Conas a chuardach le haghaidh SAP * cóid earráid * agus teachtaireachtaí?

Cuideachtaí a chur i bhfeidhm SAP Táirgí a chaitheamh cuid mhór na n-acmhainní ar refinement cliant réitigh. Mar sin féin, a dhéanamh ar na forbairtí a thabhairt isteach rioscaí breise isteach i do próisis ghnó? SAP ráthaíonn an caighdeán an cód ina n-iarratas trí iniúchtaí láimhe de chód arna sholáthar agus úsáid na meicníochtaí is nua-aimseartha chun anailís staitistiúil agus dinimiciúil a chuid táirgí le haghaidh leochaileachtaí éagsúla.

Rinneadh staidéar amach in Ollscoil Saarbrücken (An Ghearmáin), an cuspóir a bhí leis a anailís a dhéanamh ar an SAP * * cóid táirge (réitigh ríomh-thráchtáil) leis an chuid is mó uirlisí nua-aimseartha anailís staitistiúil. Ba iad na conclúidí seo a leanas - tá an caighdeán an cód ard go leor.

SAP gabhfaidh sé faoi cód bogearraí de láimh agus anailís uathoibrithe, na mílte de chásanna tástála speisialta. Ní féidir cód Cliant a anailísiú go hiomlán go minic, go háirithe i bhfianaise na spriocdhátaí tionscadail daingean. Is fiú smaoineamh ar cháilíocht an cód chliaint ar do chórais.

Déanann an córas SAP gnó a shimpliú ag leibhéal an chórais, chomh maith le hanailís agus anailísíocht gníomhaíochtaí a dhéanamh. Ach má tá SAP earráidí i gcód cláir na cuideachta, ansin ní mór iad a cheartú láithreach chun an clár a oibriú go ceart agus, dá réir sin, an gnó.

Tá sé tábhachtach a thuiscint go bhfuil údarú úsáideora seiceáil (a synonym do SAP urrús leor gnóthas) ní cúnamh cosc ​​a chur ar an úsáid a bhaint den chineál seo na n-earráidí, ós rud é go bhfuil an t-úsáideoir ag baint úsáide as earráidí sa chód níos faide ná an t-údarás arna sainiú ag an riarthóir do chórais .

A ligean ar a mheas na hearráidí ad'fhéadfadh a bheith sa chód gcliant.

cód instealladh

Is instealladh cód ar cosaint cheann de na coitianta chuid is mó agus is mó leochaileachtaí contúirteacha de réir an aicmithe OWASP. An chuid is mó de na leochaileachtaí-aitheanta go maith, lena n-áirítear OpenSSL Heartbleed agus an hack Ebay, a bhaineann leis an ionchur úsáideoir ar chlé gan chuimhneamh instealladh isteach i gclár.

Tá an baol ann earráidí den sórt sin sna torthaí beagnach unpredictable de a fhorghníomhú na gclár i mbaol. Is féidir leis an toradh maidir le hionchur de SQL cód a araon ar sceitheadh ​​de faire agus an bhaint iomlán na sonraí go léir chórais.

Tá fadhb bhreise leis leochaileachtaí cibé an deacracht a bhaineann le iad a aimsiú le huirlisí uathoibrithe. Cuardaigh bunaithe ar rialacha agus patrúin nach mbeidh toradh deimhneach a thabhairt mar gheall ar an líon mór na n toimhdí dhearmad le chéile.

Is féidir leis an t-aon bhealach éifeachtach go fírinneach chun earráidí a aimsiú a anailís statach ar an sruth sonraí a iontráil ar an gclár. Ceadaíonn anailís statach ar an sreabhadh sonraí tú a rianú cé na sonraí ag dul go dtí phointí féideartha contúirteacha toimhde mar gheall ar an láthair nó nach bhfuil ar leochaileacht instealladh cód.

eolaire traversal

Eile is ea an earráid cláir contúirteacha ag fágáil gan chuimhneamh spoofing ionchur, a chuireann ar chumas traversal eolaire.

Ionsaitheoir a exploits leochaileacht gnóthachain an gcumas chun sonraí a léamh nó a scríobh taobh amuigh den eolaire réamhshainithe. Dá bhrí sin, is féidir socruithe córas criticiúil a léamh nó comhaid cumraíochta overwritten, is féidir a dhíchumasú an córas ar feadh tréimhse sách fada ama.

Tá roghanna sonrach le haghaidh úsáid an earráid. Mar shampla, glaoch ar an ráiteas dset Scagaire iv_filter OSCAILTE Tacar, a oscail comhad don léitheoireacht, ar Unix shonraí soláthairtí córas ó na comhaid á léamh le próiseas réamhshainithe féidir a dhéanamh gníomhartha nach raibh coinne ag leibhéal an chórais oibriúcháin.

Dá bhrí sin, Is féidir le OS cumraíocht mícheart agus cód leochaileach nach bhfuil earráidí ar leithligh mar thoradh ar iarmhairtí criticiúla agus iad ag obair le chéile.

earráidí Údarú

An bhfuil do chuid ríomhchláraitheoirí faoi threoir ag an coincheap de údaráis a n-iarratais á bhforbairt? De réir an coincheap seo, ba cheart rochtain ar aon bhloc fheidhm cláir a dhiúltú go dtí go sonraítear a mhalairt.

