Алгоритм общения клиента с сервером, запросы к базе. Что из этого перехватит хакер?
Здравствуйте. У меня в голове после прочтения различных реализаций безопасной регистрации, авторизации, сформировалась каша, а также появилось еще больше вопросов(. Поэтому я решил создать новую тему.
На данный момент я еще не делал никакой защиты, только начинаю в этом разбираться. Судите по всей строгости).
Самый главный вопрос, если ответ на него нет, то и можно ничего не делать... 1.1) Можно ли реализовать среднюю защиту регистрации, входа, выхода, формы используя общение с сервером через ajax, сессии, куки, данные о пользователях хранятся в БД ?
Также я не совсем понимаю где и когда хакер может произвести перехват и т.п. Как я думаю сейчас :
Пользователь отсылает на сервер запрос к странице, также он может передать что-либо, используя (get, post) 1.2) Тут у меня возникает вопрос, может ли хакер перехватить и видоизменить данный запрос, например изменить данные get, post (Я думаю, что да)
,если на этой странице есть php код,то он будет выполнен, допустим, что еще производятся запросы к базе 1.3) Может ли хакер перехватить текст запроса, а также результат его выполнения? (Я надуюсь на самое худшее, думаю, что да)
после выполнения php кода, страница может видоизмениться (с помощью echo, print), затем полученный вариант отсылается пользователю, 1.4) Вот тут снова идет передача, сможет ли и её хакер перехватить и изменить, допустим текст страницы изменить, создать там форму в которой написано, а введите ка свой логин и пароль еще раз, а отправка данных идет на его сервер, где он уже записывает эти данные?
его браузер начинает разбирать полученную разметку страницы, подгружая некоторые файлы (картинки там, файлы с кодом js) 1.5) Думаю у вас открылся дар и вы можете уже знать вопрос). Может ли хакер изменить файлы? Код js изменить например?
Например есть у нас на этой страничке поля для ввода, пользователь вводит туда данные, отсылаем их на сервер через ajax. 1.6) Перехватит ли хакер ajax, сможет ли изменить данные?
Затем сервер что-то делает и отсылает назад результат 1.7) Перехватит ли хакер ответ?
Можете кинуть ссылки на пример реализации авторизации, регистрации? (Для новичка)
Хотелось бы увидеть как это через ajax делается.
Судя по тем возможностям, которые вы приписываете этому страшному хакеру, он уже сидит у вас на сервере. Вряд ли вы сможете как-то от него защититься...
Вадим Анисов: Что-то вы недоучили сопромат.
Рассчитывать стоит на худший вариант, но надеяться на него не стоит.
Вообще, ваше описание явно показывает, что вы не представляете себе, как работает сервер в связке с клиентом. Займитесь ликбезом, серьезных ответов на столь дикие вопросы вы все равно не получите.
Ответ: да, может. Скажем если вы подключаетесь в wifi в макдаке и заходите на не шифрованные сайты, то владелец wifi может просматривать и изменять трафик(ваши запросы, ответы на эти запросы и тд). Эта проблема решается https
А если сервер защищен как положено. И теперь все зависит от реализации защиты на php, js, то на какие номера вопросов нужно обратить внимание разработчику при защите?
Вадим Анисов: Если сервер настроен, включено шифрование трафика, остаётся позаботится об различных инъекций(sql, js), xss атак. Но не преувеличивайте проблему, скорее всего на данном этапе ценность данных минимальна, если вы конечно не храните реквизиты кредиток и паспортов.
Простой
