Attacchi di server web

Agosto 2015

Vulnerabilità dei servizi web


I primi attacchi di rete sfruttavano le vulnerabilità legate all'implementazione dei protocolli TCP/IP. Con la correzione progressiva di queste vulnerabilità, gli attacchi si sono spostati verso i livelli applicativi e in particolare il web, dove la maggior parte delle società aprono i loro sistemi firewall per il traffico destinato al web.

Il protocollo HTTP (o HTTPS) è lo standard che permette di veicolare le pagine web attraverso un meccanismo di richieste e risposte. Usato essenzialmente per trasportare delle pagine web di informazioni (pagine web statiche), il web è rapidamente diventato un supporto interattivo che permette di fornire dei servizi online. Il termine di «applicazione web» designa quindi tutte le applicazioni la cui interfaccia è accessibile attraverso il web tramite un semplice browser. Diventato il supporto di un discreto numero di tecnologie (SOAP, Javascript, XML RPC, ecc.), il protocollo HTTP possiede ormai un ruolo strategico comprovato nella sicurezza dei sistemi di informazione.

Da quando i server web sono sempre più sicuri, gli attacchi si sono progressivamente spostati verso lo sfruttamento delle falle delle applicazioni web.

Per questo motivo, la sicurezza dei servizi web deve essere un elemento da considerare al momento della loro concezione e la programmazione.

Tipi di vulnerabilità


Vulnerabilità delle applicazioni web


Le vulnerabilità delle applicazioni web possono essere classificate nel modo seguente :

  • Vulnerabilità del server web. Questo tipo di caso è sempre più raro dato che i principali sviluppatori di server web hanno rinforzato il loro livello di sicurezza ;
  • Manipolazione degli URL, modificando manualmente i parametri degli URL per modificare i comportamenti attesi dal server web ;
  • Sfruttamento delle debolezze dei login di sessione e dei meccanismi di autenticazione ;
  • Iniezione di codice HTML e Cross-Site Scripting ;
  • Iniezione SQL.

La verifica necessaria dei dati d'entrata


Il protocollo HTTP è per natura previsto per gestire delle richieste, cioè ricevere dei dati in entrata e inviare dei dati in ritorno. I dati possono essere inviati in modi diversi :

  • Attraverso l'URL della pagina web
  • Nelle intestazioni HTTP
  • Nei testi della richiesta (richiesta POST)
  • Attraverso un cookie


Il principio di base da considerare in maniera generale al momento di qualsiasi programmazione informatica è che non bisogna fare affidamento ai dati inviati dal cliente.

Infatti, quasi la totalità delle vulnerabilità dei servizi web è legata alle negligenze dei programmatori, che non verificano il formato dei dati inseriti dagli utilizzatori.

Impatto degli attacchi web


Gli attacchi verso le applicazioni web sono sempre nocivi dato che danno un cattiva riputazione alla società. Le conseguenze di un attacco riuscito possono essere una delle seguenti :

  • Cancellazione del sito web ;
  • Furto di informazioni ;
  • Modifica di dati, soprattutto modifica di dati personali degli utenti ;
  • Intrusioni sul server web.
Per poter consultare questo documento offline, ne potete scaricare gratuitamente una versione in formato PDF:
Attacchi-di-server-web .pdf

Vedi anche


Web server attacks
Web server attacks
Ataques al servidor Web
Ataques al servidor Web
Angriffe auf Web-Server
Angriffe auf Web-Server
Attaques de serveurs web
Attaques de serveurs web
Ataque de servidores web
Ataque de servidores web
Il documento intitolato « Attacchi di server web » da CCM (it.ccm.net) è reso disponibile sotto i termini della licenza Creative Commons. È possibile copiare, modificare delle copie di questa pagina, nelle condizioni previste dalla licenza, finché questa nota appaia chiaramente.