เจษฎากานต์แสงรั ตน์

(49050925)

ความมั ่นคงบนเว็บสาหรับนักพัฒนา

(Web Security

for Developers)

ปจจุบันประชาชนใชงานอินเทอร์เน็ตเพิ ่มขึ ้นมาก ในปพ

ศ

2551

ประเทศไทยมีผู  ใชอินเทอร์เน็ตประมาณ

16.1

ลานคน ซึ ่งเพิ ่มขึ ้นจากปพ

ศ

2550

ถึง

20%

ในขณะที ่จานวนผู  ใชอินเทอร์เน็ตทั ่วโลกในเดือน มีนาคม พ

ศ

2552

ก็มีมากกวา

1,500

ลานคน

มีพัฒนาการใชงานในดานตางๆ นอกเหนือจากการศึกษา การสื ่อสาร ความบันเทิง และขาวสารแลว ผู ประกอบธุรกิจยังใชอินเทอร์เน็ตเพื ่อประชาสัมพันธ์รวมถึง ใหบริการซื ้อขายสินคา บริการ และอื ่นๆ อีกเปนจานวนมาก

ดังที ่กลาวมาขางตน ผู  ใชหลายคนพยายามหาชองโหวเพื ่อเจาะระบบเว็บไซต์ตางๆ เพื ่อความสนุกของผู  ใช และเพื ่อตักตวงประโยชน์จากเว็บไซต์ที ่มีความมั ่นคงไมเพียงพอ ผู พัฒนาและผู ดูแลระบบควรระมัดระวัง และปดชองโหวเหลานี ้เพื ่อไม ใหเกิดปญหากับเว็บไซต์หรือผู  ใชเว็บไซต์

เอกสารนี ้จะแนะนาปญหาความมั ่นคงบนเว็บ และวิธีการแก ไขในมุมมองของนักพัฒนาเปนหลัก โดยแนะนา เฉพาะปญหาที ่สาคัญเทานั ้น

ข้อควรทราบ

ผู เขียนมีจุดประสงค์เพื ่อใหความรู เกี ่ยวกับการพัฒนาเว็บใหมีความมั ่นคงเทานั ้น ผู เขียนไมมีเจตนา เผยแผรหรือสนับสนุนการเจาะระบบแตอยางใด

ซอร์สโคดตัวอยางในเอกสารนี ้ ไม ใชตัวอยางซอร์สโคดที ่มีคุณภาพ เนื ่องจากผู เขียนตองการนาเสนอ เฉพาะประเด็นความมั ่นคงเปนหลัก ผู อานไมควรยึดวิธีการเขียนซอร์สโคดในเอกสารนี ้เปนตัวอยาง

ปญหาทั ่วไป

ปญหาเหลานี ้เปนปญหาทั ่วไปที ่ทาใหนักเจาะระบบเขามาสรางปญหาที ่ ใหญกวานี ้ ไดงายขึ ้น

หรือปญหาที ่ นักพัฒนาสวนใหญทราบอยู แลว

งานวิจัยขอมูลและสถิติอินเทอร์เน็ต

หนวยปฏิบัติการวิจัยเทคโนโลยีเครือขาย ศูนย์เทคโนโลยีอิเล็กทรอนิกส์และคอมพิวเตอร์แหงชาติ

(http://internet.nectec.or.th/webstats/home.iir?Sec=home)

Internet World Stats, Miniwatts Marketing Group (http://www.internetworldstats.com/stats.htmI)

2.1

ป ญหาการแสดงข อมูลสาคั ญ

ผู พัฒนาไมควรเขียนโปรแกรมใหสงหรือแสดงขอมูลที ่เปนความลับในสวนที ่ผู  ใชทั ่วไปสามารถมองเห็นหรือ หาพบได โดยงาย เชน การสงคารหัสผานทางยูอาร์แอล

(URL)

หรือฟลด์ซอน

(Hidden Field)

ดังภาพที ่

ภาพที่

ตั วอยางเว็บไซต์ที่สงขอมูลชื่อผู ใชและรหั สผานทางยูอาร์แอล

ซึ่งดูไดงายจากประวั ติการใชงาน หรือการดั กแพ็กเกต

(

กรณีสงขอมูลผานโปรโตคอลที่ไมมีการเขารหั ส

)

2.2

ป ญหาการแสดงรายชื่อไฟล์ในไดเรกทอรี

หากผู ดูแลระบบไมปดการแสดงผลรายชื ่อไฟล์ ในไดเรกทอรี

(Directory)

