Computers
Segurança: os 25 erros de programação mais perigosos
Os 25 erros de programação mais perigosos segundo a SANSSaiu no site da SANS a lista criada com o consenso entre varios profissionais e empresas do ramo de segurança e desenvolvimento descrevendo os 25 erros de programação mais perigosos para o desenvolvimento seguro. Eu vou traduzir os nomes e informação básicos mas o melhor é ler o artigo na íntegra, em inglês.
Os erros estão separados em três categorias: Interação insegura entre componentes, Gerenciamento arriscado de recursos, Defensas porosas.
Categoria: Interação insegura entre componentes
- Validação Imprópria de Entradas: Entradas que recebem dados e os aceitam mesmo sem certificar que eles são do tipo/formato esperado.
- Codificação ou Escape Impróprios de Saída: Saídas que não são codificadas ou escapadas corretamente são a maior fonte de ataques de injeção de código.
- Falha ao Preservar a Estrutura da Busca, SQL (conhecido como Injeção de SQL): Se os atacantes podem influenciar as procuras SQL do seu programa, então eles podem controlar o seu banco de dados.
- Falha ao Preservar a Estrutura do Código da Página (conhecido como "Cross-site Scripting"): Assim como o anterior, se os atacantes podem injetar código ou scripts em sua página, eles podem controlar a página.
- Falha ao Preservar a Estrutura de Comandos do Sistema Operacional: Se você permitir que entradas ilegais sejam passadas para aplicativos do sistema operacional, o atacante pode controlar o servidor.
- Transmissão de Dados Sensíveis em Texto Puro: Senhas, dados de cartão e qualquer informação considerada sensível deve ser criptografada.
- Falsificação de Requisição Entre Sites: Um atacante pode criar uma requisição que é enviada a outro site forjando a origem e fazendo o mesmo partir de um usuário inocente, aproveitando credenciais de autenticação e acessos.
- Condição de Corrida: Atacantes vão sempre procurar por condições de corrida no software para conferir se alguma informação importante não é obtida no processo.
- Vazamento de Informações em Mensagens de Erro: Atacantes vão procurar por mensagens de erro que descrevam mais que o necessário, como nomes de campos SQL, objetos e bibliotecas sendo utilizadas.
Categoria: Gerenciamento arriscado de recursos:
- Falha ao Limitar Operações aos Limites de um Buffer de Memória: O conhecido buffer overflow.
- Controle Externo de Dados Sensíveis: Informações críticas que são mantidas fora de um banco de dados por questões de performance não deviam ser facilmente acessíveis por atacantes.
- Controle Externo de de Caminho ou Nome de Arquivo: Quando você usa dados externos para montar um nome de arquivo ou caminho de gravação, você está se arriscando a ser atacado.
- Caminho de Procura Inseguro: Se o caminho de procura de recursos estiver em algum lugar sob controle de um atacante, bibliotecas ou código pode ser inserido a revelia.
- Falha ao Controlar a Geração de Código: Caso o atacante consiga influenciar a geração de código dinâmico (se geração de código dinâmico for utilizada no programa) ele poderá controlar todo seu código.
- Download de Código sem Verificação de Integridade: Se você executa código obtido por download, você confia na fonte. Atacantes podem aproveitar esta confiança.
- Desligamento ou Liberação Impróprias de Recursos: Arquivos, conexões e classes precisam ser corretamente encerradas.
- Inicialização Imprópria: Dados, bibliotecas e sistemas inicializados incorretamente podem abrir margens para problemas.
- Cálculos Incorretos: Quando o atacante tem algum controle sobre as entradas usadas em operações matemáticas, isso pode gerar vulnerabilidades.
Categoria: Defensas porosas:
- Controle de Acesso Impróprio: Se você não garante que seus usuários estão fazendo apenas o que deviam, os atacantes irão se aproveitar de sua autenticação.
- Uso de um Algoritmo Criptográfico Quebrado ou Vulnerável: Utilização de algoritmos fracos ou comprometidos levam a falhas de criptografia e vulnerabilidades.
