O documento apresenta uma palestra sobre segurança PHP ministrada por Patrick Kaminski. Em três frases, o documento discute sobre: 1) as principais vulnerabilidades em PHP, incluindo injeção de código e cross-site scripting; 2) formas de ataques como PHP e SQL injection; e 3) recomendações para melhorar a segurança, como tratar exceções, evitar componentes estranhos e monitorar sistemas.

1. PHP Seguro em 2013

2. Patrick Kaminski

Programador PHP desde 2004.

Graduado pela UDESC.

Especialista em Segurança de Sistemas pela PUC.

Atualmente:
●
Desenvolvedor na ControlSoft Sistemas
●
Professor na Anglo Americano
●
Professor no Senac
PHP SC Conf | 2013 | PatrickKaminski.com

3. Seu site está seguro?



Quando foi a última
tentativa de ataque?
Qual foi a última vez
que você atualizou os
softwares instalados?
No momento de
desenvolver/instalar,
você lembrou de criar
algo seguro?
PHP SC Conf | 2013 | PatrickKaminski.com

4. Vulnerabilidades: Top 10

Injeção de código

Quebra de autenticação e Gerencia de Sessão

Cross-Site Scripting (XSS)

Referência Insegura e Direta a Objetos

Configuração Incorreta de Segurança

Exposição de Dados Sensíveis

Falta de Função para Controle do Nível de Acesso

Cross-Site Request Forgery (CSRF)

Utilização de Componentes Vulneráveis Conhecidos

Redirecionamentos e Encaminhamentos Inválidos
Fonte: OWASP Top 10 - 2013
PHP SC Conf | 2013 | PatrickKaminski.com

5. Cross-site scripting


O Cross-site scripting ou XSS, se trata de
injeção de código HTML e ou Javascript em
páginas vulneráveis.
Exemplo:
index.php?
msg=<script>alert('XSS');</script>
PHP SC Conf | 2013 | PatrickKaminski.com

6. PHP SC Conf | 2013 | PatrickKaminski.com

7. Moderno e com sérias
Vulnerabilidades!
X
PHP SC Conf | 2013 | PatrickKaminski.com

8. Cross-site scripting
Fonte:Acunetix
PHP SC Conf | 2013 | PatrickKaminski.com

9. Cross-site scripting
Fonte: Acunetix
PHP SC Conf | 2013 | PatrickKaminski.com

10. Vulnerabilidades: Top 10

Injeção de código

Quebra de autenticação e Gerencia de Sessão

Cross-Site Scripting (XSS)

Referência Insegura e Direta a Objetos

Configuração Incorreta de Segurança

Exposição de Dados Sensíveis

Falta de Função para Controle do Nível de Acesso

Cross-Site Request Forgery (CSRF)

Utilização de Componentes Vulneráveis Conhecidos

Redirecionamentos e Encaminhamentos Inválidos
Fonte: OWASP Top 10 - 2013
PHP SC Conf | 2013 | PatrickKaminski.com

11. PHP Injection


Consiste em injetar código
detro de uma
página/programa vulnerável,
programada em PHP.
Através deste tipo de ataque
é possível obter informações,
prejudicar o funcionamento
de sites ou até mesmo
comprometer todo o
funcionamento de um
sistema operacional.
PHP SC Conf | 2013 | PatrickKaminski.com

12. PHP SC Conf | 2013 | PatrickKaminski.com

13. PHP Injection
PHP SC Conf | 2013 | PatrickKaminski.com

14. SQL Injection


Assim como o PHP Injection, o SQL também
apresenta grande risco de segurança em
servidores vulneráveis.
Muitos são os sites que possuem problemas
simples de segurança por não realizarem
nenhum tipo de filtro nas informações recebidas
pelos usuários e isso faz com que o banco de
dados fique sob controle do atacante.
PHP SC Conf | 2013 | PatrickKaminski.com

15. SQL Injection
PHP SC Conf | 2013 | PatrickKaminski.com

16. Vulnerabilidades: Top 10

Injeção de código

Quebra de autenticação e Gerencia de Sessão

Cross-Site Scripting (XSS)

Referência Insegura e Direta a Objetos

Configuração Incorreta de Segurança

Exposição de Dados Sensíveis

Falta de Função para Controle do Nível de Acesso

Cross-Site Request Forgery (CSRF)

Utilização de Componentes Vulneráveis Conhecidos

Redirecionamentos e Encaminhamentos Inválidos
Fonte: OWASP Top 10 - 2013
PHP SC Conf | 2013 | PatrickKaminski.com

17. robots.txt


Robots.txt impedem que robôs de busca
indexem páginas.
Por outro lado, podem servir como ponto de
partida para possíveis atacantes.
PHP SC Conf | 2013 | PatrickKaminski.com

18. PHP SC Conf | 2013 | PatrickKaminski.com

19. Como resolver?

Como resolver mandar script kiddies para outro
site?
PHP SC Conf | 2013 | PatrickKaminski.com

20. Trate
exceções
PHP SC Conf | 2013 | PatrickKaminski.com

21. Evite
componentes
estranhos
PHP SC Conf | 2013 | PatrickKaminski.com

22. Monitore
PHP SC Conf | 2013 | PatrickKaminski.com

23. Esteja
preparado
para imprevistos
PHP SC Conf | 2013 | PatrickKaminski.com

24. ab
Tr
e!
lh
a
PHP SC Conf | 2013 | PatrickKaminski.com

25. Dúvidas?
Entre em contato...
Liker
PHP SC Conf | 2013 | PatrickKaminski.com