Websecurity - Веб безпека

В презентації Building Secure Web Services Using Windows Communication Foundation, Petar Vucetin розповідає про WCF. Про те, як використовувати Windows Communication Foundation для створення безпечних веб сервісів.

Окрім зовнішніх веб антивірусів - систем (розміщених на зовнішніх сайтах), що перевіряють сайти на наявність вірусів (malware) - також існують і внутрішні веб антивіруси. Це антивірусні системи, що вбудовані безпосередньо у веб додатки. Цим вони відрізняються від Web VDS та інших антивірусних систем.

В останні роки вже декілька веб розробників представили такі системи в своїх програмних продуктах. Розглянемо ці системи.

Вбудовані веб антивіруси є в веб додатках IPB та Bitrix. Як я розповідав раніше, в Invision Power Board цей механізм з’явився ще в версії IPB 2.1.7 (в 2006 році). А в Bitrix Site Manager цей механізм з’явився в версії Bitrix 9.0 (в 2010 році).

В форумі IPB механізм антивіруса, який потрібно включити в адмінці для запуску перевірки, являє собою перевірку цілісності файлів. Тобто він лише перевіряє цілісність всіх файлів движка, в цьому він аналогічний таким плагінам для WP, як WordPress Exploit Scanner та Belavir. По суті він не є антивірусом, незважаючи на офіційну назву, бо він не виявляє код шкідливого ПЗ, але тим не менше він може використовуватися для захисту від бекдорів та вірусів на форумі.

Стосовно веб-антивіруса в “1С-Битрикс”, то це перша система керування сайтом (CMS), що має вбудований антивірус (якщо до WordPress є плагіни, то в даній системі він постачається в базовій комплектації). В Bitrix цей захисний механізм працює автономно в автоматичному режимі, на відміну від IPB, де антивірус необхідно було адміну запускати вручну для сканування сайту.

І він краще захищає від атак спрямованих на поширення malware, ніж даний функціонал в IPB. Тому що він безпосередньо перевіряє html-код, що генерується движком, для виявлення коду шкідливого ПЗ. Окрім веб антивірусу, в Bitrix також є перевірка цілісності файлів (аналогічна функціоналу IPB), а також перевірка цілісності скрипта контролю (який проводить перевірку цілісності системи).

Тому захисний функціонал Bitrix Site Manager, який в тому числі включає веб антивірус, більш потужний ніж аналогічний функціонал Invision Power Board. Але обидва розробники постійно покращують свої системи та й інші веб розробники, як це видно по плагінам для WordPress, також випускають свої рішення в цій сфері.

Продовжуючи розпочату традицію, після попереднього відео про ClickJacking веб камери, пропоную нове відео на веб секюріті тематику. Цього разу відео про обхід httpOnly в Firefox і Java. Рекомендую подивитися всім хто цікавиться цією темою.

Bypass httpOnly in Firefox 8.0.1 and Java plugin 7ux

Існує такий захист кукісів як httpOnly. В ролику демонструється обхід httpOnly в Firefox. Для атаки використовується функція Packages браузера Firefox (підтримується починаючи з Firefox 3.6) та Java плагін (вразлива версія Java 7u1).

Атака відбувається під час виконання JS коду в браузері (тобто під час проведення XSS атаки на користувача). Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

В статті Використання сайтів для атак на інші сайти два роки тому я розповів про можливість атак на інші сайти через Abuse of Functionality і Remote File Include уразливості, та навів приклади Abuse of Functionality дірок на різних сайтах (в тому числі сайтах Google, Yahoo і W3C). Окрім даних класів дірок, XXE уразливості також можуть використовуватися для атак на інші сайти.

В класифікації уразливостей WASC TC v2.0 є такий клас як XML External Entities (XXE) (WASC-43). Який ще називають XXE Injection.

Дані уразливості можуть використовуватися для читання вмісту локальних файлів - Local File Disclosure (тобто Directory Traversal). Але також дану уразливість можна використати для з’єднання з зовнішніми серверами. Тобто можна робити запити до інших веб сайтів і через дані уразливості можна проводити CSRF і DoS атаки на інші сайти.

Атака відбувається через тег ENTITY. Якщо вказати локальний файл - “file:///etc/passwd”, то відбудеться включення і витік змісту локального файлу. А якщо вказати зовнішній ресурс - “http://site/page”, то відбудеться запит до сторінки зовнішнього сайта. Що можна використати для атак на зовнішні сайти, аналогічно атакам описаним у вищезгаданій статті.

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ELEMENT methodName ANY>
  <!ENTITY xxe SYSTEM "http://site/page" >]>
<methodCall>
  <methodName>&xxe;</methodName>
</methodCall>

XXE Injection уразливості були виявлені в багатьох продуктах. Таких як Squiz CMS, Zend Framework, CakePHP та численні продукти Adobe (BlazeDS, Adobe LiveCycle Data Services ES2, Adobe ColdFusion, Adobe LiveCycle ES2). І враховуючи популярність Zend Framework, вони будуть знайдені ще в багатьох продуктах (як це було виявлено в CakePHP).

Для автоматизації атак на інші сайти можна використати такий інструмент як DAVOSET - DDoS attacks via other sites execution tool. Abuse of Functionality дірки передбачали відправлення як GET, так і POST запитів. DAVOSET був розроблений для GET запитів.

XXE Injection атака передбачає відправлення спеціального XML-запиту методом POST. Тому інструмент для проведення атак на інші сайти через XXE уразливості повинен підтримувати POST метод. Наприклад, його підтримка може бути додана в DAVOSET.

Продовжуючи розпочату традицію, після попереднього відео про обхід Cross Origin в Google Chrome, пропоную нове відео на веб секюріті тематику. Цього разу відео про ClickJacking веб камери. Рекомендую подивитися всім хто цікавиться цією темою.

