Skip to main content
Fiz algumas correções no texto, nada muito significante e adicionei uma conclusão.
Fonte Link

Você pode fazer com que o Apache bloqueie acessos externos. Além de poder usar CSRF (Cross-site request forgery) dentro da sua/suas aplicações para dizer quais requisições são realmente confiáveis, que normalmente é inserida através de um input hidden com um token, e assim evitar um tipo de ataque por bot.

  • [13:01:01]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 reponderesponde: Uma vez só.
  • [13:01:03] Servidor recebe e responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele
  • [13:01:03]192.168.1.1 - Envia outra requisição para o servidor.
  • [13:01:04]Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:05]192.168.1.1 reponderesponde: Uma vez só. :D
  • [13:01:06] Servidor recebe e responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • (E assim pode seguir por dias, semanas, meses ou até o servidor cair)

NãoObservação: não posso ter certificado digital pago na minha intranet?

Segundo a Godaddy e a RapidSSL, não é mais possível emitir certificados SSL para uso em intranet, desde 1º de novembro de 2015, o IP deve constar no WhoIs. Qualquer dúvida, visite esse link que tem a observação.

Conclusão

Espero ter te ajudado e quero deixar claro que há outras maneiras de atacar seu formulário, mas implementar essas questões tornará seus formulários um pouco mais seguro. Lembrando que não há como garantir 100% de segurança, por isso, esteja sempre procurando modos de atacar seu sistema. Além disso há ferramentas bem interessantes para realizar testes em aplicações web.

Abraço e boa sorte no desenvolvimento das suas aplicações!

Você pode fazer com que o Apache bloqueie acessos externos. Além de poder usar CSRF (Cross-site request forgery) dentro da sua/suas aplicações para dizer quais requisições são realmente confiáveis e evitar um tipo de ataque por bot.

  • [13:01:01]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 reponde: Uma vez só.
  • [13:01:03] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele
  • [13:01:03]192.168.1.1 - Envia outra requisição para o servidor.
  • [13:01:04]Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:05]192.168.1.1 reponde: Uma vez só. :D
  • [13:01:06] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • (E assim pode seguir por dias, semanas, meses ou até o servidor cair)

Não posso ter certificado digital pago na minha intranet?

Segundo a Godaddy e a RapidSSL, não é mais possível emitir certificados SSL para uso em intranet, desde 1º de novembro de 2015, o IP deve constar no WhoIs. Qualquer dúvida, visite esse link que tem a observação.

Você pode fazer com que o Apache bloqueie acessos externos. Além de poder usar CSRF (Cross-site request forgery) dentro da sua/suas aplicações para dizer quais requisições são realmente confiáveis, que normalmente é inserida através de um input hidden com um token, e assim evitar um tipo de ataque por bot.

  • [13:01:01]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 responde: Uma vez só.
  • [13:01:03] Servidor recebe e responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele
  • [13:01:03]192.168.1.1 - Envia outra requisição para o servidor.
  • [13:01:04]Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:05]192.168.1.1 responde: Uma vez só. :D
  • [13:01:06] Servidor recebe e responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • (E assim pode seguir por dias, semanas, meses ou até o servidor cair)

Observação: não posso ter certificado digital pago na minha intranet?

Segundo a Godaddy e a RapidSSL, não é mais possível emitir certificados SSL para uso em intranet, desde 1º de novembro de 2015, o IP deve constar no WhoIs. Qualquer dúvida, visite esse link que tem a observação.

Conclusão

Espero ter te ajudado e quero deixar claro que há outras maneiras de atacar seu formulário, mas implementar essas questões tornará seus formulários um pouco mais seguro. Lembrando que não há como garantir 100% de segurança, por isso, esteja sempre procurando modos de atacar seu sistema. Além disso há ferramentas bem interessantes para realizar testes em aplicações web.

Abraço e boa sorte no desenvolvimento das suas aplicações!

Corrigi os horários da historinha do triste servidor e implementei mais detalhes à história.
Fonte Link
  • [13:01:02]19201]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você, 192.168.1.1, tentou logar na minha aplicaçãoenviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 reponde: Uma vez só.
  • [13:01:03] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele
  • [13:01:03]192.168.1.1 - Envia outra requisição para o servidor.
  • [13:01:04]Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:05]192.168.1.1 reponde: Uma vez só. :D
  • [13:01:06] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • (E assim pode seguir por dias, semanas, meses ou até o servidor cair)
  • [13:01:02]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você 192.168.1.1 tentou logar na minha aplicação? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 reponde: Uma vez só.
  • [13:01:03] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele
  • [13:01:01]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 reponde: Uma vez só.
  • [13:01:03] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele
  • [13:01:03]192.168.1.1 - Envia outra requisição para o servidor.
  • [13:01:04]Quantas vezes você, 192.168.1.1, tentou enviar essa requisão? Responda pelo cabeçalho através da session.
  • [13:01:05]192.168.1.1 reponde: Uma vez só. :D
  • [13:01:06] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • (E assim pode seguir por dias, semanas, meses ou até o servidor cair)
adicionou 2334 caracteres ao conteúdo
Fonte Link

