Cum de a căuta SAP * * codurile de eroare și mesajele?

Companiile care au implementat SAP * * Produsele au petrecut o cantitate mare de resurse pe rafinament client al soluțiilor. Cu toate acestea, face aceste evoluții introduce riscuri suplimentare în procesele de afaceri? SAP garanteaza calitatea codului în aplicațiile sale, prin audituri manuală a codului furnizat și utilizarea celor mai moderne mecanisme pentru analiza statistică și dinamică a produselor sale pentru diverse vulnerabilități.

Un studiu a fost efectuat la Universitatea din Saarbrücken (Germania), al cărui scop a fost de a analiza SAP * * coduri de produse (soluții de e-commerce) cu cele mai multe instrumente de analiză statistică moderne. Concluziile au fost după cum urmează - calitatea codului este destul de mare.

* * SAP este supus de cod software manuale și analiză automată, mii de cazuri speciale de testare. Codul de Client de multe ori nu poate fi pe deplin analizate, în special în fața termenelor de proiect strânse. Este în valoare de vedere calitatea codului client pe sistemele dumneavoastră.

Sistemul SAP simplifică să facă afaceri la nivel de sistem, precum și să efectueze analiza și analiza activităților. Dar dacă există erori SAP în codul programului companiei, atunci acestea trebuie corectate imediat pentru funcționarea corectă a programului și, în consecință, a afacerii.

Este important să se înțeleagă că autorizarea utilizatorului de verificare (un sinonim pentru SAP * * de securitate pentru multe întreprinderi) nu ajutor va împiedica utilizarea acestui tip de erori, deoarece utilizatorul folosind erori în codul este dincolo de autoritatea definită de către administratorul de sistem .

Să considerăm erorile care pot fi prezente în codul de client.

Cod injecție

injecție cod rezervate este una dintre cele mai comune și cele mai multe vulnerabilități periculoase, în conformitate cu clasificarea OWASP. Cele mai multe dintre vulnerabilități bine-cunoscute, inclusiv OpenSSL heartbleed și hack Ebay, sunt legate de neatenție lăsat injectarea datele introduse de utilizator într-un program.

Pericolul unor astfel de erori constă în rezultatele practic imprevizibile ale executării programelor vulnerabile. Rezultatul unei injecții de cod SQL poate fi atât o scurgere de parole și eliminarea completă a tuturor datelor de sistem.

O problemă suplimentară, cu astfel de vulnerabilități este dificultatea de a găsi-le cu instrumente automate. Căutați bazate pe reguli și modele nu va da un rezultat pozitiv datorită numărului mare de ipoteze formulate eronat.

Singurul cu adevărat eficient mod de a găsi erori poate fi analiza statică a fluxului de date care intră în program. Analiza statică a fluxului de date vă permite să urmărească ce date va puncte potențial periculoase de ipoteză cu privire la prezența sau absența unei vulnerabilități de injectare de cod.

Director traversarea

O altă eroare de programare periculoasă iese din greșeală spoofing de intrare, care permite director traversal.

Un atacator care exploatează această vulnerabilitate capătă abilitatea de a citi sau scrie date din afara directorului predefinit. Astfel, setările critice ale sistemului pot fi citite sau fișierele de configurare suprascrise, care pot dezactiva sistemul pentru o perioadă destul de lungă de timp.

Există opțiuni destul de specifice pentru utilizarea acestei erori. De exemplu, un apel la declarația dset FILTRU iv_filter OPEN set de date, care se deschide un fișier pentru citire, pe un Unix furnizează date de sistem din fișierul fiind citit la un proces predefinit care poate efectua acțiuni neașteptate la nivelul sistemului de operare.

Astfel, configurația sistemului de operare incorectă și codul vulnerabile care nu au erori separat poate duce la consecințe critice atunci când se lucrează împreună.

erori de autorizare

Sunt programatori ghidate de conceptul de autoritate atunci când dezvoltă aplicațiile lor? Conform acestui concept, accesul la orice bloc funcție a unui program ar trebui să fie refuzat, până se specifică altfel.