- Senha no Código: deixar um usuário e uma senha no próprio código traz inúmeros problemas.
- Permissão de Acesso Insegura para Recurso Crítico: Configurações, arquivos de dados e bancos de dados devem ter suas permissões de acesso protegidas.
- Uso de Valores Insuficientemente Aleatórios: Se você usa tipos de segurança que dependem de aleatoriedade, usar um gerador aleatório insuficiente só vai causar problemas.
- Execução com Privilégios Desnecessários: Se seu programa precisa de privilégios elevados para executar suas funções, ele deve abrir mão destes direitos assim que ele termina de executar as ações que precisavam dos privilégios.
- Aplicação de Segurança do Lado do Servidor pelo Cliente: Atacantes podem usar engenharia reversa em um cliente de software e escrever seus próprios clientes removendo testes e aplicações de segurança.
Related articles by Zemanta
- F-Secure provides details on Web site breach (news.cnet.com)
- OStatic Buffer Overflow..... (ostatic.com)
- Hacker site claims breach of third security firm Web site in a week (news.cnet.com)
- 500,000 Websites Hit by SQL Injection in '08 (pindebit.blogspot.com)
- Audit: No customer data exposed in Kaspersky breach (news.cnet.com)
- OStatic Buffer Overflow...... (ostatic.com)
- Microsoft Bringing SQL Server to the Cloud (blogs.msdn.com)
- Inserting DBCC CHECKDB Results Into A Table! (lockergnome.com)
- Microsoft's Staff Reductions Directly Related to Success of Netbooks (ostatic.com)
- Grab data from Zoho's software with Zoho CloudSQL (venturebeat.com)
Marcadores: computers, Linux, Microsoft, Portugal, Security, SQL, Vulnerabilidade
# 3/12/2009 04:21:00 PM, Comentários, Links para esta postagem,
lua is the best scripting language
Lua was created in 1993 by Roberto Ierusalimschy, Luiz Henrique de Figueiredo, and Waldemar Celes, members of the Computer Graphics Technology Group (Tecgraf) at PUC-Rio, the Pontifical University of Rio de Janeiro, in Brazil.
Features
1. Lua is Tuned to Be Fast
Independent benchmarks show that Lua is often amongst the fastest interpreted dynamic languages. The Lua interpreter has been extensively tuned for high performance. The call-out mechanism to C is one of the fastest, too (compare to JNI).
The integration of other fast compilers give Lua the edge to be faster and more preferable for cell phones than other relatively resource hungry PLs.
2. Lua is small
The Lua interpreter easily fits in under 100 kilobytes including the base libraries. You can not expect that from other larger runtimes like Java or Python where, to strip a non-essential part of a code is either impossible or very tough than to ignore it. Minimal memory cache is something that Lua uses to good effect for mobile phones and smartphones of today's generation.
3. Extending Lua is Easy
Lua has been designed to work together with C. The Lua VM offers a small, yet flexible C API. Even beginners can write a binding in minutes without studying huge manuals. There are plenty of automatic
binding generators for larger tasks, too. Compared to other language's binding mechanisms, Lua's C API effectively provides a shield between the internals of the Lua VM and the outer world.
4. Embedding Lua
Lua is a fast language engine with small footprint that you can embed easily into your application. Lua has a simple and well documented API that allows strong integration with code written in other languages. It is easy to extend Lua with libraries written in other languages. It is also easy to extend programs written in other languages with Lua. Lua has been used to extend programs written not only in C and C++, but also in Java, C#, Smalltalk, Fortran, Ada, and even in other scripting languages, such as Perl and Ruby.
5. Lua is portable
Lua is distributed in a small package and builds out-of-the-box in all platforms that have an ANSI/ISO C compiler. Lua runs on all flavors of Unix and Windows, and also on mobile devices (such as handheld computers and cell phones that use BREW, Symbian, Pocket PC, etc.) and embedded microprocessors (such as ARM and Rabbit) for applications like Lego MindStorms.
