Частые уязвимости в вебе — как с ними жить?
 

Вот такой момент: сталкиваюсь постоянно с одними и теми же дырами — SQL-инъекции, XSS, неправильные настройки CORS и вообще слабая валидация. Пытаюсь всегда сначала понять, где реально проблема — например, с помощью парочки автоматических сканеров плюс ручной просмотр кода, если есть доступ. Потом сравниваю варианты исправлений. Иногда проще настроить готовый WAF, но он не всегда ловит всё и может сломать функционал. А иногда лучше сразу затачивать код и использовать ORM, чтобы SQL-инъекции не светились вообще.

Главный минус «железного» WAF — это ложные срабатывания, которые заставляют или лезть в логи, или блокировать пользователей по ошибке. Зато экономит время, когда не успеваешь разбирать баги. Но если хочешь стабильность и полный контроль — лучше не полагаться на чудо-средства, а чистить код, тестировать на тестовом окружении, фиксить все предупреждения, плюс держать на глазах обновления библиотек.

В итоге, для малого сайта достаточно базовых проверок и хардена на уровне сервера с минимальным набором правил, для крупного — только комплекс из регулярных аудитов, автотестов и WAF в связке. Кто как обычно выбирает? Помогают ли у вас готовые сканеры или только ручной разбор?

Согласна с тем, что нельзя надеяться только на WAF — он спасает, но не решает проблему полностью. Самое важное — делать нормальную проверку данных и не пускать мусор в базу через пользовательский ввод. И да, ORM иногда помогает избежать SQL-инъекций, но без базовой валидации толку мало. Автоматические сканеры удобны для быстрого поиска, но всегда пропускают что-то. Лучше их использовать вместе с ручной проверкой.

Раньше всё было попроще — главное было не дать залить SQL запрос с диким мусором, и всё работало. Сейчас же столько всего надо проверять, WAFы, ORM, сканеры — без этого реально сложно. Но кажется, что больше зависит от того, как код пишешь, а не от того, какие там штуки навешиваешь сверху.

WAF и ORM — это как два разных щита. WAF быстро фильтрует грубые атаки, но ложных срабатываний хватает, из-за чего иногда заблокируют невиновных. ORM помогает с безопасностью внутри кода, снижая риск SQL-инъекций, но без правильной валидации пользователей толку мало. В итоге, лучше комбинировать: код чистить руками, а сверху ставить инструменты, чтобы проще было контролировать ситуацию.