غالبًا ما تتطلب مواقع الويب والتطبيقات إدخال المستخدم لتحقيق الغرض الكامل منها. إذا كان موقع الويب يسمح للمستخدمين بالاشتراك ، فيجب أن يتمكن المستخدمون من تقديم عناوين بريدهم الإلكتروني. ومن الواضح أن التسوق عبر الإنترنت يتطلب إدخال تفاصيل الدفع.
ومع ذلك ، فإن مشكلة إدخال المستخدم هي أنه يسمح أيضًا للمتسلل بإدخال شيء ضار في محاولة لخداع موقع الويب أو التطبيق لإساءة التصرف. للحماية من ذلك ، يحتاج أي نظام يوفر مدخلات المستخدم إلى التحقق من صحة الإدخال.
إذن ما هو التحقق من صحة الإدخال وكيف يعمل؟
ما هو التحقق من صحة المدخلات؟
التحقق من صحة المدخلات هو عملية تحليل المدخلات ومنع تلك التي تعتبر غير مناسبة. الفكرة وراء التحقق من صحة المدخلات هي أنه من خلال السماح فقط للمدخلات التي تفي بمعايير محددة ، يصبح من المستحيل على المهاجم إدخال مدخلات مصممة لإحداث ضرر للنظام.
يجب استخدام التحقق من صحة الإدخال على أي موقع ويب أو تطبيق يسمح بإدخالات المستخدم. حتى إذا كان موقع الويب أو التطبيق لا يخزن أي معلومات سرية ، فإن السماح بالإدخالات غير الصالحة يمكن أن يتسبب أيضًا في حدوث مشكلات في تجربة المستخدم.
لماذا يعتبر التحقق من صحة المدخلات مهمًا؟
يعد التحقق من صحة الإدخال مهمًا لسببين ، وهما تجربة المستخدم والأمان.
تجربة المستخدم
غالبًا ما يدخل المستخدمون مدخلات غير صالحة ، ليس لأنهم يحاولون مهاجمة موقع ويب أو تطبيق ، ولكن لأنهم ارتكبوا خطأ. قد يقوم المستخدم بتهجئة كلمة بشكل غير صحيح ، أو تقديم معلومات خاطئة ، مثل إدخال اسم المستخدم الخاص به في المربع الخطأ أو محاولة استخدام كلمة مرور قديمة. عند حدوث ذلك ، يمكن استخدام التحقق من صحة الإدخال لإبلاغ المستخدم بخطئه ، مما يسمح له بتصحيحه بسرعة.
يمنع التحقق من صحة الإدخال أيضًا السيناريوهات التي يتم فيها فقد عمليات الاشتراك والمبيعات نظرًا لعدم إبلاغ المستخدم وبالتالي يعتقد أنه تم تقديم المدخلات الصحيحة عندما لم يتم ذلك.
حماية
يمنع التحقق من صحة الإدخال مجموعة واسعة من الهجمات التي يمكن إجراؤها ضد موقع ويب أو تطبيق. يمكن أن تتسبب هذه الهجمات الإلكترونية في سرقة المعلومات الشخصية ، و / أو السماح بالوصول غير المصرح به إلى المكونات الأخرى ، و / أو منع موقع الويب / التطبيق من العمل.
من السهل أيضًا اكتشاف إغفال التحقق من صحة الإدخال. يمكن للمهاجمين استخدام البرامج الآلية لإدخال المدخلات غير الصالحة على مواقع الويب بشكل مجمّع وتحديد كيفية تفاعل مواقع الويب. يمكنهم بعد ذلك شن هجمات يدوية على أي مواقع غير محمية.
هذا يعني أن نقص التحقق من صحة المدخلات ليس فقط نقطة ضعف مهمة ؛ إنها ثغرة يتم العثور عليها غالبًا وبالتالي يمكن أن تتسبب في حدوث عمليات اختراق.
ما هي هجمات التحقق من صحة المدخلات؟
هجوم التحقق من صحة الإدخال هو أي هجوم يتضمن إضافة مدخلات ضارة إلى حقل إدخال المستخدم. هناك العديد من الأنواع المختلفة لهجمات التحقق من صحة الإدخال التي تحاول القيام بأشياء مختلفة.
تجاوز سعة المخزن المؤقت
يحدث تجاوز سعة المخزن المؤقت عند إضافة الكثير من المعلومات إلى النظام. إذا لم يتم استخدام التحقق من صحة الإدخال ، فليس هناك ما يمنع المهاجم من إضافة أكبر قدر من المعلومات كما يريد. وهذا ما يسمى ب هجوم تجاوز المخزن المؤقت. يمكن أن يتسبب في توقف النظام عن العمل و / أو حذف المعلومات المخزنة حاليًا.
