Компания Positive Technologies сообщила о том, что на сайте www.SecurityLab.ru вышла статья, где приведены результаты тестирования проникновения вирусов и дана оценка защищенности ПО в части уязвимости веб-приложений. Данные получены путем автоматизированного сканирования узлов публичного хостинг-провайдера и ручного анализа защищенности приложений. Как показали исследования, наиболее часто уязвимость обнаруживается в приложениях класса «межсайтовое выполнение сценариев» (Cross-Site Scripting, XSS). Это приводит к ошибкам риска среднего уровня и может использоваться для выполнения в браузере клиента произвольного кода на языках сценариев, например на JavaScript, с целью похищения идентификационных данных, подмены содержимого страниц, проведения атак типа «фишинг» и т.п.
Другой класс уязвимых приложений «Внедрение операторов SQL» (SQL Injection) позволяет злоумышленнику читать и модифицировать информацию в БД с помощью веб-приложений. В отдельных случаях это приводит к полному контролю над сервером, поэтому уязвимость приложений данного вида квалифицируется как имеющая риск высокой степени.
Кроме того, уязвимости приложений, приводящие к утечке важной информации с сервера (Information Leakage), бывают связаны с неаккуратным разграничением доступа к веб-ресурсам и с хранением конфиденциальных данных в общедоступных, но «скрытых» папках. В частности, создание резервных копий способно вызвать подобные ошибки.
В статье приведены и другие интересные факты. Как уведомляет этот же источник, предполагается и в дальнейшем раз в полгода публиковать данные тестирования уязвимостей веб-приложений.