6. Lua has coroutines
Multitasking is desirable, even on small devices. Too often one encounters annoying limits on cell phones, e.g. one cannot open the calendar or lookup a number in the phonebook while on the phone with someone. But fully preemptive multitasking is either not supported or is considered too costly for these environments.
Lua's coroutines provide a fast and memory efficient way for non-preemptive multitasking. Lua's coroutines are built-in and are independent of the capabilities of the underlying OS. Lua
even happily runs on devices without an MMU.
7. Lua can be sandboxed
it's easy to restrict access to library functions on a function-by-function basis. Memory use as well
as CPU usage can be restricted, too. This is very important for a cell phone environment. Removing certain dangerous library functions or (better yet) just offering a handful of "safe" functions for use by
user-written applications is easy. It's even possible to manage multiple protection domains with different privilege levels in the same Lua VM.
Other VMs provide either no support for sandboxing (short of completely ripping out huge parts of their libraries) or offer only complicated and inflexible protection mechanisms. Lua can be sandboxed _in_ Lua and with standard Lua calls, providing for maximum flexibility at minimum cost.
8. Lua is malleable
Lua has just enough syntactic sugar and meta-mechanisms to be easily repurposed for domain specific
languages (DSL).
9. Lua is Well Documented
A good programming language needs to be well docuemented to be read and understood. Lua has put it perfectly into effect. It has a simplistic website that holds all the necessary information from FAQ to download guide. It is pretty transparent.
10. Lua is Free and Simple
Lua is free software, distributed under a very liberal license (the well-known MIT license). It can be used for any purpose, including commercial purposes, at absolutely no cost. Just download it and use it.
Lua has a simple, yet powerful syntax which fits on a single page. The semantics are consistent and intuitive. Beginners can start to program right away. Teaching Lua is easy, excellent programming books are available. No huge and expensive IDEs and SDKs are needed, any text editor will do.
See the normal factorial program can be written like this through Lua.
function factorial2 (n ) - Shorter equivalent of the above
return n== 0 and 1 or n*factorial2 (n - 1 )
end
Lua also has advanced features like closures, coroutines, meta-mechanism and lots of finely tuned details. All of these make it attractive for professional developers, too. But none
of these features get in the way of beginners.
The WoW Lua add-ons are a good example of the power of an open and collaborative environment. It nicely shows what a huge driving factor user contributed (active) content can be for the success of a project.
If you want to quickly gain a huge library of gadgets and add-ons for your cell phone, then Lua is the way to go.
Why not Python then?
Python is a popular programming language. Both Python and Lua are commonly embedded in applications to provide scripting support. So why not go for the more popular one? Python is better equipped, has a remote debugger and loadsa features which Lua don't.
Well if you are looking for a smaller, easier programming language which does the work as good as Python can, then why not go for Lua? Lua has a powerful library, a strong and simple syntax and etc. I will at least suggest you to try Lua once.For more comparisons, you can read their own article on how lua fairs better than others
Conclusion
In this world of all the programming languages, Lua is starting to make a mark. If you are mobile widget developer or a game programmer, then Lua can prove to be ideal. Give it a try.
Source:
- 10 Reasons Why You Should Make Lua (A New Programming Language) Your Coding Friend - A Detailed Review (taragana.com)
Marcadores: computers, Java, Language, Lua, Programming, Ruby
# 2/12/2009 12:19:00 AM, Comentários, Links para esta postagem,
O que é XOOPS?
, XOOPS é um Sistema de Gerenciamento de Conteúdo, em inglês, Content Management System (CMS). Pronuncia-se foneticamente como "czups" ou "zoo'ps" e é um acrônimo de "eXtensible Object Oriented Portal System".Sua maior característica é a facilidade de operação e o fato de existirem uma infinidades de módulos que possibilitam agregar mais funções ao portal que se deseja criar. É uma ferramenta poderosa, flexível e fácil de usar na criação e administração dos mais variados tipos de sites. Pode ser usado para criar desde pequenas páginas até portais médios ou grandes. Todas as ações são efetuadas através de uma interface web simples e funcional, deixando aos administradores, praticamente só a tarefa de gerenciar o conteúdo do site.
