Como avaliar o conteúdo da web e segurança

Teste de palavras-chave geradas por usuários ou conteúdo
Muitas vezes permitimos que alguns usuários postem informações e não moderamos ou revisamos o que eles postam e, então, o título ou conteúdo se torna uma palavra-chave. Uma maneira de controlar isso é por meio de um mecanismo de pesquisa como Google, coloque site: mydomain.com "palavra-chave", estando entre aspas é uma palavra-chave exata.
Vamos um exemplo site: apple.com "roubar fotos" como palavra-chave

Encontramos um título, é na verdade um aplicativo chamado Steal photos na iTunes store, mas se pesquisarmos pode ser ainda pior com outras palavras-chave ou se sofrermos um ataque do tipo xss.
Também serve para ver se estamos posicionados para uma determinada palavra-chave.
Arquivos com metadados do usuário
Isso ocorre em documentos PDF e no Microsoft Office, que são editados de um servidor Windows e publicados na web diretamente.
Para fazer isso no Google, escrevemos site: "Documentos e configurações"
Nos resultados você poderá ver o caminho para o diretório, o nome do usuário e até mesmo o caminho físico do servidor onde o documento está localizado.

Acessando o arquivo robots.txt
O arquivo robots.txt é usado para bloquear diretórios e arquivos que não queremos rastrear, mas, como são arquivos de texto, podem ser listados para ver se alguma área sensível, como um painel de administração ou um aplicativo que não publica, foi encontrada .

O arquivo robots.txt ele é público, pois os mecanismos de pesquisa o lêem ao rastrear informações. Todos os sites o usam para proteger conteúdo e diretórios.
Injeções de SQL
Isso ocorre principalmente ao receber parâmetros enviados por url do tipo www.mydomain.com/pagina?id=2
Então esse parâmetro é lido para executar alguma instrução sql
SELECIONE o nome. chave FROM usuários WHERE user_id = $ id;
A melhor coisa é enviar a consulta por meio de métodos post em vez de obter nos formulários html e, em vez disso, criptografar o código e a variável com algum método como md5 ou sha.
Por exemplo:
www.mydomain.com/comprar?idcompra=345&producto=12
Criptografar MD5 e mascarar as variáveis
www.midominio.com/comprar?detalle_compra=e3d4b8f9637ce41a577ac68449e7f6b5
Ofuscação de scripts javascript
Muitas vezes, os desenvolvedores da web deixam os arquivos javascript públicos e podem ser lidos por qualquer pessoa. Se você tiver um código confidencial ou funções do sistema, como redirecionamentos ajax ou jquery, pode ser uma vulnerabilidade para a web.
Um método interessante é ofuscar o código ou criptografá-lo de modo que uma função que executa alguma tarefa importante não é fácil de decifrar.

 cálculo da função (quantidade, preço) {// Cálculo do subtotal subtotal = preço * quantidade; documnet.getbyID ('subtotal'). value = subtotal; // Cálculo do total documnet.getbyID ('total'). Value = documnet.getbyID ('total'). Value + subtotal; } 

O mesmo código ofuscado usando a ferramenta online http://myobfuscate.com

Ataques de validação de entrada
Muitos programadores para economizar tempo não validam as entradas do formulário e permitem escrever e salvar qualquer coisa no banco de dados, por exemplo, em vez de um nome ou um telefone, escreva uma instrução javascript, xss ou qualquer código que possa ser executado quando o registro for lido do banco de dados.Gostou e ajudou este tutorial?Você pode recompensar o autor pressionando este botão para dar a ele um ponto positivo