Websecurity - Веб безпека

Розповім вам про атаки на панелі керування мережевих пристроїв. Торік я вже торкався цієї теми в статті CSRF атаки на мережеві пристрої (CSRF Attacks on Network Devices).

Атаки на мережеві пристрої з адмінками можуть відбуватися наступним чином:

1. Локально.
2. Віддалено через Інтернет за допомогою CSRF.
3. Віддалено-локально (через Wi-Fi).

При локальній атаці, доступ до адмінки відбувається користувачем або вірусом через комп’ютер в LAN. Наприклад, з комп’ютера в локальній мережі можна підібрати пароль в адмінку, зайти в неї та змінити конфігурацію мережевого пристрою.

При віддаленій атаці, доступ до адмінки відбувається через користувача в LAN. Дана атака відбувається через Інтернет, коли через користувача, що відвідав сайт підконтрольний нападнику, посилаються запити в адмінку в LAN.

Наприклад, нападник може зробити віддалений CSRF запит для відкриття доступу до адмінки і увійти до неї через Інтернет, щоб змінити конфігурацію пристрою, або він може зробити всі дії віддалено через CSRF запити. Дана тема детально описана у вищезгаданій статті.

При віддалено-локальній атаці, доступ до адмінки відбувається через Wi-Fi. Коли ззовні через Wi-Fi отримується доступ до локальної мережі й атакуються мережеві пристрої, в тому числі точки доступу Wi-Fi.

Таким чином цей варіант атаки має переваги двох попередніх: при віддаленому доступі до мережі, атака на адмінку проводиться як при локальному доступі до пристрою.

Продовжуючи розпочату традицію, після попереднього відео про експлоіт для Internet Explorer 6-10, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2011-3659 Firefox 8/9 AttributeChildRemoved() Use-After-Free Metasploit Demo

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Mozilla Firefox 8 і 9. В Metasploit створюється і запускається експлоіт, який призводить до віддаленого виконання коду в Firefox при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про витік httpOnly кукі в Apache, пропоную нове відео на веб секюріті тематику. Цього разу відео про експлоіт для Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2013-2551 MS13-037 Internet Explorer Vulnerability Metasploit Demo

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Internet Explorer 6, 7, 8, 9 і 10. В Metasploit створюється і запускається експлоіт для IE, який призводить до віддаленого виконання коду в Internet Explorer при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про витік httpOnly кукі в Apache. Рекомендую подивитися всім хто цікавиться цією темою.

Exploit: Apache httpOnly Cookie Disclosure (CVE: 2012-0053)

В даному відео ролику демонструється експлоіт для уразливості в веб сервері Apache. Яка дозволяє нападнику отримати httpOnly кукі користувача сайта, що базується на Apache. При тому, що веб сервер не повинен допускати витоку даної інформації.

Атака відбувається при відправленні спеціальних запитів на веб сайт, який міститься на веб сервері з Apache. Рекомендую подивитися дане відео для розуміння векторів атак на веб сервери.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Software quality assurance
• Software quality management
• Algorithmic complexity attack
• Attack patterns
• Camfecting

В презентації Web Security Horror Stories, Simon Willison розповідає про різноманітні уразливості у веб додатках та їх ризики. Та наводить приклади успішних атак на популярні сайти з використанням цих уразливостей. Зокрема він розповів про XSS, CSRF, SQL Injection та Clickjacking, а також торкнувся атак пов’язаних з Flash, PDF і JSON.

В статті Використання XML External Entities (XXE) для атак на інші сайти я вже розповідав про XXE уразливості, що можуть використовуватися для атак на інші сайти. І зараз я продовжу тему використання XXE уразливостей для DoS і DDoS атак.

В класифікації уразливостей WASC TC v2.0 є такий клас як XML External Entities (XXE) (WASC-43). Який ще називають XXE Injection.

Окрім використання даних уразливостей для читання вмісту локальних файлів, їх можна використати для з’єднання з зовнішніми серверами. Тобто можна робити запити до інших веб сайтів і через дані уразливості можна проводити CSRF і DoS атаки на інші сайти.

Атака відбувається через тег ENTITY. Якщо в ньому вказати зовнішній ресурс - “http://site/page”, то відбудеться запит до сторінки зовнішнього сайта. Що можна використати для атак на зовнішні сайти, як я писав в попередній статті.

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ELEMENT methodName ANY>
  <!ENTITY xxe SYSTEM "http://site/page" >]>
<methodCall>
  <methodName>&xxe;</methodName>
</methodCall>

XXE Injection уразливості були виявлені в багатьох продуктах. Окрім раніше згаданих продуктів, наведу нові програми з XXE уразливостями:

• libraptor - уразливість в бібліотеці, що використовується багатьма програмами, зокрема офісними пакетами. Аналогічно її можуть використовувати й веб додатки (зокрема Ruby підтримує бібліотеку libraptor), які будуть вразливі для даних атак.
• Advanced XML Reader - плагін для WordPress.
• PHP 5.3 і 5.4 - дана уразливість була виправлена PHP 5.3.23 та PHP 5.4.13. В попередніх версіях PHP, веб додатки, що працюють з SOAP WSDL-файлами, можуть використовуватися для даних атак.
• WordPress 3.5 і 3.5.1 - окрім плагінів для WP, XXE уразливість також є в самому движку.
• Sybase EAServer - вразливі 6.3.1 та попередні весії.
• Spring Framework - вразливі додатки, що використовують даний framework.

