רוטר - גם אתם מתחילים לנסוג משימוש כללי ב-JS ?

יומן פעילות	לוח שנה	מבזקי חדשות	תקנון	RSS	כותרות	כותרות לפי תגובה	ניקוי קוקיז	IP	להורדת אפליקציה
eBay	AliExpress	GearBest	Amazon	Booking	Kiwi	SkyScanner	Trip Advisor

"גם אתם מתחילים לנסוג משימוש כללי ב-JS ?"

גירסת הדפסה

קבוצות דיון פיתוח, תיכנות ובניית אתרים נושא #22047	מנהל סגן המנהל מפקח Winner צל"ש מומחה

אשכול מספר 22047

שונטל

חבר מתאריך 12.6.13
428 הודעות, 1 פידבק, 2 נקודות

18:51 06.09.17

גם אתם מתחילים לנסוג משימוש כללי ב-JS ?

במסגרת עבודתי אני מלווה צוותי פיתוח לכדי פיתוח מאובטח. כמעט תמיד ה-JS מוביל למידע מועיל לחבר'ה שמפנטסטים (מלשון Pentest) web applications . אני כמובן לא אכנס לפרטים טכניים - אבל ב-3 שנות עבודתי אני יכול להסיק כי צד לקוח הינו הדבר הכי לא בטחותי בעוד שאנשי ה-CISO מתעלמים ממנו, כי למי אכפת גניבת סשן של לקוח? העיקר לדעת לפלטר XHR.
כבר 2 חברות שאכפת להם מפרטיות הלקוח נסוגו כמעט כליל משימוש בספריות JS.
אני אישית מאשר רק ספריות ויזואליזציה (jQ ופריימוורקים מבוססי שפות צד שרת כגון primefaces).

קחו המלצתי לרמה האישית - נסו להמנע משימוש שופע ב-JS (אנגולר out) .

הנספח לאבטחת-מידע, בלוג אישי-מקצועי

שתף

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

האשכול	מחבר	תאריך כתיבה	מספר
מה החלופות?	hellfe	06.09.17 20:00	1
להעמיס על השרת	Bonito	06.09.17 21:12	2
זה אתה אמרת. יעילות הוא שם המשחק.	שונטל	06.09.17 23:46	3
לא חסר. בעיקר פריימוורקים מבוססי שפות צד שרת.	שונטל	06.09.17 23:49	4
מה שיהרוג את JS הוא WEBASSEMBLY	תומר	16.09.17 19:50	20
do not feed the troll	ליל קיץ	07.09.17 00:15	5
אחת התגובות היותר לא ענייניות שאני מכיר.	שונטל	07.09.17 00:19	7
אז מה שאתה אומר בעצם	Ben_d	07.09.17 00:16	6
טוב, כנראה לא הבנת אותי נכון.	שונטל	07.09.17 00:30	9
טוב. סבבה. אני עדיין מחכה להוכחה לטיעון שלך.	Ben_d	07.09.17 00:38	12
אני באמת לא יודע אם אתה צוחק או רציני. אם אתה רציני באמת יש פה בעיה.	SMangam	07.09.17 00:29	8
אין מה לעשות, התגובות הנ''ל אופייניות למפתחי JS.	שונטל	07.09.17 00:35	10
לכל מפתחי האנגולר, אני ממש מבין אתכם. רק קחו עצה	שונטל	07.09.17 00:37	11
רצתי לחפש קריירה חדשה!	Ben_d	07.09.17 00:43	13
קטן עליך...	שונטל	07.09.17 00:46	14
ברור, JS OUT, דפים סטטים IN	ssl	07.09.17 21:52	15
לא ברור מאיפה הבאת את זה	King_Cobra	07.09.17 22:05	16
מה ההבדל כאשר אני משתמש באנגולר או ב PURE JS?	VeNom	07.09.17 22:45	17
פוסט ממש ממש הזוי :(	GaL	13.09.17 01:29	18
+1	תפתתפת	13.09.17 10:45	19
אממ יש יתרון הבטחה לרנדר על הסרבר... אבל זה רק למקרים מאוד ספציפים.	aCoZz	02.10.17 00:38	21

hellfe
חבר מתאריך 13.9.13
233 הודעות

20:00 06.09.17

1. מה החלופות?
בתגובה להודעה מספר 0

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Bonito
חבר מתאריך 22.9.09
14859 הודעות

