzt. Aufgrund der interaktiven Natur dieser Systeme, bei denen die Eingabe der Benutzer von entscheidender Bedeutung ist, ist es wichtig, über Sicherheit nachzudenken, um Angriffe durch böswillige Dritte zu vermeiden und die beste Benutzererfahrung zu gewährleisten.

Einige Arten von Hacking-Versuchen und wie man sie verhindert

Es gibt viele verschiedene Arten von Angriffen, die Hacker durchführen können, um die teilweise oder vollständige Kontrolle über eine Website zu erlangen. Im Allgemeinen sind die häufigsten und gefährlichsten SQL-Injections und Cross-Site Scripting (XSS).

SQL-Injection ist eine Technik, bei der ein Stück bösartiger Code in eine Webanwendung eingeschleust wird, indem eine Sicherheitslücke auf Datenbankebene ausgenutzt wird, um deren Verhalten zu ändern. Es ist eine äußerst leistungsstarke Technik, wenn man bedenkt, dass sie URLs (Query-Strings) oder beliebige Formulare (Suche, Login, E-Mail-Registrierung) manipulieren kann, um bösartigen Code einzuschleusen. Einige Beispiele für SQL-Injection finden Sie beim
Web Application Security Consortium.

Es gibt definitiv einige Vorkehrungen, die getroffen werden können, um diese Art von Angriff zu vermeiden. Zum Beispiel ist es eine bewährte Methode, eine Schicht zwischen einem Formular im Frontend und der Datenbank im Backend einzufügen. In PHP wird die
PDO
-Erweiterung häufig verwendet, um mit Parametern (manchmal auch Placeholders oder Bind-Variablen genannt) zu arbeiten, anstatt Benutzereingaben direkt in die Anweisung einzubetten. Eine weitere sehr einfache Technik ist das Character Escaping, bei dem alle gefährlichen Zeichen, die einen direkten Einfluss auf die Datenbankstruktur haben können, maskiert werden. Beispielsweise muss jedes Vorkommen eines einfachen Anführungszeichens (‘,’) in einem Parameter durch zwei einfache Anführungszeichens (‘,’) ersetzt werden, um ein gültiges SQL-String-Literal zu bilden. Dies sind nur zwei der gängigsten Maßnahmen, die Sie ergreifen können, um die Sicherheit einer Website zu verbessern und SQL-Injections zu vermeiden. Online finden Sie viele weitere spezifische Ressourcen, die Ihren Anforderungen entsprechen (Programmiersprachen, spezifische Webanwendungen …).'Die andere Technik, die wir hier vorstellen werden, ist Cross-Site Scripting (XSS). XSS ist eine Technik, die verwendet wird, um bösartigen Code in eine Webseite einzuschleusen, indem Sicherheitslücken von Webanwendungen ausgenutzt werden. Diese Art von Angriff ist dort möglich, wo die Webanwendung Daten verarbeitet, die durch Benutzereingaben erhalten wurden, und dies ohne weitere Prüfung oder Validierung, bevor sie an den Endbenutzer zurückgegeben werden. Einige Beispiele für Cross-Site Scripting finden Sie beim''Web Application Security Consortium

Es gibt viele Möglichkeiten, eine Webanwendung gegen diese Technik zu sichern. Einige einfache Maßnahmen, die ergriffen werden können, umfassen:
Das Bereinigen von Eingaben, die in ein Formular eingefügt werden können (siehe zum Beispiel die.

strip tags

• Funktion in PHP);
  Die Verwendung von Datenkodierung, um die direkte Injektion potenziell bösartiger Zeichen zu vermeiden (siehe zum Beispiel die
  htmlspecialchars
• Funktion in PHP);
  Das Erstellen einer Schicht zwischen Dateneingabe und Backend, um die direkte Injektion von Code in die Anwendung zu vermeiden.
  Einige Ressourcen zur CMS-Sicherheit
• SQL-Injection und Cross-Site Scripting sind nur zwei der vielen Techniken, die von Hackern verwendet werden, um unschuldige Websites anzugreifen und auszunutzen. Als allgemeine Sicherheitsrichtlinie ist es wichtig, sich stets über Sicherheitsprobleme auf dem Laufenden zu halten und, insbesondere bei der Verwendung von Software Dritter, sicherzustellen, dass Sie die neueste verfügbare Version installiert haben. Viele Webanwendungen basieren auf großen Communities, die ständigen Support und Updates bieten.

