<മുമ്പത്തെ | ഉള്ളടക്കം | അടുത്തത്>

11.2 മൂല്യനിർണയത്തിന്റെ തരങ്ങൾ

നിങ്ങളുടെ കാളി പരിതസ്ഥിതി തയ്യാറാണെന്ന് ഇപ്പോൾ നിങ്ങൾ ഉറപ്പാക്കിക്കഴിഞ്ഞു, നിങ്ങൾ ഏത് തരത്തിലുള്ള വിലയിരുത്തലാണ് നടത്തുന്നതെന്ന് കൃത്യമായി നിർവ്വചിക്കുക എന്നതാണ് അടുത്ത ഘട്ടം. ഉയർന്ന തലത്തിൽ, നമുക്ക് നാല് തരം വിലയിരുത്തലുകൾ വിവരിക്കാം: a ദുർബലത വിലയിരുത്തൽഒരു പാലിക്കൽ പരിശോധനഒരു പരമ്പരാഗത നുഴഞ്ഞുകയറ്റ പരിശോധന, ഒരു ആപ്ലിക്കേഷൻ വിലയിരുത്തൽ. ഒരു ഇടപഴകലിൽ ഓരോ തരത്തിലുള്ള മൂല്യനിർണ്ണയത്തിന്റെയും വിവിധ ഘടകങ്ങൾ ഉൾപ്പെട്ടേക്കാം, എന്നാൽ അവയെ കുറച്ച് വിശദമായി വിവരിക്കുകയും നിങ്ങളുടെ കാലി ലിനക്‌സ് ബിൽഡിലും പരിസ്ഥിതിയിലും അവയുടെ പ്രസക്തി വിശദീകരിക്കുകയും ചെയ്യുന്നത് മൂല്യവത്താണ്.

വ്യത്യസ്ത തരം വിലയിരുത്തലുകളിലേക്ക് കടക്കുന്നതിന് മുമ്പ്, ഒരു ദുർബലതയും ചൂഷണവും തമ്മിലുള്ള വ്യത്യാസം ആദ്യം ശ്രദ്ധിക്കേണ്ടത് പ്രധാനമാണ്.

A കേടുപാടുകൾ ഇത് പ്രയോജനപ്പെടുത്തുമ്പോൾ, ഒരു വിവര സംവിധാനത്തിന്റെ രഹസ്യാത്മകത, സമഗ്രത അല്ലെങ്കിൽ ലഭ്യത എന്നിവയിൽ വിട്ടുവീഴ്ച ചെയ്യുന്ന ഒരു ന്യൂനതയായി നിർവചിക്കപ്പെടുന്നു. ഇനിപ്പറയുന്നവ ഉൾപ്പെടെ നിരവധി വ്യത്യസ്ത തരം അപകടസാധ്യതകൾ നേരിടാം:

• ഫയൽ ഉൾപ്പെടുത്തൽ: ഫയൽ ഉൾപ്പെടുത്തൽ കേടുപാടുകൾ1 വെബ് ആപ്ലിക്കേഷനുകളിൽ നിങ്ങളെ അനുവദിക്കുന്നു ഉൾപ്പെടുന്നു ഒരു പ്രോഗ്രാമിന്റെ കണക്കുകൂട്ടലിലേക്ക് ഒരു ലോക്കൽ അല്ലെങ്കിൽ റിമോട്ട് ഫയലിന്റെ ഉള്ളടക്കം. ഉദാഹരണത്തിന്, ഒരു വെബ് ആപ്ലിക്കേഷന് “ദിവസത്തെ സന്ദേശം” ഫംഗ്‌ഷൻ ഉണ്ടായിരിക്കാം, അത് ഒരു ഫയലിന്റെ ഉള്ളടക്കം വായിക്കുകയും അത് ഉപയോക്താവിന് പ്രദർശിപ്പിക്കുന്നതിന് വെബ് പേജിൽ ഉൾപ്പെടുത്തുകയും ചെയ്യുന്നു. ഇത്തരത്തിലുള്ള ഫീച്ചർ തെറ്റായി പ്രോഗ്രാം ചെയ്യപ്പെടുമ്പോൾ, അവർ തിരഞ്ഞെടുക്കുന്ന ഒരു ഫയലിന്റെ ഉള്ളടക്കം ഉൾപ്പെടുത്താൻ സൈറ്റിനെ നിർബന്ധിക്കുന്നതിന് അവരുടെ വെബ് അഭ്യർത്ഥന പരിഷ്ക്കരിക്കാൻ ഒരു ആക്രമണകാരിയെ ഇത് അനുവദിക്കും.

• SQL കുത്തിവയ്പ്പ്: ഒരു SQL കുത്തിവയ്പ്പ്2 പ്രോഗ്രാമിനായുള്ള ഇൻപുട്ട് മൂല്യനിർണ്ണയ ദിനചര്യകൾ മറികടക്കുന്ന ഒന്നാണ് ആക്രമണം, ടാർഗെറ്റുചെയ്‌ത പ്രോഗ്രാമിന് എക്സിക്യൂട്ട് ചെയ്യുന്നതിനായി SQL കമാൻഡുകൾ നൽകാൻ ആക്രമണകാരിയെ അനുവദിക്കുന്നു. സുരക്ഷാ പ്രശ്നങ്ങളിലേക്ക് നയിച്ചേക്കാവുന്ന കമാൻഡ് എക്സിക്യൂഷന്റെ ഒരു രൂപമാണിത്.

