Printsiplar, siyosatlar va himoya Dasturiy ta'minot xavfsizligi

5 ta hujum vektori
Machine Translated by Google

---

5.2 Axborotning sizib chiqishi
tajovuzkorga ma'lumot. Ma'lumotlarning sizib chiqishi maxfiy
ma'lumotlarni ushbu ma'lumotlarga kirish huquqiga ega bo'lmagan
tajovuzkorga o'tkazish uchun ma'lumotlarning noqonuniy, yashirin yoki
ko'zda tutilmagan uzatilishini suiiste'mol qiladi . Buzg'unchi
ma'lumotlarning mo'ljallangan uzatilishini suiiste'mol qilishi va dasturni
mo'ljallanmagan ma'lumotlarni yuborish uchun aldashi mumkin
(masalan, maqsadli faylni yuborish o'rniga server imtiyozli faylni qaytaradi).
Axborotning tarqalishi maxfiylik xususiyatini buzadi. Axborotning sizib chiqishi -
sezgir ma'lumotlarning g'ayritabiiy yoki ko'zda tutilmagan uzatilishi
veb-ilovadagi istisno yoki ishdan chiqish yoki ilovalarning xatoliklari va ishdan
chiqishini qayd qiluvchi, shuningdek, nosozlik manzillari kabi yordamchi disk
raskadrovka ma'lumotlari bilan birgalikda o'qilishi mumkin bo'lgan jurnal fayllari .
Ma'lumotni sizib chiqish uchun xotira yoki turdagi xavfsizlik buzilishidan
foydalanish mumkin . Bunday qochqinlar uchun dasturiy ta'minotdagi nuqson
zararli ma'lumotlarni nozik ma'lumotlar bilan almashtirish yoki ko'paytirish uchun
dastur holatini buzadi . Ko'rsatkichlar, kutubxona, stek yoki kod joylashuvi kabi
manzillar bo'shlig'ining ish vaqti ma'lumotlarining sizib chiqishi Stack Canaries
yoki Address Space Layout Randomization kabi ehtimoliy himoya vositalarini
chetlab o'tishga imkon beradi , chunki bu joylashuvlar yoki qiymatlar faqat har
bir jarayon asosida tasodifiy bo'lib, doimiy bo'ladi . jarayonning umri.
47
5 ta hujum vektori
Ma'lumotlarning sizib chiqishi xotira xavfsizligi muammolari yoki mantiqiy
xatolar bilan bog'liq bo'lishi mumkin. Agar ma'lumotlarning sizib chiqishi
mantiqiy xatolik tufayli yuzaga kelgan bo'lsa, u holda dasturni aldab,
tajovuzkorga ma'lumotni oqizish uchun yaxshi bajarilish yo'lidan borish
mumkin. Ba'zi ma'lumotlarning sizib chiqishi koddagi disk raskadrovka
bayonotlari bilan bog'liq, masalan, foydalanuvchiga qaytariladigan stek haqidagi ma'lumot
Machine Translated by Google

---