Bloqueie os acessos externos à sua aplicação

Você pode fazer com que o Apache bloqueie acessos externos. Além de poder usar CSRF (Cross-site request forgery) dentro da sua/suas aplicações para dizer quais requisições são realmente confiáveis e evitar um tipo de ataque por bot.

Usar session para evitar ataques é uma boa ideia?

Essa ideia pode funcionar em formulários em que o usuário precise estar logado, mas não é seguro. Por que eu digo isso? Se você já desenvolveu alguma aplicação criando HttpRequest e HttpResponse, por exemplo, já deve ter matado a charada.

O que acontece é que a sessions e o cookies são armazenamentos "opcionais" (você pode desabilitar isso no seu browser, por exemplo) e são facilmente forjados por uma pessoa maliciosa, ou seja, não dá para ser controlado sempre, além disso ele pode estar falsamente ativo.

Nota: quando digo falsamente ativa é porque a requisição pode preencher todos os requisitos normais, informando ao servidor que está ativa, mas a cada requisição ela é renovada fazendo com que a session volte a aceitar como se fosse a primeira.

A triste história do servidor que aceita tudo que o cliente fala

Seria mais ou menos assim, levando em consideração que a requisição 1 foi enviada às 13h01min:

  • [13:01:02]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você 192.168.1.1 tentou logar na minha aplicação? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 reponde: Uma vez só.
  • [13:01:03] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele

Bem, espero que tenha ficado claro o motivo de não usar isso. Recomendo que você armazene os ips e tentativas no seu servidor, não deixe que o bandido diga que é inocente, ou deixe que ele diga, mas verifique se a informação corresponde à realidade.

Mas isso não onera meu servidor? Onera um pouco, mas possibilita que você faça um bloqueio futuro do ip, descubra quem está tentando atacar, e não perca essa informação com facilidade.

Não posso ter certificado digital pago na minha intranet?

Bloqueie os acessos externos à sua aplicação

Você pode fazer com que o Apache bloqueie acessos externos. Além de poder usar CSRF (Cross-site request forgery) dentro da sua/suas aplicações para dizer quais requisições são realmente confiáveis e evitar um tipo de ataque por bot.

Usar session para evitar ataques é uma boa ideia?

Essa ideia pode funcionar em formulários em que o usuário precise estar logado, mas não é seguro. Por que eu digo isso? Se você já desenvolveu alguma aplicação criando HttpRequest e HttpResponse, por exemplo, já deve ter matado a charada.

O que acontece é que a sessions e o cookies são armazenamentos "opcionais" (você pode desabilitar isso no seu browser, por exemplo) e são facilmente forjados por uma pessoa maliciosa, ou seja, não dá para ser controlado sempre, além disso ele pode estar falsamente ativo.

Nota: quando digo falsamente ativa é porque a requisição pode preencher todos os requisitos normais, informando ao servidor que está ativa, mas a cada requisição ela é renovada fazendo com que a session volte a aceitar como se fosse a primeira.

A triste história do servidor que aceita tudo que o cliente fala

Seria mais ou menos assim, levando em consideração que a requisição 1 foi enviada às 13h01min:

  • [13:01:02]192.168.1.1 - Envia uma requisição para o servidor.
  • [13:01:01]Servidor pergunta: Quantas vezes você 192.168.1.1 tentou logar na minha aplicação? Responda pelo cabeçalho através da session.
  • [13:01:02]192.168.1.1 reponde: Uma vez só.
  • [13:01:03] Servidor responde: Ok, então, aceito sua Session e consequentemente sua requisição #handShake
  • //Mas o 192.168.1.1 é um bot e depois do handShake (aperto de mãos) ele vai fazer isso várias vezes dizendo sempre que é a primeira vez e seu servidor vai acreditar nele

Bem, espero que tenha ficado claro o motivo de não usar isso. Recomendo que você armazene os ips e tentativas no seu servidor, não deixe que o bandido diga que é inocente, ou deixe que ele diga, mas verifique se a informação corresponde à realidade.

Mas isso não onera meu servidor? Onera um pouco, mas possibilita que você faça um bloqueio futuro do ip, descubra quem está tentando atacar, e não perca essa informação com facilidade.

Não posso ter certificado digital pago na minha intranet?

Fonte Link
Carregando