תגובות לפוסט: עוד תקלה מביכה באתר מרכזי ותשתיתי – כך נמנעים ממנה https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/ רן בר-זיק על פיתוח אינטרנט מתקדם Sun, 02 Sep 2018 13:44:10 +0000 hourly 1 https://wordpress.org/?v=7.0 מאת: רן בר-זיק https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1834 Sun, 02 Sep 2018 13:44:10 +0000 https://internet-israel.com/?p=8216#comment-1834 בתגובה על חגי.

כפי ש-owasp עצמם מציינים (פה: https://www.owasp.org/index.php/Insecure_Direct_Object_Reference_Prevention_Cheat_Sheet) , זה נכון. אבל אני ממש את זה תמיד כי לך תדע וב-node\MongoDB זה לא יקר בכלל. אבל כל אחד והטעם שלו. מה שחשוב הוא להיות מודע.

]]> מאת: רן בר-זיק https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1833 Sun, 02 Sep 2018 13:41:14 +0000 https://internet-israel.com/?p=8216#comment-1833 בתגובה על משתמש אנונימי (לא מזוהה).

אפשר להנדס את זה לאחור, אבל זה יותר קשה משמעותית ובדרך כלל מרתיע את התוקף הפוטנציאלי.

]]> מאת: חגי https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1832 Sun, 02 Sep 2018 11:31:28 +0000 https://internet-israel.com/?p=8216#comment-1832 בתגובה על רן בר-זיק.

זה נקרא Security through obscurity וכפי שהפתגם מרמז זה לא נחשב באמת בטיחותי יותר , אלא רק "פחות מזמין" על משקל "פירצה קוראת לגנב".

אם יש לך המון קריאות למשאבים , לייצר שדה נוסף, שאילתות ועוד עבור כל אחד מהן רק בשביל הסתרה זה קצת בזבזני, הדבר הנכון בסופו של דבר הוא לבדוק הרשאה גישה למשאב.

]]> מאת: משתמש אנונימי (לא מזוהה) https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1827 Fri, 31 Aug 2018 08:05:27 +0000 https://internet-israel.com/?p=8216#comment-1827 לזכרונני מונגו לא באמת נותן I'd מאובטח….

]]> מאת: ערן בן חיים https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1826 Thu, 30 Aug 2018 18:22:40 +0000 https://internet-israel.com/?p=8216#comment-1826 הid של מונגו ממש לא מאבטח
https://stackoverflow.com/questions/4587523/mongodb-is-it-safe-to-use-documents-id-in-public

]]> מאת: רן בר-זיק https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1824 Thu, 30 Aug 2018 11:43:59 +0000 https://internet-israel.com/?p=8216#comment-1824 בתגובה על אלי.

כן, אבל למה לתת לתוקף מידע בחינם? ואם יש לך api חשוף במקום אחר? בוא נלך על גם וגם.

]]> מאת: אור https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1823 Thu, 30 Aug 2018 10:15:48 +0000 https://internet-israel.com/?p=8216#comment-1823 כל הכבוד על החשיפה.
אנשים לא מודעים לזה . כשמדובר בקובץ שהוא ציבורי כמו תמונה/חשבונית וכו'

אין להשתמש במספר סידורי שאפשר לחזות אותו מראש. ולהריץ סריקה ולשאוב את המידע . יש להשתמש בפונקצית גיבוב כמו sha256
ואז לתת את הלינק הזה, וככה לא יהיה ניתן לסרוק את האתר

]]> מאת: משתמש אנונימי (לא מזוהה) https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1822 Thu, 30 Aug 2018 09:32:37 +0000 https://internet-israel.com/?p=8216#comment-1822 בתגובה על קובי.

It's called code readability.

]]> מאת: אלי https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1821 Thu, 30 Aug 2018 08:15:06 +0000 https://internet-israel.com/?p=8216#comment-1821 השאלה היא האם היה אפשר להשתמש במספר רץ כרגיל אבל עדיין לעשות וולידציה שהמשתמש מבקש חשבונית שבהכרח רשומה על שמו, זה היה מספיק טוב?

]]> מאת: קובי https://internet-israel.com/%d7%a4%d7%99%d7%aa%d7%95%d7%97-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98/%d7%91%d7%a0%d7%99%d7%99%d7%aa-%d7%90%d7%aa%d7%a8%d7%99-%d7%90%d7%99%d7%a0%d7%98%d7%a8%d7%a0%d7%98-%d7%9c%d7%9e%d7%a4%d7%aa%d7%97%d7%99%d7%9d/%d7%a2%d7%95%d7%93-%d7%aa%d7%a7%d7%9c%d7%94-%d7%9e%d7%91%d7%99%d7%9b%d7%94-%d7%91%d7%90%d7%aa%d7%a8-%d7%9e%d7%a8%d7%9b%d7%96%d7%99-%d7%95%d7%aa%d7%a9%d7%aa%d7%99%d7%aa%d7%99-%d7%9b%d7%9a-%d7%a0/comment-page-1/#comment-1820 Thu, 30 Aug 2018 07:56:07 +0000 https://internet-israel.com/?p=8216#comment-1820 קצת מפתיע אותי השימוש בהשוואה לפונקציות בוליאניות בדוגמאות שלעיל:

is_numeric($_GET['id']) === true

Number.isInteger(req.query.id) === false

]]>