21:12 06.09.17

2. להעמיס על השרת
בתגובה להודעה מספר 1

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

שונטל

חבר מתאריך 12.6.13
428 הודעות, 1 פידבק

23:46 06.09.17

3. זה אתה אמרת. יעילות הוא שם המשחק.
בתגובה להודעה מספר 2

הנספח לאבטחת-מידע, בלוג אישי-מקצועי

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

שונטל

חבר מתאריך 12.6.13
428 הודעות, 1 פידבק

23:49 06.09.17

4. לא חסר. בעיקר פריימוורקים מבוססי שפות צד שרת.
בתגובה להודעה מספר 1

JS טוב -רק- ל-UI. להתרחק מאנגולר ודומיו.

הנספח לאבטחת-מידע, בלוג אישי-מקצועי

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

תומר

19:50 16.09.17

20. מה שיהרוג את JS הוא WEBASSEMBLY
בתגובה להודעה מספר 1

ערכתי לאחרונה בתאריך 16.09.17 בשעה 19:55 בברכה, תומר

שלפי דעתי ישנה את ה WEB מקצה לקצה
הן מבחינת חווית המשתמש , שפות הפיתוח , ואפילו חיפוש המידע בעזרת GOOGLE
אני חושב שתוך 2-3 שנים כבר נראה פיתוחים ב WA
יהיה מעניין

http://webassembly.org/

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

ליל קיץ

חבר מתאריך 14.2.10
10048 הודעות, 7 פידבק

00:15 07.09.17

5. do not feed the troll
בתגובה להודעה מספר 0

אחד הפוסטים היותר מגוחכים שיצא לי לקרוא בזמן האחרון

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

שונטל

חבר מתאריך 12.6.13
428 הודעות, 1 פידבק

00:19 07.09.17

7. אחת התגובות היותר לא ענייניות שאני מכיר.
בתגובה להודעה מספר 5

לפי התגובה אני מאמין שהתמקצעת באנגולר ואין לך ממש מה להגיד
לגבי ההתבאסות שלך - בזה אני בטוח.
בהצלחה.

הנספח לאבטחת-מידע, בלוג אישי-מקצועי

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Ben_d
חבר מתאריך 15.6.16
706 הודעות

00:16 07.09.17

6. אז מה שאתה אומר בעצם
בתגובה להודעה מספר 0

זה שכל השיטות פיתוח המודרניות והפופולאריות כיום שאומצו (ופותחו) ע"י אינספור חברות ושודרגו במשך 20+ שנה - פשוט לא טובות וזאת לפי ה-3 שנות הניסיון שלך? וכמובן ללא צלילה לפירוט טכני. סבבה... נשמע רציני.

זה מרגיש כמו פוסט שאתה מחפש להתווכח ולריב עם אנשים. בינתיים, זרקת טענה לאויר, בוא תנסה להוכיח אותה.

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

שונטל

חבר מתאריך 12.6.13
428 הודעות, 1 פידבק

00:30 07.09.17

9. טוב, כנראה לא הבנת אותי נכון.
בתגובה להודעה מספר 6

אין סיבה לחברות או ארגונים לנטוש ספריות שהם בנו, למה? כי פגיעויות יגיעו ללקוח ולא לשרתים.
בין עיסוקיי אני מעביר חברות תקן 27000 של מת"י. אין נגיעה בדבר זה. כשזה מגיע למבדקי חדירה כאן אנחנו נופלים, owasp מגדירים את הפגיעויות בנושא במקום 2 ו-3 (אחרי sqli). יש תקנים יותר מחמירים שלא יאשרו מערכת מבוססת JS. בתחום שלי, לא מעניין אותי טיב המערכת, יופיה או מרכיביה. אם אני מצליח להוציא מידע רגיש או להשתיל קוד JS בסבך כל הסיפריות, מצדי לא עובר. אני לא אומר לאף אחד פה מה לעשות, אבל אם אבטחת מידע עסקינן, תחשבו פעמיים.