Din păcate, pe mai multe proiecte, controlul accesului are loc la nivel de tranzacție, ceea ce face posibilă combinarea diferitelor permisiuni existente pentru a accesa informații interzise. De exemplu, folosind instrucțiunea CALL TRANSACTION (care este utilizat pe scară largă de către dezvoltatori), pe proiecte, cu control al accesului tranzacțional este nesigur. Fără cu autoritate-CHECK, instrucțiunea CALL TRANSACTION vă permite să se ramifica prin orice altă tranzacție.

De asemenea, este posibil să existe o verificare de autorizare, dar a fost făcut în mod incorect. Astfel de cazuri trebuie, de asemenea, să fie găsit și corectat.

Backdoors.

Înainte de aceasta, am analizat câteva cazuri de vulnerabilități, când programatorii au făcut greșeli neintenționate, ca urmare a cărora codul a devenit vulnerabil. Cu toate acestea, există și cazuri în care programatorul modifică în mod deliberat fluxul de execuție a programului pentru anumiți utilizatori (caracteristici nedocumentate) sau nu lasă așa-numitul backdoor deloc, ceea ce vă permite să ocoliți toate verificările stabilite de sistem.

Un dezvoltator poate crea un backdoor fără scopuri rău intenționate, cum ar fi obținerea SAP _all autoritatea de a lucra mai eficient pe un proiect de implementare. Evident, acest lucru nu distruge riscurile pe care le introduce prezența backdoors.

Există multe exemple de astfel de backdoors pe web care pot fi ușor copiate și transferate într-un sistem de producție. Este foarte dificil să prindeți prezența unor caracteristici și backdoors, în primul rând, datorită cantității uriașe de cod client și, în al doilea rând, din cauza particularităților limbajului de programare SAP. ABAP vă permite să executați codul în zbor și este stocat în DBMS, adică, poate fi ascuns foarte, foarte adânc.

Cum să găsiți erori SAP?

Există mai multe modalități diferite de a găsi vulnerabilități în cod, dintre care cele mai avansate este analiza fluxului de date statice.

SAP NetWeaver ca are un modul care analizează fluxul de date pentru prezența sau absența vulnerabilităților (analiza vulnerabilității codului). Există soluții partenere certificate care vă permit să scanați codul de aplicare pentru vulnerabilități.

* Analiza vulnerabilității codului SAP * (CVA) se bazează pe Instrumentul Inspectorului de cod, care a reușit să verifice codul clientului pentru construcții potențial periculoase de mai mulți ani, dar, spre deosebire de inspectorul de cod, utilizează analiza fluxului de date în activitatea sa. Este cel mai rapid de utilizat pentru a utiliza CVA din prima etapă a proiectului - o sută de etapă de dezvoltare (înainte de transferul de-a lungul peisajului), deoarece realizarea corecțiilor mai târziu (de exemplu, în timpul funcționării productive) este mai complicată și mai costisitoare.

Introducerea CVA implică nu numai găsirea și stabilirea erorilor, ci și în schimbarea abordării la standardele de dezvoltare în întreprindere.

Introducerea oricărei noi dezvoltări într-un sistem de producție trebuie să fie autorizată de un expert care este ghidat în activitatea sa de către cele mai moderne instrumente de analiză a dezvoltării.

Una dintre modalitățile de a găsi erori este un astfel de instrument. Nu toată lumea este conștientă de faptul că SAP conține peste un milion de mesaje de eroare. Puteți utiliza acest instrument simplu și cel mai important gratuit pentru a găsi rapid orice cod de eroare și SAP Mesaj.

A SAP Codul de eroare, cum ar fi AA729 sau un cuvânt cheie, cum ar fi activul, trebuie introdus în fereastra dedicată pentru a găsi toate mesajele de eroare SAP.

Întrebări Frecvente

Ce înseamnă „directorul traversal”?

Aceasta este o eroare de programare SAP despre lăsarea inadvertentului de intrare spoofed pentru a permite traversarea directorului. Acest lucru poate citi setările critice ale sistemului sau poate suprascrie fișiere de configurare, care pot reduce sistemul pentru o perioadă destul de lungă de timp.

Care sunt metodele eficiente pentru depanarea codurilor și a mesajelor de eroare SAP *?

Depanare * coduri de eroare SAP EROARE și mesaje implică în mod eficient utilizarea portalurilor SAP de asistență, consultanța SAP documentație și implicarea cu comunitățile de utilizator SAP pentru informații și soluții.