Download - HTTP hlavičky - Tomas Adamjak
HTTP hlavičkyZvyšovanie bezpečnosti webových aplikácií
Tomáš Adamják
24. máj 2016
WEBtlak #6
BruceSchneier
MichalŠpaček
Host
GET /file HTTP/1.0
Host: webtlak.sk
$ SERVER[’HTTP HOST’] == ’webtlak.sk’;
Tomáš Adamják WEBtlak #6 6
Host
GET http://webtlak.sk/file HTTP/1.0
Host: každý Tomáš je super
$ SERVER[’HTTP HOST’] == ’každý Tomáš je super’;
Tomáš Adamják WEBtlak #6 7
Host
Aj $ SERVER[’HTTP HOST’] je používateľský vstup.
⇓
echo htmlspecialchars($ SERVER[’HTTP HOST’]);
Tomáš Adamják WEBtlak #6 8
Port knock
/admin → 404
/admin/knoct → 302
/admin → 200
Tomáš Adamják WEBtlak #6 9
Cross-Site Scripting
X-XSS-Protection: 0X-XSS-Protection: 1
X-XSS-Protection: 1; mode=block
Tomáš Adamják WEBtlak #6 10
Cross-Site Scripting
X-XSS-Protection
IE 8+Chrome
Safari 4+
Mozilla Firefox
Tomáš Adamják WEBtlak #6 11
Session Hijacking
Tomáš Adamják WEBtlak #6 12
HTTP-Only cookies
PHP
session.cookie httponly: true
session.cookie secure: true
Tomáš Adamják WEBtlak #6 13
Content-Security-Policy
default-src ’none’
script-src ’unsafe-inline’
script-src cdnjs.cloudflare.com
Tomáš Adamják WEBtlak #6 14
Clickjacking
X-Frame-Options
DENY
SAMEORIGIN
ALLOW-FROM
Tomáš Adamják WEBtlak #6 15
Ďalšie
X-Content-Type-Options
HTTP Strict Transport Security
Tomáš Adamják WEBtlak #6 16
The End
Ďakujem sa pozornosť :-)
fb.com/thomas.adamjak
thomas.adamjak.net
Tomáš Adamják WEBtlak #6 17