O software facilita a atualização, alteração e o gerenciamento de publicações eletrônicas em rede, pois as páginas da publicação são geradas dinamicamente, a partir de um banco de dados.
Principais características
Modelos Smarty: Smarty (http://smarty.php.net) é uma ferramenta de templates para PHP que foi incorporada ao XOOPS desde a versão 2.0. Ela possibilita aos administradores um ótimo controle do layout do site, mesmo com pouco conhecimento de PHP. Usando o HTML básico, CSS (Cascading Style Sheets) e as tags do Smarty, os designers podem personalizar seus temas e templates em minutos. Com as tags do Smarty os programadores podem também escrever scripts pequenos que possibilitam o uso de dados do site e dos utilizadores (nome do site, slogan, url do site, nomes e ID´s dos utilizadores, etc) dentro do código HTML do tema ou dos templates usados. O Smarty também implementa um sisteam de "cache" que armazena temas e templates, possibilitando uma rápida recuperação dos dados. Este recurso aumenta muito a velocidade de carregamento de qualquer site XOOPS.
Permissões de acesso baseado em Grupos: XOOPS possui um sistema de registro de utilizadores - você pode opcionalmente exigir que o utilizador se registre para poder acessar certas áreas ou funções do site. Por exemplo, muitos sites requerem que o utilizador se registre para poder enviar notícias, postar nos fóruns, acessar uma sessão de downloads, etc. Os direitos de acesso e administração de um site XOOPS, são configurados num sistema de permissão bem flexível baseado em "grupos de utilizadores". Os grupos criados por padrão são: utilizadores anônimos, membros ou utilizadores registrados e webmasteres ou administradores. Logicamente você pode criar quantos grupos forem necessários para gerenciar seu site, dando a eles os direitos e permissões que quiser, incluindo:
- Quais os blocos que podem ser vistos
- Quais os módulos que podem ser acessados
- Quais os módulos que podem ser administrados
- Quais os aspectos do sistema que podem ser modificados
Gerenciamento de associados: O XOOPS inclui ferramentas para um gerenciamento de utilizadores muito fácil e seguro. Estas ferramentas possibilitam a busca por utilizadores seguindo vários critérios, enviar e-mail e mensagens privadas para eles, além de todas as configurações de permissões de acesso e utilização de funções características a cada grupo.
Enviar email para os utilizadores é um processo bem simples. Caso necessite, você pode enviar os emails para um grupo por vez.
Suporte a Múltiplos Idiomas: Todo o idioma do sistema pode ser facilmente alterado apenas instalando-se um novo pacote de tradução.
Os arquivos de idioma podem ser facilmente encontrados e modificados graças a característica modular do XOOPS. Criar arquivos de tradução adicionais para novos módulos é bem simples. Basta copiar uma pasta de linguagem e traduzir o texto.
Gerenciador de Imagens: As Imagens podem ser categorizadas e enviadas ao site através desta ferramenta. O Gerenciador de Imagens se abre em uma nova janela e possibilita uma maior comodidade para posteriormente, inserir as imagens enviadas em quaisquer conteúdos. Existe ainda um sistema de permissões controlando as dimensões da imagem, seu peso e acesso dos grupos de utilizadores a diferentes categorias de imagens criadas.
O gerenciador de Imagens possibilita o envio de imagens que podem ser usadas em qualquer lugar do site.
Fonte: XOOPS Brasil.
