Lo contratan para corregir un pequeño error en un sitio que requiere mucha seguridad. Mirando el código, está lleno de agujeros de seguridad. ¿Qué haces? [cerrado]

Alguien me ha contratado para hacer un pequeño trabajo en un sitio. Es un sitio para una gran empresa. Contiene datos muy confidenciales, por lo que la seguridad es muy importante. Al analizar el código, me di cuenta de que está lleno de agujeros de seguridad: lectura, muchos archivos PHP que arrojan la entrada de entrada / entrada del usuario directamente en las solicitudes de mysql y los comandos del sistema.

El problema es que la persona que creó el sitio para él es un programador con familiares y niños que dependen de ese trabajo. No puedo decir simplemente: "su sitio es un parque de atracciones para niños con guión. Permítanme rehacerlo y estarán bien".

¿Qué haría usted en esta situación?

Actualizar:

Seguí algunos buenos consejos aquí e informé educadamente al desarrollador que había encontrado algunos posibles defectos de seguridad en el sitio. Señalé la línea y dije que podría haber una posible vulnerabilidad para los ataques de inyección SQL allí, y le pregunté si lo sabía. Él respondió: "claro, pero creo que para explotarlo el atacante debería tener información sobre la estructura de la base de datos; tengo que entenderlo mejor" .

Actualización 2:

Dije que no siempre es así y le sugerí que siga el enlace de la pregunta de desbordamiento de pila para tratarlo correctamente: ¿Cómo evitar la inyección de SQL en PHP? Dijo que lo estudiaría y me agradeció por decírselo antes. Supongo que mi parte está hecha, gracias chicos.

Primero y ante todo aquí, la prioridad es cerrar los agujeros de seguridad.

Si está trabajando directamente con el ingeniero que escribió esto, documente todo y déselo a ese ingeniero.

Si no, dígale a su empleador que los problemas de seguridad son mayores de lo que inicialmente se pensó y que el sitio necesita mucho trabajo. Solicite trabajar con el desarrollador principal que se encuentra en el sitio y ofrezca enseñarle sobre la seguridad de PHP (no prometa convertir a la persona en un experto, pero sí ofrezca capacitarlo en todo lo que sabe) para que esa persona pueda hacerse cargo. después de que hayas terminado.

No hagas de esto un problema de "este tipo es malo, despídelo". Abórdelo desde la perspectiva de "Oye, encontré algunos errores potenciales que necesitan corrección estadística, que parecen provenir de cierta ignorancia / conceptos erróneos comunes sobre la seguridad del sitio. También me gustaría hablar con su desarrollo para que podamos mejorar su sitio y espero evitar más de estos problemas en el futuro ".

Hay una diferencia entre ignorancia e incompetencia. Hubo un momento en que tampoco sabías qué era la inyección SQL, y no hay razón para creer que el programador original no sea capaz de solucionar los problemas una vez que se haya dado cuenta de ellos.

Entonces diles. Sea específico y objetivo, y esté disponible para responder preguntas, proporcionar ejemplos de exploits y recomendaciones para soluciones. Si todavía no lo entienden después de ese punto, lo máximo que puede hacer realmente es no poner su propia información personal en el sitio.

Tu trabajo no es rehacer el sitio por él. Es para arreglar el pequeño error. Sin embargo, si ha notado problemas de seguridad que deberían solucionarse, puede consultarlo con el propietario del sitio y ofrecer información sobre cuál podría ser el problema.

No reprenda ni hable negativamente sobre el desarrollador original ni comente lo horrible que es el código. Se respetuoso y profesional. Puede ofrecer trabajar con el desarrollador para resolver los problemas. No intente arreglarlo usted mismo ni ofrecer una solución a menos que haya sido contratado para abordar el problema. Si siguen tu consejo y te equivocas, podrían volver sobre ti.

En primer lugar, arregla la cosa por la que te contrataron. Si no hace eso, entonces será percibido como el tipo de consultor que está interesado en hacer más trabajo para sí mismo, en lugar de hacer el trabajo.

Junto con las correcciones, debe proporcionarles una lista de las cosas que ha notado que están mal desde una perspectiva de seguridad, y por qué estas cosas están mal.

A nadie le servirá de nada informar los problemas. Si tuvo una tarea específica para la que fue contratado, complete pero documente otros problemas de seguridad tal como los ve y repórtelos a la persona adecuada, probablemente a la persona a la que está informando para la tarea para la que fue contratado.

Esta es una situación en la que las habilidades blandas fuertes serán útiles, ya que manejar esto con tacto requerirá no menospreciar el trabajo realizado por otros en el sitio y no hacer que el desarrollador sienta que está cuestionando su talento.

Obviamente, evite palabras como "basura, mala, pobre, acribillada" al referirse al código / fallas y palabras similares para el desarrollador que escribió el sitio.

Además de las otras respuestas, lo que puede querer hacer es señalar al desarrollador algunos recursos sobre la facilidad con la que se pueden explotar los problemas de inyección SQL, por ejemplo sqlmap, que es una herramienta de explotación de inyección SQL automatizada.

Lo que he encontrado efectivo para demostrar la gravedad de este tipo de problema en el pasado es mostrar lo que se puede hacer con él, así que si ejecutas algo así contra un desarrollador. copia del sitio para mostrarlo extrayendo datos, etc., podría convencerlos de la seriedad.

Primero y único; La gerencia no quiere escuchar sobre problemas. Me despidieron de la Oficina de Administración de Personal (permisos de seguridad para la casa blanca) porque señalé cuán inseguro era su sistema. Eso fue hace un tiempo, pero las actitudes de gestión no han cambiado.

Aborde el problema con el desarrollador, por correo electrónico para que tenga un rastro, luego camine o huya. Cuando eventualmente tengan un problema, como contratista, intentarán culparlo, independientemente de tener alguna participación, incluso remotamente relacionada con el problema.

Tener un problema tan fundamental como una inyección SQL, indica que eran baratos cuando desarrollaron inicialmente el sistema, y ​​lo más probable es que ahora sean más baratos. Obtenga lo que pueda de ellos mientras todavía están en el negocio, pero busque el desarrollo comercial en otro lugar.