حقن SQL
حقن SQL هو عملية إضافة استعلامات SQL إلى حقول الإدخال. قد يأخذ شكل إضافة استعلام SQL إلى نموذج ويب أو إلحاق استعلام SQL إلى عنوان URL. الهدف هو خداع النظام لتنفيذ الاستعلام. يمكن استخدام حقن SQL للوصول إلى البيانات الآمنة ولتعديل البيانات أو حذفها. هذا يعني أن التحقق من صحة الإدخال أمر حيوي بشكل خاص لأي موقع ويب أو تطبيق يخزن معلومات مهمة.
عبر موقع البرمجة
تتضمن البرمجة النصية عبر المواقع إضافة رمز إلى حقول إدخال المستخدم. غالبًا ما يتم تنفيذها عن طريق إضافة رمز إلى نهاية عنوان URL ينتمي إلى موقع ويب حسن السمعة. يمكن مشاركة عنوان URL من خلال المنتديات أو وسائل التواصل الاجتماعي ثم يتم تنفيذ الكود عندما تنقر الضحية عليه. يؤدي هذا إلى إنشاء صفحة ويب ضارة يبدو أنها مستضافة على موقع الويب ذي السمعة الطيبة.
الفكرة هي أنه إذا وثق الضحية في موقع الويب المستهدف ، فيجب عليه أيضًا الوثوق بصفحة ويب ضارة يبدو أنها تنتمي إليه. يمكن تصميم صفحة الويب الضارة لسرقة ضغطات المفاتيح و / أو إعادة التوجيه إلى صفحات أخرى و / أو بدء التنزيلات التلقائية.
كيفية تنفيذ التحقق من صحة الإدخال
ليس من الصعب تنفيذ التحقق من صحة المدخلات. تحتاج ببساطة إلى معرفة القواعد المطلوبة لمنع الإدخال غير الصحيح ثم إضافتها إلى النظام.
اكتب كل مدخلات البيانات
قم بإنشاء قائمة بجميع مدخلات المستخدم الممكنة. سيتطلب هذا منك إلقاء نظرة على جميع نماذج المستخدم والنظر في الأنواع الأخرى من المدخلات مثل معلمات URL.
إنشاء القواعد
بمجرد أن يكون لديك قائمة بجميع مدخلات البيانات ، يجب عليك إنشاء القواعد التي تملي المدخلات المقبولة. فيما يلي بعض القواعد الشائعة التي يجب تنفيذها.
- القائمة البيضاء: السماح بإدخال أحرف معينة فقط.
- القائمة السوداء: منع إدخال أحرف معينة.
- التنسيق: السماح فقط بالإدخالات التي تلتزم بتنسيق معين ، أي السماح فقط بعناوين البريد الإلكتروني.
- الطول: السماح فقط بالإدخالات التي تصل إلى طول معين.
تنفيذ القواعد
من أجل تنفيذ القواعد ، سيتعين عليك إضافة رمز إلى موقع الويب أو التطبيق الذي يرفض أي إدخال لا يتبعها. نظرًا للتهديد الذي تشكله المدخلات غير الصالحة ، يجب اختبار النظام قبل بدء البث المباشر.
إنشاء الردود
بافتراض أنك تريد التحقق من صحة الإدخال لمساعدة المستخدمين أيضًا ، يجب عليك إضافة رسائل تشرح سبب عدم صحة الإدخال وما يجب إضافته بدلاً من ذلك.
التحقق من صحة المدخلات هو مطلب لمعظم الأنظمة
يعد التحقق من صحة الإدخال مطلبًا مهمًا لأي موقع ويب أو تطبيق يسمح بإدخال المستخدم. بدون ضوابط على المدخلات المضافة إلى النظام ، يمتلك المهاجم مجموعة من التقنيات التي يمكن استخدامها لأغراض القرصنة.
يمكن أن تؤدي هذه الأساليب إلى تعطل النظام و / أو تغييره و / أو السماح بالوصول إلى المعلومات الخاصة. أصبحت الأنظمة بدون التحقق من صحة الإدخال أهدافًا شائعة للقراصنة ويتم البحث عن الإنترنت باستمرار.
بينما يتم استخدام التحقق من صحة الإدخال في المقام الأول لأغراض أمنية ، فإنه يلعب أيضًا دورًا مهمًا في إخبار المستخدمين عند إضافة شيء ما بشكل غير صحيح.