เมื ่อผู  ใชทั ่วไปเรียกที ่อยู ของ ไดเรกทอรี ใด ผู  ใชจะเห็นรายชื ่อไฟล์ทั ้งหมดในไดเรกทอรีนั ้นไดทันทีหากไดเรกทอรีนั ้นตั ้งคาอนุญาต

(Permission)

ใหผู  ใชทั ่วไปเห็นรายชื ่อไฟล์ทั ้งหมดได

ดังภาพที ่

ภาพที่

ตั วอยางเว็บไซต์ที่ไมปดการแสดงรายชื่อไฟล์ในเว็บเซิฟเวอร์และแสดงใหเห็นไฟล์ที่มีสาคั ญ ตอระบบใหเห็น

วิธีปองกัน เลือกทาตามวิธี ใดวิธีหนึ ่งตอไปนี ้

ตั ้งคาโปรแกรมเว็บเซิฟเวอร์ ใหปดการแสดงรายชื ่อไฟล์

32.

ใส ไฟล์ ชื ่อ

index.html

ไว ในทุกไดเรกทอรีเพื ่อใหผู  ใชเห็นหนาเว็บเปลาแทนที ่จะเห็นรายชื ่อไฟล์

กรณีเซิฟเวอร์ ใชระบบปฏิบัติการยูนิกส์ใหตั ้งคาอนุญาตให โฟลเดอร์ ไม ใหบุคคลทั ่วไปอาน ไดเรกทอรี ได

2.3

ป ญหาการไมตรวจสอบข อมูลที่รั บมาจากผู  ใช

ผู พัฒนาอาจจากัดขอบเขตของขอมูลที ่ผู  ใชจะสงเขามาได โดยการใสแอตทริบิวต์

(Attribute)

ในสคริปต์ภาษาเอชทีเอ็มแอล

(HTML)

หรือจาวาสคริปต์

(JavaScript)

แตการตรวจสอบเพียงเทานี ้ ไมเพียงพอ เพราะนัก เจาะระบบอาจบันทึกหนาเว็บนั ้น แก ไขสคริปต์ที ่ปองกันสวนนี ้แลวเปดหนาเว็บที ่แก ไขขึ ้นมาทางานแทน หรือแมแตการสงคาเขามาผานชองทางอื ่นๆ โดยไม ใชเว็บเบราว์เซอร์

(Web Browser)

เชน

HTTPRequest

เปนตน

หากผู พัฒนาปลอยชองวางนี ้ ไวนักเจาะระบบสามารถกรอกขอมูลที ่ ไมอยู  ในรูปแบบที ่กาหนดไวเพื ่อ ประโยชน์ของนักเจาะระบบไดเชน กรอกขอมูลราคาสินคาเปนจานวนเงินติดลบ เปนตน

วิธีปองกันคือ อยาเชื ่อถือคาใดๆ ที ่ผู  ใชสงเขามา ผู พัฒนาควรเขียนโปรแกรมตรวจสอบความถูกตองของคาที ่ ผู  ใชสงเขามาทุกคาที ่ฝ งเซิฟเวอร์ดวยเสมอ ถึงแมวาจะตรวจสอบที ่ฝ งเครื ่องผู  ใชแลวก็ตาม

2.4

ป ญหาการยอมให ผู  ใช อั พโหลดไฟล์สคริปต์

เว็บไซต์ที ่อนุญาตใหผู  ใชอัพโหลดไฟล์อาจไม ไดตรวจสอบประเภทของไฟล์ที ่ผู  ใชอัพโหลดเขามา หากผู  ใช อัพโหลดไฟล์สคริปต์ที ่สั ่งใหทางานบนเว็บเซิฟเวอร์ ไดเชน เอชทีเอ็มแอล

พีเอชพี

(PHP)

อาจเปนชองทาง ใหผู อัพโหลดใชหลอกหลวงผู  ใชเว็บไซต์คนอื ่น หรือสั ่งใหสคริปต์ทางานเพื ่อแก ไข คัดลอก ลบขอมูลได

วิธีปองกันคือ ผู พัฒนาควรเขียนโปรแกรมใหตรวจสอบประเภทของไฟล์ที ่ผู  ใชจะอัพโหลดขึ ้นมากอนเสมอ

ปญหาการเขียนสคริปต์จากแหลงอื ่น

(Cross-Site Scripting: XSS)

เว็บไซต์ที ่รับขอมูลจากผู  ใชมาเก็บไวเพื ่อแสดงผล อาจเปนชองโหว ใหนักเจาะระบบใช ไดหากนักเจาะระบบ กรอกขอความเปนสคริปต์ภาษาเอชทีเอ็มแอลหรือจาวาสคริปต์ลงไป

เชน

–