Marcadores: CMS, computers, CSS, html, XOOPS
# 8/12/2008 04:06:00 PM, Comentários, Links para esta postagem,
My public folders
//]]> --->
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
|||||||
|
Related articles by Zemanta
- Alex's Soapbox: Programming Sucks! Or At Least, It Ought To (thedailywtf.com)
- DDD: Living In The Enterprise (devlicio.us)
- Explaining My List of Programming Languages (regulargeek.com)
- Queued: An Adobe AIR App for Netflix (readwriteweb.com)
- BKeeney Software Updates Slideshow Magic (themactrack.com)
- Model Driven Architecture: Feasibility or Fallacy? (tc.eserver.org)
- DDD: What Kind of Applications Is It Suited To? (devlicio.us)
- Open letter to Obama: Uncle Sam should go open source (arstechnica.com)
- Application platforms: different stuff, same story? (theregister.co.uk)
- Antipatterns (tc.eserver.org)
Marcadores: computers, Cube, Drag-and-drop, Languages, Legacy, Lua, Programming, Release, Video, XOOPS
# 1/17/2008 12:00:00 AM, Comentários, Links para esta postagem,
Como instalar o apache no windows
Tutorial de instalação do Apache/PHP em Windows NT/2000/XPSUMÁRIO
1. Informações Importantes
2. Apache
- 2.1. Obtendo o Apache
- 2.2. Instalando o Apache
- 2.3. Iniciando e parando o Apache
- 2.4. Testando a instalação do Apache
3. PHP- 3.1. Obtendo o PHP
- 3.2. Configurando o PHP
- 3.3. Configurando o Apache para trabalhar com o PHP
- 3.4. Testando a instalação do PHP
4. Considerações Finais
1. Informações Importantes
Este breve tutorial tem por finalidade mostrar os passos para instalação e configuração do servidor Web Apache e da linguagem PHP em ambientes Windows NT/2000/XP, para desenvolvimento local. Não é fornecida aqui nenhuma informação acerca da instalação ou configuração em Windows 98/95/ME, pelo fato destes ambientes não serem apropriados, e nem recomendados, para o desenvolvimento.
As versões utilizadas neste tutorial foram o PHP 4.x e Apache 2.0.x. Caso esteja utilizando outra versão, por favor, verifique no manual do PHP e do Apache as diferenças de configuração aplicáveis às versões que você estiver usando.
É importante lembrar que, apesar do PHP/Apache executarem de maneira satisfatória em ambientes Windows, é recomendável que esta plataforma seja usada apenas para pequenos testes e desenvolvimento de pequeno porte, simulando o ambiente Unix/Linux original onde essas ferramentas devem realmente residir.
2. Apache
2.1. Obtendo o Apache
Primeiramente, efetue o download do arquivo de instalação do Apache no seguinte endereço:
http://www.apache.org/dist/httpd/binaries/win32
Baixe o arquivo com extensão .msi. O arquivo deverá estar com o seguinte nome: apache_x.x.xx-win32-x86-no_ssl.msi, onde x.x.xx é a versão do software. A versão utilizada aqui será a 2.0.54. Para maiores informações sobre os arquivos de instalação do Apache, consulte a página de download citada acima.
2.2. Instalando o Apache
Clique duas vezes no arquivo de instalação do Apache. Uma tela como esta deverá aparecer:
Prossiga clicando no botão "Next", aceitando os termos da licença de uso e, na tela de Informações do Servidor ("Server Information"), onde é solicitado "Network Domain", "Server Name" e "Administrator's Email Address", informe, respectivamente: "localdomain", "localhost" e o seu endereço de e-mail. Deixe também selecionado a opção "Run as a service for All users", como indicado abaixo:
Prossiga selecionando a instalação Típica ("Typical") e finalize a instalação.
2.3. Iniciando e parando o Apache
Utilize o gerenciador de serviços do Windows (Painel de Controle, Ferramentas Administrativas, Serviços), para controlar a execução do serviço do Apache, utilizando os botões de start e stop indicados na figura abaixo:
2.4. Testando a instalação do Apache
Para testar a instalação, primeiramente, certifique-se de que o serviço do Apache esteja em execução. Abra o seu navegador favorito e digite o seguinte endereço: http://localhost. Este é o endereço do seu servidor web local. Uma página como esta a seguir deverá aparecer, indicando que você instalou e configurou corretamente o servidor Web Apache em seu sistema.
