Вторник, 4 мая 2010 г.
Также опубликовано в
Google Online Security Blog
Мы хотим, чтобы сотрудники Google четко понимали угрозы, с которыми сталкиваются наши сервисы, а также знали, как защититься от этих угроз. Мы работаем над достижением этих целей различными способами, включая обучение безопасности для новых инженеров, технические презентации по безопасности и другие виды документации. Мы также используем codelabs — интерактивные руководства по программированию, которые проводят участников через конкретные задачи программирования.
Одно конкретное руководство codelab обучает разработчиков распространенным типам уязвимостей веб-приложений. Следуя принципу «чтобы поймать хакера, нужен хакер», codelab также демонстрирует, как злоумышленник может использовать такие уязвимости.
Мы выпускаем этот codelab под названием «Web Application Exploits and Defenses» сегодня в
координации с
Google Code University и
Google Labs
чтобы помочь разработчикам программного обеспечения лучше распознавать, исправлять и избегать аналогичных ошибок в собственных приложениях. Codelab построен вокруг Gruyere — небольшого, но полнофункционального приложения для микроблогов, разработанного с множеством ошибок безопасности. Уязвимости, рассматриваемые в лаборатории, включают межсайтовый скриптинг (XSS), межсайтовую подделку запросов (XSRF) и внедрение межсайтовых скриптов (XSSI), а также манипуляцию с состоянием клиента, обход путей, а также уязвимости AJAX и конфигурации. Он также показывает, как простые ошибки могут привести к раскрытию информации, отказу в обслуживании и удаленному выполнению кода.
Поговорка «при достаточном количестве глаз все ошибки видны» верна только тогда, когда эти глаза знают, что искать. С этой целью ошибки безопасности в Gruyere являются реальными ошибками — точно так же, как и во многих других приложениях. Исходный код Gruyere опубликован под лицензией Creative Commons и доступен для использования в упражнениях по взлому методом белого ящика или на курсах информатики, посвященных безопасности, разработке программного обеспечения или общей разработке программного обеспечения.
Для начала посетите
https://google-gruyere.appspot.com/.
Руководство для инструктора по использованию codelab теперь доступно на
Google Code University.
Как мы это применяем
We archive Search Central announcements because client questions often trace back to a change that was announced years ago. Reading the original is faster than reconstructing it from second-hand summaries.
Связанные услуги