دسته بندی
Access Control and Data Exposure
باگ Security Misconfiguration زمانی رخ میدهد که تنظیمات نادرست یا ناکافی در برنامه‌ها یا سیستم‌ها پیکربندی می‌شوند. این باگ امنیتی می‌تواند باعث افشای اطلاعات حساس، آسیب به سیستم، دسترسی ناکافی یا دیگر آسیب‌های امنیتی شود.مثال:
فرض کنید یک وب‌سایت اطلاعات مشتریان را در دیتابیس ذخیره می‌کند و برای مدیریت این اطلاعات از یک پنل مدیریتی استفاده می‌کند. پنل مدیریتی باید تنها برای کاربران مخصوصی قابل دسترسی باشد. اما به دلیل تنظیمات نادرست، پنل مدیریتی برای همه در دسترس قرار گرفته است.
session_start();حمله‌کننده می‌تواند به سادگی با دسترسی به فایل
if (!isset($_SESSION['isAdmin']) || $_SESSION['isAdmin'] !== true) {
header("Location: /login.php");
exit;
}
admin_panel.php از طریق URL به پنل مدیریتی دسترسی پیدا کند حتی اگر از قبل وارد شده نباشد:https://example.com/admin_panel.phpاین امر باعث می‌شود حتی کاربرانی که دسترسی به پنل مدیریتی ندارند، اطلاعات مشتریان و دیگر اطلاعات حساس را مشاهده کنند.
روش‌های جلوگیری:
1- از توصیه‌ها و اصول بهینه‌سازی امنیتی برای پیکربندی سیستم و برنامه‌ها استفاده کنید.
2- مطمئن شوید که اطلاعات حساس مانند رمزها، کلیدها و اطلاعات مشتریان به درستی محافظت می‌شوند و به عنوان متغیر محیطی یا فایل‌های تنظیمات به‌روزرسانی نمی‌شوند.
3- دسترسی به منابع حساس را محدود کنید و از مکانیزم‌های احراز هویت و اجازه‌های دسترسی استفاده کنید.
4- تنظیمات پیش‌فرض و مثال‌های غیرامن را از برنامه‌ها و سیستم‌ها حذف کنید تا از امکانات خطرناک استفاده نشود.
5- تیم توسعه‌دهنده‌ها و مدیران سیستم را در مورد تنظیمات امنیتی آموزش دهید و از توصیه‌های امنیتی به‌روزرسانی نمایند.
.