• ബഫർ ഓവർഫ്ലോ: ഒരു ബഫർ ഓവർഫ്ലോ3 ഒരു ബഫറിന്റെ അടുത്തുള്ള മെമ്മറിയിലേക്ക് ഡാറ്റ എഴുതുന്നതിനുള്ള ഇൻപുട്ട് മൂല്യനിർണ്ണയ ദിനചര്യകളെ മറികടക്കുന്ന ഒരു ദുർബലതയാണ്. ചില സന്ദർഭങ്ങളിൽ, ടാർഗെറ്റുചെയ്‌ത പ്രോഗ്രാമിന്റെ പ്രവർത്തനത്തിന് അടുത്തുള്ള മെമ്മറി ലൊക്കേഷൻ നിർണായകമായേക്കാം, കൂടാതെ കോഡ് എക്‌സിക്യൂഷന്റെ നിയന്ത്രണം ഓവർറൈറ്റ് മെമ്മറി ഡാറ്റയുടെ ശ്രദ്ധാപൂർവം കൈകാര്യം ചെയ്യുന്നതിലൂടെ ലഭിക്കും.

• റേസ് വ്യവസ്ഥകൾ: ഒരു റേസ് അവസ്ഥ4 ഒരു പ്രോഗ്രാമിലെ സമയ ആശ്രിതത്വം പ്രയോജനപ്പെടുത്തുന്ന ഒരു ദുർബലതയാണ്. ചില സന്ദർഭങ്ങളിൽ, ഒരു പ്രോഗ്രാമിന്റെ വർക്ക്ഫ്ലോ സംഭവിക്കുന്ന സംഭവങ്ങളുടെ ഒരു പ്രത്യേക ശ്രേണിയെ ആശ്രയിച്ചിരിക്കുന്നു. നിങ്ങൾക്ക് ഈ സംഭവങ്ങളുടെ ക്രമം മാറ്റാൻ കഴിയുമെങ്കിൽ, അത് ഒരു അപകടത്തിലേക്ക് നയിച്ചേക്കാം.

An ചൂഷണം ചെയ്യുക, മറുവശത്ത്, ഉപയോഗിക്കുമ്പോൾ, ഒരു പ്രത്യേക കേടുപാടുകൾ പ്രയോജനപ്പെടുത്തുന്ന സോഫ്‌റ്റ്‌വെയറാണ്, എല്ലാ കേടുപാടുകളും പ്രയോജനപ്പെടുത്താവുന്നതല്ലെങ്കിലും. ഒരു ചൂഷണം ഒരു റണ്ണിംഗ് പ്രോസസിനെ മാറ്റേണ്ടതായതിനാൽ, അത് ഉദ്ദേശിക്കാത്ത ഒരു പ്രവൃത്തി ചെയ്യാൻ നിർബന്ധിതരാകുന്നതിനാൽ, ചൂഷണം സൃഷ്ടിക്കുന്നത് സങ്കീർണ്ണമായേക്കാം. കൂടാതെ, ആധുനിക കമ്പ്യൂട്ടിംഗ് പ്ലാറ്റ്‌ഫോമുകളിൽ ചൂഷണ വിരുദ്ധ സാങ്കേതികവിദ്യകൾ നിരവധിയുണ്ട്.

1https://en.wikipedia.org/wiki/File_inclusion_vulnerability 2https://en.wikipedia.org/wiki/SQL_injection 3https://en.wikipedia.org/wiki/Buffer_overflow 4https://en.wikipedia.org/wiki/Race_condition‌‌‌

ഡാറ്റാ എക്സിക്യൂഷൻ പ്രിവൻഷൻ പോലെയുള്ള കേടുപാടുകൾ ചൂഷണം ചെയ്യുന്നത് ബുദ്ധിമുട്ടുള്ളതാക്കാൻ രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു5 (DEP) കൂടാതെ അഡ്രസ് സ്‌പേസ് ലേഔട്ട് റാൻഡമൈസേഷൻ6 (ASLR). എന്നിരുന്നാലും, ഒരു നിർദ്ദിഷ്‌ട ദുർബലതയ്‌ക്കായി പൊതുവായി അറിയപ്പെടുന്ന ചൂഷണം ഇല്ലെന്നതിനാൽ, അത് നിലവിലില്ല (അല്ലെങ്കിൽ ഒന്ന് സൃഷ്‌ടിക്കാൻ കഴിയില്ല) എന്ന് അർത്ഥമാക്കുന്നില്ല. ഉദാഹരണത്തിന്, പല ഓർഗനൈസേഷനുകളും ഒരിക്കലും പരസ്യമാക്കാത്ത വാണിജ്യവത്കൃത ചൂഷണങ്ങൾ വിൽക്കുന്നു, അതിനാൽ എല്ലാ അപകടസാധ്യതകളും ചൂഷണം ചെയ്യാൻ സാധ്യതയുള്ളതായി കണക്കാക്കണം.

<മുമ്പത്തെ | ഉള്ളടക്കം | അടുത്തത്>