Как вы проверяете скрипт на безопасность? Какие методы есть?

Да темка интересная сам нераз задавал такой вапрос
но лично я проверяю все ручками(НО ЕТО ВСЕ ЕРУНДА ВСЕ РАВНО ОШИБОЧКИ ПРОСКАКИВАЮТ)

Цитата(Elfet @ 5.9.2005, 12:57)

Как вы проверяете скрипт на безопасность? Какие методы есть?

А все методы зависят от тебя, т.е. насколько тебя хватит чтобы поломать свой же скрипт. Когда они уже иссякнут, тогда можно выложить на общий обзор, и тогда тебе опишут все имеющиеся баги и дыры.

Цитата

А все методы зависят от тебя, т.е. насколько тебя хватит чтобы поломать свой же скрипт. Когда они уже иссякнут, тогда можно выложить на общий обзор, и тогда тебе опишут все имеющиеся баги и дыры.

Ага и придётся искать старые бэкапы

Это сообщение отредактировал(а) Elfet - 5.9.2005, 14:29

Цитата(Elfet @ 5.9.2005, 14:29)

Ага и придётся искать старые бэкапы

Видел твою трагедию - сочувствую. Но в любом случае надо тестить ручками (если это твой, собственно-ручный скрипт), а ежели сторонних разработчиков, тогда искать места обсуждения данного скрипта, или просматривать исходники и пытаться взломать самим.

Где бы тогда о взломах почитать? ) я только могу серьёзные ошибки находить =) в мускл без интвал и тд.

Ну первый метод это грамотно спроектировать скрипт и написать.
Второй - читать глазами (тяжело), третий тестировать.
Четвертый - XSpider (программка такая).
Пятый дать кому-ть потестить...

Цитата(Mal @ 5.9.2005, 16:32)

Пятый дать кому-ть потестить...

Самый эффективный, имхо, из все выше перечисленных.

Цитата(Cheba @ 5.9.2005, 20:28)

Самый эффективный, имхо, из все выше перечисленных

Но и самый дорого стоющий

Это почему еще?

Цитата(Elfet @ 5.9.2005, 22:16)

Но и самый дорого стоющий smile

Еслми ты конечно хочешь, чтобы твой скрипт потестили спецы из так сказать особых фирм и НИИ, то да, но оно тебе нужно?
Есть энное кол-во уровней безопасности, и в теории нет смысла просто подбивать свой скрипт под уровень скриптов, к примеру серверов правительства...

А так, в принципе паре знакомых программистов дай потетстить, они сразу в принципе глядя код скажу где у тебя что и как не отвечает требованиям. Причем, как я понимаю у тебя нет завязки с "бабками" и "персоналкой". Тут еще проще...
В принципе это уже не такие уж и большие деньги, как я думаю. расценок на это я не знаю точных, к сожалению.

Это сообщение отредактировал(а) Mal Hack - 5.9.2005, 21:32

Да просто дать соседу перечитать скрипт столько разных нюансов вылезет. Есть даже такой метод экстремального программирования - парное программирование. Это когда несколько человек работаеюют над одним и тем же котдом. Качество кода повышается в разы.

По поводу отдать на тестирование....я могу в этом плане помочь....могу бесплатно посмотреть сам, а могу отдать на тестирование IT Security Team'ам всем какие я знаю....они возьмут чисто символически на пиво =)

А вообще я раньше работал над модулем для download сервиса, который проверял скипты, просто там проходили большие движки и по кол-во файлов проверять вручную был бы геморой....суть была такая каждый файл проверялся на содержание функций system() и таких слов как hack, xack, cmd, shell и т.д. там была целая база, если вдруг модуль находил, то он показывал эту срочку, в которой нашёл....естественно если это был что-то типа $page = cmd то скрипт заливался в базу, а если что-то другое он просматривался вручную....
Вот такая система...
Не понимаю почему она до сих пор не реализована везде!?

LonelyWolf
На счёт тестирования =) было бы здорово только когда скрипт допишу, и ещё плохо что скрипт под IPB v2.1 так что возможно там есть какие-нибудь дырки в моём не павильном растолковании их модулей