Для автоматизації атак на інші сайти можна використати такий інструмент як DDoS attacks via other sites execution tool (DAVOSET). Abuse of Functionality дірки передбачали відправлення як GET, так і POST запитів. DAVOSET був розроблений для GET запитів.

XXE Injection атака передбачає відправлення спеціального XML-запиту методом POST. Тому інструмент для проведення атак на інші сайти через XXE уразливості повинен підтримувати POST метод. І його підтримку я планую додати в DAVOSET.

Продовжуючи розпочату традицію, після попереднього відео про хакінг MMORPG для забави та прибитку, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2013-1347 Microsoft Internet Explorer 8 Vulnerability Metasploit Demo

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Internet Explorer 8. В Metasploit створюється і запускається експлоіт для IE, який призводить до віддаленого виконання коду в Internet Explorer 8 при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Про оригінальні методи проведення Cross-Site Scripting атак я писав неодноразово, зокрема в статті обхід фільтрів для проведення XSS атак. І зараз я розповім про нові мої розробки в галузі обходу XSS фільтрів.

Ще 08.09.2008, коли я досліджував уразливості у браузерах, я звернув увагу на можливість використання фреймів, яка на той момент не була широко відомою. Можливе використання тегів frameset та iframe для проведення XSS атак, причому в інший спосіб, ніж описано в найбільш відомому переліку технік XSS атак - XSS Cheat Sheet (що раніше розміщувався на сайті RSnake, а зараз він встановив редиректор на XSS Filter Evasion Cheat Sheet від OWASP, яка заснована на його матеріалах).

В той день я перевірив лише в декількох браузерах. А в травні я повернувся до цього старого дослідження і перевірив дану методику в багатьох браузерах (з числа наявних у мене). Як вияснилося придумана мною методика не тільки працює в усіх моїх браузерах, але й обходить деякі обмеження (в декількох браузерах), що стосуються раніше відомих технік атаки.

Якщо раніше при використанні тегів frameset та iframe XSS код розміщувався у властивості src і потрібно було вказувати URI (javascript, vbscript чи data), щоб виконати код. І захисні фільтри (веб додатка чи WAF) могли це виявити - по перевірці на src чи на наявність відповідних URI. То я придумав метод, що дозволяє виконати код іншим чином (і JS/VBS код можна вказати без URI), і це дозволяє обійти подібні захисні фільтри. Мій метод передбачає використання обробника onload для тегів frameset та iframe (тобто атака відбувається подібно до тега body).

Раніше відомі методи (згадані в XSS Cheat Sheet):

<frameset><frame src="javascript:alert(document.cookie)"></frameset>
<iframe src="javascript:alert(document.cookie)">

Працює в усіх моїх браузерах. Але в Mozilla 1.7.x, Chrome та Opera код виконується без доступу до кукісів (причому в Mozilla код виконується в домені null, а в Opera в about:blank).

Придумані мною методи (не згадані в XSS Cheat Sheet ні в 2008, ні в 2013 роках):

<frameset onload="alert(document.cookie)">
<iframe onload="alert(document.cookie)">

Працює в усіх моїх браузерах. Зокрема в Mozilla 1.7.x, Mozilla Firefox 3.0.19, 10.0.7 ESR, 15.0.1, Internet Explorer 6, 7, 8, Chrome 1.0.154.48, Opera 10.62. І з доступом до кукісів в усіх браузерах.

Продовжуючи розпочату традицію, після попереднього відео про фазінг онлайнових ігор, пропоную нове відео на веб секюріті тематику. Цього разу відео про хакінг MMORPG для забави та прибутку. Рекомендую подивитися всім хто цікавиться цією темою.

DEFCON 19: Hacking MMORPGs for Fun and Mostly Profit

Два роки тому на конференції DEFCON 19 відбувся виступ Josh Phillips та Mike Donnelly. В своєму виступі вони розповіли про взлом Massively multiplayer online role-playing game (MMORPG). Коли знаходяться уразливості на серверній чи клієнтській частини MMORPG, які використовуються для різних атак, зокрема фінансового характеру (як то для збільшення внутрішньо ігрової валюти, яку нерідко можна конвертувати в реальні гроші). Дане відео продовжує тему взлому онлайнових ігор.

Вони розповіли про реверсивну інженерію клієнтів та протоколів MMORPG на прикладі популярних ігор. Рекомендую подивитися дане відео для розуміння сучасних атак на Інтернет ігри.