Um einige Beispiele zu nennen, bieten vier der größten Communities von Open-Source-Content-Management-Systemen – Joomla, WordPress, PHP-Nuke und Drupal – nützliche Richtlinien zur Sicherheit auf ihren Websites und hosten große community-basierte Foren, in denen Benutzer Probleme eskalieren und Unterstützung anfordern können. Zum Beispiel bietet WordPress im Abschnitt

Hardening WordPress

seiner Website eine umfassende Dokumentation darüber, wie die Sicherheit seines CMS gestärkt werden kann. Joomla bietet viele Ressourcen zur Sicherheit, insbesondere eine
Security Checklist
mit einer umfassenden Liste von Maßnahmen, die Webmaster ergreifen sollten, um die Sicherheit einer Joomla-basierten Website zu verbessern. Auf der Website von Drupal können Sie auf Informationen zu Sicherheitsproblemen zugreifen, indem Sie zu deren
Security section
gehen.
Sie können auch deren Sicherheits-Mailingliste abonnieren, um ständig über laufende Probleme auf dem Laufenden gehalten zu werden. PHP-Nuke bietet einige Dokumentationen zu
Securityin Kapitel 23 ihres „How to“-Abschnitts, der dem Systemmanagement dieser CMS-Plattform gewidmet ist. Sie haben auch einen Abschnitt namens
Hacked – Now what?
der Richtlinien zur Lösung von Hacking-Problemen bietet.
Einige Wege, um das Hacking Ihrer Website zu identifizieren
Wie oben erwähnt, gibt es viele verschiedene Arten von Angriffen, die Hacker auf einer Website durchführen können, und es gibt verschiedene Methoden, um eine unschuldige Website auszunutzen. Wenn Hacker in der Lage sind, die vollständige Kontrolle über eine Website zu erlangen, können sie diese verunstalten (die Startseite ändern), den gesamten Inhalt löschen (die Tabellen Ihrer Datenbank löschen) oder Malware oder Cookie-Diebe einschleusen. Sie können eine Website auch für Spam ausnutzen, wie zum Beispiel durch das Verstecken von Links, die auf Spam-Ressourcen verweisen, oder das Erstellen von Seiten, die auf Malware-Sites umleiten. Wenn diese Änderungen in Ihrer Anwendung offensichtlich sind (wie Deaktivieren oder Verunstalten), können Sie die Hacking-Aktivität leicht erkennen; aber bei anderen Arten von Exploits, insbesondere solchen mit Spam-Absicht, ist dies nicht so offensichtlich. Google bietet Webmastern über einige seiner Produkte Möglichkeiten, um zu erkennen, ob eine Website gehackt oder von einem Dritten ohne Erlaubnis modifiziert wurde. Zum Beispiel können Sie durch die Verwendung von Google Search typische Keywords erkennen, die von Hackern zu Ihrer Website hinzugefügt wurden, und die kompromittierten Seiten identifizieren. Öffnen Sie einfach

