※ [本文转录自 startup 看板 #1Gf9n5Ro ]
作者: LaPass (LaPass) 看板: startup
标题: [闲聊] 无形成本就在这里
时间: Thu Nov 15 15:39:47 2012
被XXS攻击搞到停站的网站
http://f23ko.com/432/popo-tw
http://www.popo.tw/
http://i.imgur.com/07WBw.jpg
http://i.imgur.com/LyLB7.jpg
虽然听别人讲过这次攻击的手法
但我PO这篇的重点跟技术无关，只是借题发发牢骚而已
简单来讲，就是这个站被骇到让站方关站维修了
其实.....
那个漏洞已经足已将使用者资料给捞走，而且不留任何痕迹
那骇客会这么高调是为了把漏洞给桶出来
我自己本身是写网页程式的
主要工作的是在后端
看到这个画面，感触很深
有些看不到的东西，是很贵的
很多防护、撰写程式要注意的细节，很伤神又费工
但客户、老板、主管往往看不到，也不会去看那些地方
他们只会看、也只看得懂那些前端部分
例如版面怎么排、图漂不漂亮、鼠标移上去会不会出现提示讯息之类的小地方
而且评鉴进度时，也只会看XXX功能有没有完成之类的
安全性等功能，通常会被忽略
因为客户不懂、也不会去注意这一方面
有时候，客户可能也会有一些安全性上的要求
例如说，要求变更私人资料时要再次输入密码
但是，该怎么实行又是个大问题
我看过只出现个视窗验证密码，但是session cookies全部都没动
也就是说，那个验证功能根本是“假的”
顶多防止，别人趁使用者离开电脑时去修改他的资料而已
要探究这种现象原因，大概又是因为赶工、规格变动的关系
而有意无意把那些考量给忽略了
其实，要写出一个坚固、好的程式，需要缜密思考
很多非预期的使用者行为，根本不是客户规画中会去想的
但如果要把资安问题纳入考量，这些都是写程式时要去想、做的功能
或许有些刚进入这一行的人会去思考这些东西
但是，去做了之后就会发现，客户、主管根本不会感激你做了这些防护
只会因为你没使用最快的方式把功能给做出来，而发火、扣款等
而且，多做防护的另一个负面效果
就是当客户要求变更规格时，容易让程式变得难以修改
有时候流程、规格变化之大，让人难以想像
老实说，潜在漏洞，并不是那么容易出问题
我曾经在一个已经运行将近十年的网页系统上发现一个重大漏洞
而且这个漏洞是在系统的核心元件上
也就是说
这十年间
不论是在哪个网页页面，都可以用几行script
把整个系统的数据库整个干掉
但这个漏洞却这样沉睡了十年，没人发现过.....
所以..... 懂程式、懂攻击的人并不多
即使一个程式设计师了解安全性的严重性
在这种得过且过的环境下，久而久之，也就不会在乎那些东西
当程式设计师变成主管、老板时
他也知道在客户的眼中，安全性的顺位排在很后面
自然会叫属下先弄出漂亮的接口跟华丽的flash来讨客户开心
而把安全问题忽略掉了
反正，出问题时，吃亏的是客户，也不是自己