Se você não tiver alterado o diretório padrão de instalação do Apache, o diretório raiz do seu servidor web se encontra no seguinte caminho no seu disco:
C:\Arquivos de programas\Apache Group\Apache2\htdocs
É neste diretório que você deve colocar todos os arquivos que serão acessados através do seu servidor Web local, incluindo páginas HTML, scripts em PHP, arquivos de imagens, etc.
3. PHP
3.1. Obtendo o PHP
Efetue o download do pacote com os arquivos do PHP para Windows, no seguinte endereço:
http://www.php.net/downloads.php
Baixe o arquivo no formato .ZIP, o qual já contém todas as extensões da linguagem. Este arquivo zipado deverá ter o seguinte nome: php-x.x.x-Win32.zip, onde x.x.x é a versão da linguagem. A versão utilizada aqui será a 4.3.10. Descompacte este pacote para um diretório qualquer no seu disco. Vamos considerar que o diretório de destino dos arquivos seja C:\PHP. Após a descompactação, a estrutura de diretórios do PHP deve ficar como indicado na figura abaixo:
3.2. Configurando o PHP
Copie o arquivo php.ini-dist, que se encontra no diretório C:\PHP, para o diretório raiz do Windows ( C:\Windows ou C:\WINNT). Renomeie-o para php.ini e, dentro dele, localize o seguinte texto: " extension_dir" e altere o valor desta entrada para o nome do diretório com os arquivos das extensões do PHP, que no nosso caso é " c:\php\extensions". Após a alteração, esta seção do arquivo deverá parecer como a seguir:
Copie também o arquivo php4ts.dll, que se encontra no diretório C:\PHP, para o diretório C:\Windows\System32, no caso de Windows XP, ou para o diretório C:\WINNT\System32, no caso de Windows NT/2000.
3.3. Configurando o Apache para trabalhar com o PHP
Para que o servidor Web Apache possa reconhecer o PHP e redirecionar as páginas escritas nessa linguagem para o seu interpretador, é necessário adicionar algumas linhas no arquivo de configuração do Apache. Se você não tiver alterado os diretórios durante a instalação, o caminho completo para o arquivo de configuração do Apache é o seguinte:
C:\Arquivos de programas\Apache Group\Apache2\conf\httpd.conf
Adicione as seguintes linhas no final deste arquivo:
LoadModule php4_module "c:/php/sapi/php4apache2.dll"
AddType application/x-httpd-php .php
Salve este arquivo e, em seguida, pare e re-inicie o Apache. Na descrição do serviço do Apache deverá aparecer uma string indicando que o PHP foi carregado juntamente com o servidor Web, como indicado abaixo:
3.4. Testando a instalação do PHP
Para testar a instalação do PHP, crie um arquivo qualquer com extensão .php ( info.php, por exemplo) no diretório raiz do seu servidor Web Apache ( htdocs) e, dentro dele digite o seguinte código:
Em seguida acesse o seguinte endereço no seu navegador (certifique-se de que o servidor Apache esteja em execução):
http://localhost/info.php
Uma tela com informações sobre a configuração do PHP deverá ser exibida, como indicado abaixo:
Feito isto, a instalação e configuração básica do Apache e do PHP no Windows terá sido finalizada.
4. Considerações Finais É extremamente aconselhável a leitura da sessão do manual do PHP que trata sobre a instalação e configuração, em:
http://www.xoops.net.br/docs/php/manual/installation.php
Nessa página é possível encontrar uma abordagem muito mais ampla e detalhada acerca desse tema, não só em ambientes Windows, mas também em Unix, Linux, etc. Por favor, caso encontre algum problema na instalação, refira-se à URL citada acima.![Reblog this post [with Zemanta]](http://img.zemanta.com/reblog_e.png?x-id=3a1817c9-5ede-4cff-a7b3-0ddab4a83ce2)
Marcadores: Apache, computers, Cube, html, instalar, Servidor
# 2/09/2005 12:00:00 AM, Comentários, Links para esta postagem,