Ar an drochuair, ar go leor tionscadal, a tharlaíonn rialú rochtana ar an leibhéal idirbheart, a fhágann gur féidir a chur le chéile ceadanna éagsúla atá ann chun teacht ar eolas toirmiscthe. Mar shampla, ag baint úsáide as an ráiteas CALL IDIRBHIRT (a úsáidtear go forleathan ag forbróirí) ar thionscadail a bhfuil rialú rochtana idirbheartaíochta is neamhshábháilte. Gan LE ÚDARÁS-CHECK, ceadaíonn an ráiteas CALL IDIRBHIRT leat a brainse trí aon idirbheart eile.

Is féidir freisin go bhfuil seiceáil údarú, ach bhí sé déanta go mícheart. Ní mór cásanna den sórt sin freisin le fáil agus iad a cheartú.

Cúltaca

Roimhe sin, d'fhéachamar ar roinnt cásanna de leochaileachtaí, nuair a rinne ríomhchláraitheoirí botúin neamhbheartaithe, mar thoradh air sin tháinig an cód leochaileach. Mar sin féin, tá cásanna ann freisin nuair a athraíonn an ríomhchláraitheoir an sreabhadh forghníomhaithe cláir d'aon ghnó d'úsáideoirí áirithe (gnéithe gan doiciméid), nó nach bhfágann sé an cúl-chúl ar a dtugtar ar chor ar bith, a ligeann duit gach seic a sheachbhóthar leis an gcóras.

Is féidir le forbróir cúl-chúl a chruthú gan críocha mailíseacha, mar shampla a fháil SAP _All údarás a bheith ag obair níos go héifeachtúil ar thionscadal forfheidhmithe. Ar ndóigh, ní bhaineann sé seo as na rioscaí go dtugann an láithreacht cúltaca isteach.

Tá go leor samplaí de chúltaca den sórt sin ar an ngréasán is féidir a chóipeáil go héasca agus a aistriú go córas táirgthe. Tá sé an-deacair teacht ar láithreacht gnéithe agus cúltaca gan doiciméid, ar an gcéad dul síos, mar gheall ar an méid ollmhór de chód cliant, agus ar an dara dul síos, mar gheall ar na tréithe cláreagraithe SAP. Ligeann ABAP duit cód a fhorghníomhú ar an eitilt agus tá sé stóráilte sa DBMS, is é sin, is féidir é a chur i bhfolach go han-mhaith.

Conas a aimsiú SAP Earráidí?

Tá roinnt bealaí éagsúla ann chun leochaileachtaí a aimsiú i gcód, agus is é an rud is airde ná anailís shreafa sonraí statach.

SAP Netweaver mar a bhfuil modúl ann a dhéanann anailís ar an sreabhadh sonraí chun leochaileachtaí a bheith i láthair nó gan leochaileachtaí a bheith ann (cód leochaileachta cód). Tá réitigh dheimhnithe comhpháirtíochta ann a cheadaíonn duit cód iarratais a scanadh le haghaidh leochaileachtaí.

* SPAP * Cód Anailís Leochaileachta (CVA) atá bunaithe ar an Uirlis Cigire Cód, a bhí in ann a sheiceáil cód cliaint le haghaidh a d'fhéadfadh a bheith contúirteach contúirteach le blianta fada, ach murab ionann agus cigire cód, úsáideann sé anailís sreabhadh sonraí ina chuid oibre. Is fóirsteanach é a úsáid CVA ó chéad chéim an tionscadail - céad céim forbartha (sular aistrítear an fhorbairt níos faide ar feadh an tírdhreacha), ós rud é go bhfuil ceartúcháin a dhéanamh níos déanaí (mar shampla, le linn oibriú táirgiúil) níos casta agus costasach.

Tugann tabhairt isteach CVA le tuiscint, ní hamháin go bhfaigheadh ​​agus a shocrú earráidí, ach freisin ag athrú an cur chuige an-i leith caighdeáin forbartha san fhiontar.

Ní mór tabhairt isteach aon fhorbairt nua i gcóras táirgthe a bheith údaraithe ag saineolaí atá treoraithe ina chuid oibre ag na huirlisí anailíse forbartha is nua-aimseartha.

Ceann de na bealaí chun earráidí a aimsiú ná uirlis den sórt sin. Níl a fhios ag gach duine go bhfuil níos mó ná aon mhilliún teachtaireacht earráide i SAP. Is féidir leat an uirlis shimplí agus is tábhachtaí seo a úsáid chun aon chód earráide a aimsiú go tapa agus teachtaireacht SAP.

Ní mór cód earráide SAP ar nós AA729 nó eochairfhocal amhail sócmhainn a iontráil isteach san fhuinneog tiomnaithe chun teacht ar gach teachtaireacht ghaolmhar SAP.

Ceisteanna Coitianta

Cad is brí le Eolaire Traversal?

Is earráid chlársceidealaithe é seo SAP Maidir le hionchur a fhágáil gan chuimhneamh chun an t -eolaire a thrasnú. Féadann sé seo socruithe córais chriticiúla a léamh nó comhaid chumraíochta a scríobh thar a chéile, ar féidir leo an córas a thabhairt síos ar feadh tréimhse fada ama.

Cad iad na modhanna éifeachtacha chun fabhtcheartú a dhéanamh * Cóid agus teachtaireachtaí earráide?

Fabhtcheartú SAP Cóid earráide agus teachtaireachtaí i gceist go héifeachtach Baineann SAP tairseacha tacaíochta, dul i gcomhairle le cáipéisíocht SAP, agus dul i dteagmháil le SAP pobail úsáideora le haghaidh léargas agus réitigh.