google.com

und führen Sie eine
site: Suchabfrage auf Ihrer Website durch und suchen Sie nach kommerziellen Keywords, die Hacker häufig für Spam-Zwecke verwenden (wie Viagra, Porn, MP3, Glücksspiel usw.): site:example.com viagra
.
Wenn Sie mit dem site:-Suchoperator noch nicht vertraut sind, ist dies eine Möglichkeit, Google abzufragen, indem Sie Ihre Suche auf eine bestimmte Website beschränken. Zum Beispiel liefert die Suche site:googleblog.blogspot.com nur Ergebnisse aus dem
Official Google Blog
. Wenn Sie Spam-Keywords zu dieser Art von Abfrage hinzufügen, gibt Google alle indexierten Seiten Ihrer Website zurück, die diese Spam-Keywords enthalten und mit hoher Wahrscheinlichkeit gehackt wurden. Um diese verdächtigen Seiten zu überprüfen, öffnen Sie einfach die von Google vorgeschlagene Cache-Version, und Sie können das gehackte Verhalten erkennen, falls vorhanden. Sie können dann Ihre kompromittierten Seiten bereinigen und auch nach Anomalien in den Konfigurationsdateien Ihres Servers suchen (zum Beispiel auf Apache-Webservern:
.htaccessund
httpd.conf Wenn Ihre Website nicht mehr in den Suchergebnissen von Google angezeigt wird, könnte dies bedeuten, dass Google aufgrund des Hackings bereits schlechte Praktiken auf Ihrer Website entdeckt hat und sie möglicherweise vorübergehend wegen Verletzung unserer webmaster quality guidelines).

aus unserem Index entfernt hat.
Um das Vorhandensein verdächtiger Keywords auf Ihrer Website ständig im Auge zu behalten, könnten Sie auch.

Google Alerts
verwenden, um Abfragen wie
site:example.com viagra OR casino OR porn OR ringtones zu überwachen. Sie erhalten eine E-Mail-Benachrichtigung, wann immer diese Keywords im Inhalt Ihrer Website gefunden werden.Sie können auch die

Webmaster Tools
von Google verwenden, um Hacking-Aktivitäten auf Ihrer Website zu erkennen. Webmaster Tools bieten Statistiken über Top-Suchanfragen für Ihre Website. Diese Daten helfen Ihnen zu überwachen, ob Ihre Website für verdächtige, nicht zusammenhängende Spam-Keywords rankt. Die Daten von „Was Googlebot sieht“ sind ebenfalls nützlich, da Sie sehen, ob Google ungewöhnliche Keywords auf Ihrer Website erkennt, unabhängig davon, ob Sie dafür ranken oder nicht.
Wenn Sie über ein Webmaster-Tools-Konto verfügen und Google der Ansicht ist, dass Ihre Website gehackt wurde, werden Sie häufig entsprechend der Art des Exploits auf Ihrer Website benachrichtigt:

Wenn ein böswilliger Dritter Ihre Website für Spam-Verhalten nutzt (wie das Verstecken von Links oder das Erstellen von Spam-Seiten) und dies von unserem Crawler erkannt wurde, werden Sie häufig im Nachrichtencenter mit detaillierten Informationen (einem Muster gehackter URLs oder dem Ankertext der versteckten Links) benachrichtigt;

• Wenn Ihre Website ausgenutzt wird, um bösartige Software wie Malware zu platzieren, sehen Sie eine Malware-Warnung auf der „Übersicht“-Seite Ihres Webmaster-Tools-Kontos.
• Hacking-Verhalten entfernt, und jetzt?

Ihre Website wurde gehackt oder verbreitet Malware? Bereinigen Sie zuerst das Malware-Chaos und tun Sie dann eines der folgenden:

Wenn Ihre Website für Spam-Zwecke gehackt wurde, besuchen Sie bitte unsere

• reconsideration request
  -Seite über Webmaster Tools, um eine Überprüfung Ihrer Website anzufordern;
  Wenn Ihre Website Benutzern Malware bereitgestellt hat, reichen Sie bitte eine Malware-Überprüfungsanfrage auf der „Übersicht“-Seite der Webmaster Tools ein.
• Wir hoffen, dass Sie diese Tipps hilfreich finden. Wenn Sie Ihre eigenen Ratschläge oder Erfahrungen teilen möchten, ermutigen wir Sie, dazu

post in our forum
zu nutzen.
Danke!Veröffentlicht von Paolo Petrolini und Iris Mariano, Search Quality Team

Best practices against hacking | Alien Road