הנספח לאבטחת-מידע, בלוג אישי-מקצועי

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Ben_d
חבר מתאריך 15.6.16
706 הודעות

00:38 07.09.17

12. טוב. סבבה. אני עדיין מחכה להוכחה לטיעון שלך.
בתגובה להודעה מספר 9

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

SMangam
חבר מתאריך 27.10.05
270 הודעות

00:29 07.09.17

8. אני באמת לא יודע אם אתה צוחק או רציני. אם אתה רציני באמת יש פה בעיה.
בתגובה להודעה מספר 0

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

שונטל

חבר מתאריך 12.6.13
428 הודעות, 1 פידבק

00:35 07.09.17

10. אין מה לעשות, התגובות הנ''ל אופייניות למפתחי JS.
בתגובה להודעה מספר 8

אין לי הרבה מה להגיד, מקווה בשבילך שהתחזית שלי שגויה (לפחות לשנתיים הקרובות)

הנספח לאבטחת-מידע, בלוג אישי-מקצועי

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

שונטל

חבר מתאריך 12.6.13
428 הודעות, 1 פידבק

00:37 07.09.17

11. לכל מפתחי האנגולר, אני ממש מבין אתכם. רק קחו עצה
בתגובה להודעה מספר 0

ממישהו שחי אבטחת מידע. אנגולר גוססת בתקווה שאולי גוגל יצילו אותה.
לגבי פרטים טכנים יש לכם את גוגל.

הנספח לאבטחת-מידע, בלוג אישי-מקצועי

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

Ben_d
חבר מתאריך 15.6.16
706 הודעות

00:43 07.09.17

13. רצתי לחפש קריירה חדשה!
בתגובה להודעה מספר 11

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

שונטל

חבר מתאריך 12.6.13
428 הודעות, 1 פידבק

00:46 07.09.17

14. קטן עליך...
בתגובה להודעה מספר 13

במיוחד אם אתה יודע אנגולר!

הנספח לאבטחת-מידע, בלוג אישי-מקצועי

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

ssl
חבר מתאריך 2.1.17
234 הודעות

21:52 07.09.17

15. ברור, JS OUT, דפים סטטים IN
בתגובה להודעה מספר 0

MARK MY WORDS

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

King_Cobra

חבר מתאריך 1.8.02
24138 הודעות, 4 פידבק

22:05 07.09.17

16. לא ברור מאיפה הבאת את זה
בתגובה להודעה מספר 0

ברור שיש דברים וחברות שכותבות דברים בצד לקוח שלא אמורים להיות שם וזו הפירצה האמיתית.
שימוש נכון ב JS הוא כזה ששולח את המידע לשרת באופן מוצפן ובצד שרת מבוצע אימות נוסף ופעולות נוספות.
אין שום קשר בין פילטור XHR לבין כמה זה בטוח או לא. זה שאתה יכול לפלטר זה יפה אבל זה לא אומר שאתה יכול לשלוח את הבקשות לשרת סתם ככה כאשר המידע מוצפן או דרוש מפתח או משהו סשן או whatever כדי שהשרת בכלל יזהה אותך כמישהו שמאושר לו לשלוח את המידע הזה.
בכל מצב על כל דבר אתה יכול להגיד שהוא לא בטוח אם לא יודעים איך להשתמש בו.... גם אוטו הוא לא בטוח אם אתה לא יודע לנהוג בו.

הכל עניין של נסיון ומימוש נכון.

My Website

(ניהול: מחק תגובה)

מכתב זה והנלווה אליו, על אחריות ועל דעת הכותב בלבד

VeNom

חבר מתאריך 7.6.02
7922 הודעות, 1 פידבק

22:45 07.09.17

17. מה ההבדל כאשר אני משתמש באנגולר או ב PURE JS?
בתגובה להודעה מספר 0

XMLHTTPREQUEST הוא WEBAPI ששניהם משתמשים בו בסוף..
https://developer.mozilla.org/en-US/docs/Web/API/XMLHttpRequest
איזה היבט של אבטחה יש לך בזה שאתה לא משתמש בפריימוורק כמו אנגולר?
אתה מאשרשימוש בספריות ויזואלציות כמו JQUERY וביננו, גם שם יש מימושים מעל XHR.

יצא לי לעבור לא מעט PENTESTS במהלך העבודה שלי ורוב הפלטים הם דברים גנריים וארכיים שבסוף מממשים בשביל לסמן וי ולעבור את הבדיקה.