[JavaScript] Manipulacje firebug Opcje

[kkuubbaa88]

witam

dotychczas myslalem, ze jak cos jest zapisane na stronie to nie mozna tego zmieniac, ani probowac wykorzystać w niepowołany sposób. niestety firebug bardzo szybko pokazał mi jak bardzo się myliłem. Teraz jakiekolwiek zadania po stronie klienta można w bardzo nieciekawy sposób zmieniać. głównie obawiam sie javascript,ajax i wszelakich zmian/atakow na nie. kazdy kto tylko chce moze zmieniac kod i sprawdzac jak reaguje strona, az w koncu dojdzie do tego w jaki sposob mozna zaszkodzic.

znacie moze jakies informacje na temat jak sobie radzic z czyms takim ? w jaki sposob najlepiej pisac skrypty, aby staly sie odporne na tego typu zagrania ? czy moze nie trzeba sie tym przejmowac, poniewaz to sa tylko zmiany i bledy po stronie klienta, a cala baza strony oraz pliki nie sa naruszane ?

[thek]

Firebug działa po stronie klienta. Jedyne co może Ci "zaszkodzić" to znajomość struktury, tego co i jak działa, czyli krótko mówiąc - mechaniki strony. Koleś przeanalizuje co jak działa i zacznie się bawić w preparowanie danych by trafić na lukę, niezabezpieczone miejsce, które pozwoli mu uzyskać dostęp do nie swoich danych na serwerze. Przykład? Usunięcie z poziomu panelu swojego posta. Większość ludzi pisząc daje coś prostego w stylu delete.php?id=132 i ok.. Ale ilu z nich pisząc skrypt sprawdza nie tylko prawidłowość id (liczba dodatnia), ale także prawa dostępu do posta. Przecież można usunąć post kogoś innego, bo nigdzie nie sprawdzono kto jest autorem. To błędy wynikające z bardzo ograniczonego podejścia do manipulacji danymi. Firebug sam w sobie nie jest niebezpieczny. Robi się jednak taki w doświadczonych rękach.

I tak. Phpion ma rację. Wszystko co idzie od usera to dane potencjalnie niebezpieczne, spreparowane przez niego. Jak wspomniał już poprzednik, value dla select można przecież podmienić, a tę kontrolkę akurat mało kto sprawdza z początkujących. Sytuacja komplikuje się także przy polach typu file, z którymi wielu nie wie jak się nawet obchodzić poprawnie, a co dopiero mówić o zabezpieczaniu.

Powód edycji: [thek]: Małe dopowiedzenie.