Webcam ClickJacking

В ролику демонструється ClickJacking атака на веб камеру. З використанням відомої техніки ClickJacking на сайті Макромедії (що тепер належить Адобу) відбувається атака на налаштування флеш-плеєра. Показана атака для зміни налаштувань веб камери, що дозволить віддалено включити веб камеру на комп’ютері користувача та слідкувати за ним. Аналогічно можно провести зміну інших налаштувань флеш-плагіна, зокрема мікрофона - для підслуховування користувача.

Атака відбувається при відвідуванні в браузері спеціально створеного веб сайта, що містить код експлоіту - в даному випадку у вигляді онлайн-гри. Рекомендую подивитися дане відео для розуміння векторів атак на Flash.

У січні я дав інтерв’ю журналу “Власть денег”. І в п’ятому номері журналу, що вийшов 01.02.2012, вийшла стаття, в якій також розповідається і про мене.

Стаття називається “Кібервибори”. В ній розповідається про українських хакерів (як blackhat, так і whitehat хакерів), про кримінальні хакерські послуги в Україні та їх використання партіями, в тому числі в контексті майбутніх парламентських виборів.

Так що кому буде цікаво прочитати інформацію про мене, як тим хто вже читав про мене в журналі Фокус на інших журналах , так і всім іншим, можете дістати собі цей номер “Власть денег”, або прочитати статтю в Інтернеті.

Стаття була розміщена 3 лютого на сайті ДеПо - Кибервыборы.

В зв’язку з тим, що в березні 2014 року з сайта www.depo.ua всі статті були прибрані, то ось вам дана стаття на іншому сайті - Кибервойна! Кибервойна!...

Ситуація з паролями на веб сайтах я досліджую багато років, зокрема в рамках комерційних робіт (аудитів та пентестів) та під час соціального секюріті аудиту, коли мені на очі потрапляють логіни і паролі користувачів. І серед них чимало трапляється слабких паролів.

Про те, що використання простих паролів є дуже поширеним, я вже писав. Але сучасний стан з паролями на сайтах відзначається не тільки цим явищем, а іще однією особливістю. Користувачі нерідко використовують пароль ідентичний логіну: він може бути простий, або складний, але логін і пароль співпадають. З такими випадками я стикався дуже часто - майже під час кожного комерційного аудиту чи пентесту (де вдалося отримати доступ до паролів) обов’язково знаходився акаунт, де логін і пароль однакові (в тому числі були такі випадки під час мого останнього аудиту).

Від загальної кількості акаунтів таких облікових записів може бути небагато, але тим не менш вони є. Наприклад, в БД користувачів solor.da-kyiv.gov.ua, таких акаунтів було 4 (де логін співпадав з паролем). Це 7,14% від загальної кількості акаунтів, а якщо прибрати акаунти дублікати, то вийде 7,84% від загальної кількості.

І такі акаунти можуть бути легко скомпрометовані. Й навіть якщо це не адмінській акаунт, то з нього можна буде дістатися до адмінського акаунта використовуючи внутрішні уразливості (тобто це полегшує атаку на сайт). Але неодноразово доводилося знаходити і сайти, де адмінські акаунти мали однакові логін і пароль.

Я давно звертаю увагу на уразливості, що дозволяють дізнаватися логіни - Information Leakage та Abuse of Functionality (Login Enumeration). В статті Виявлення логінів через Abuse of Functionality уразливості я писав на цю тему. За останні 5 років я приводив багато таких уразливостей в WordPress, Drupal та багатьох інших CMS і форумних движках, а також на багатьох сайтах. Найбільше такі дірки поширені серед форумних движків і всі розробники таких движків ігнорують їх, лише розробник IPB в 2009 році, після мого повідомлення, виправив всі такі уразливості в новій версії движка IPB 3.0.

І саме по цій причині, що паролі можуть співпадати з логінами, в останні роки я використовую цей приклад як аргумент, щоб веб розробники виправляли дані уразливості в своїх системах. Але вони це роблять дуже рідко, переважно забиваючи на такі уразливості. Тому уразливості, що призводять до витоків логінів, можуть призвести до серйозних наслідків.

Продовжуючи розпочату традицію, після попереднього відео про хакінг баз даних і тонких клієнтів, пропоную нове відео на веб секюріті тематику. Цього разу відео про обхід Cross Origin в Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

Google Chrome Cross Origin Bypass

В ролику демонструється Cross Origin Bypass уразливість в браузері Google Chrome. Що дозволяє виконати JavaScript код на одному сайті в контексті іншого сайта. В даному ролику JS код виконується на сайті розробника експлоіта в контексті www.google.com, з виведенням вмісту кукіса для сайта Гугла.

Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про Топ 10 хакерів, пропоную нове відео на веб секюріті тематику. Цього разу відео про хакінг баз даних і тонких клієнтів. Рекомендую подивитися всім хто цікавиться цією темою.

Database Hacking: Insider Database Privilege Abuse

В даному відео ролику демонструється приклад хакінга баз даних - через атаку на тонкого клієнта (на Java). Коли декомпілюється Java аплет і обходяться обмеження, що були зроблені в додатку, і таким чином отримується доступ до більших даних.

Аналогічні підходи можуть бути використанні й для додатків на інших клієнтських технологіях, на яких можуть бути зроблені тонкі клієнти. Окрім Java, це можуть бути Flash, Silverlight, тощо. Рекомендую подивитися дане відео для розуміння векторів атак на бази даних і тонких клієнтів.

В презентації Network Security Essentials Applications And Standards 3rd Edition, розповідається про книгу William Stallings. В третій редакції Network Security Essentials розглянуті такі теми як e-mail security, IP security, Web security та network management security.