Websecurity - Веб безпека

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Security through obscurity
• Software security assurance
• Secure by design
• Spam
• Secure coding

Починаючи з 2008 року я опублікував багато статей на тему закриття сайтів через різні причини. Як закриття сайта з ініціативи власника ресурсу, так і закриття сайта правоохоронними органами у зв’язку з порушеннням законодавства.

Закриття веб сайта може бути повним, або тимчасовим (наприклад, тимчасове вилучення серверів правоохоронцями для проведення експертизи), але воно має місце і спричиняє незручності для власника сайта і його користувачів. При закритті пов’язаному з порушенням законодавства також існує можливість притягнення власників ресурсу до відповідальності (по кримінальому кодексу).

Раніше я писав про можливість закриття сайтів через розміщення порнографії, секретних матеріалів, терористичних матеріалів, через розміщення персональних даних та закриття сайтів по політичним мотивам. Закриття можливо як у зв’язку з наявністю на сайті вищенаведених матеріалів, коли власники сайта самі їх розмістили, так і можливе закриття сайтів через їх уразливості. Коли закриття станеться через взлом ресурсу та розміщення на ньому вищезазначених метеріалів.

До вищенаведених причин закриття веб сайтів в зв’язку з порушеннням законодавства додам ще одну - закриття через неліцензійний контент. Прикладом якого є закриття EX.ua, яке мало місце на минулому тижні.

Зазначу, що це не перший випадок закриття сайту через контрафакт. Ще в 2010 році міліця в Луганській області закрила декілька сайтів та порушила кримінальну справу проти власника ресурсів, на яких він розміщував неліцензійний контент. І цей випадок з EX.ua, що трапився через 1,5 роки після закриття тих сайтів (адреси яких міліція не розголосила), це другий публічно відомий випадок.

Причому в МВС заявляють, як повідомляють ЗМІ, стосовно коментарів МВС після закриття EX.ua, що вони регулярно закривають піратські сайти. Але жодної адреси закритого ресурсу міліція так і не назвала. Зазначу, що в Росії правоохоронці також регулярно закривають піратські сайти. Зокрема в 2011 році в Росії вступив в дію новий закон “Про поліцію”, що дозволив поліції блокувати доступ до сайтів без постанови суду.

Цікавим прикладом закриття сайту через неліцензійний контент є закриття upload.com.ua. Власники файлообмінника закрили свій сайт через ситуацію з ex.ua. Тобто вони не стали чекати доки правоохоронці завітають до них у гості й самі закрилися. Виникає лише одне питтання до всіх українських файлообмінників - на кожному з яких є нелегальний контент, де більше, де менше - чому вони чекали 1,5 року після того інциденту на Луганщині, щоб лише зараз братися за голову. Закриття ex.ua нарешті привернуло увагу власників сайтів до питання дотримання авторських прав.

Всі ці приклади закриття сайтів наочно демонструють всім власникам сайтів, що через наявність неліцензійного контенту можуть закрити їхній ресурс. В тому числі контрафакт може з’явитися на сайті через його взлом, тому всім адміністраторам сайтів потрібно слідкувати за безпекою власних ресурсів.

В презентації Malware Defense-in-Depth 2.0, Aaed Alqarta розповідає про захист від шкідливого коду. Він описує концепіцію багаторівневого захисту від malware, причому її другу версію, призначену протидіяти шкідливому програмному забезпеченню, що розповсюджується у Веб 2.0.

Продовжуючи розпочату традицію, після попереднього відео про BEAST проти HTTPS, пропоную нове відео на веб секюріті тематику. Цього разу відео про експлоіт для Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

Hacking [ Windows Vista ] By Private Exploit In Browser Google Chrome

В даному відео ролику демонструється процес використання експлоіта для браузера Google Chrome. Причому це приватний експлоіт. Дана уразливість в Chrome призводить до пошкодження пам’яті в браузері й виконання довільного коду.

Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

В статті Бэкдор в БД: протроянивания MySQL с помощью хранимых функций, процедур и триггеров розповідається про створення бекдору в СУБД MySQL. Для цього використовуються збережені функції, процедури і трігери.

В своїй статті Розміщення шелів (бекдорів) на сайтах я вже розповідав про можливість розміщення бекдорів безпосередньо в БД. Причому не у вигляді трігерів, а в звичайному записі в таблиці (що можна використати в будь-якій СУБД, як в тих, що підтримують, так і тих, що не підтримують трігери). В цій статті розповідається про інший метод включення бекдора в БД.

В даній статті розглянуті наступні аспекти протроянення MySQL:

• Збережені процедури і тригери.
• Необхідність логування.
• Троянимо WordPress.
• Трігер для vBulletin.
• Кришимо “Булку”.
• Доступ є. Що далі.
• Старі трюки з UDF.

При наявності доступа до СУБД на сервері, зокрема тих, що підтримують збережені функції, процедури і трігери, нападник, окрім інших напрямків атаки, може протроянити СУБД. І зробити бекдор, що буде знаходитися в СУБД, і відповідно його буде набагато важче виявити.

Продовжуючи розпочату традицію, після попереднього відео про знаходження панелі адміністратора, пропоную нове відео на веб секюріті тематику. Цього разу відео про BEAST проти HTTPS. Рекомендую подивитися всім хто цікавиться цією темою.

BEAST vs HTTPS

В даному відео ролику розповідається про використання BEAST-атаки. BEAST (Browser Exploit Against SSL/TLS) - це інструментарій для атаки на SSL/TLS, що дозволяє організувати перехоплення переданого в рамках зашифрованого з’єднання Cookie з параметрами аутентифікації користувацької сесії.

У відео показане використання BEAST для отримання кукіса від аккаунта PayPal. Даний інструментарій дешифрує переданий в рамках https-з’єдння сесійний кукіс. Рекомендую подивитися дане відео для розуміння векторів атак через уразливість в SSL/TLS.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Hacking
• Penetration test
• Physical security
• Ring (computer security)
• Security engineering

В цьому місяці в журналі “PenTest Extra” була опублікована моя стаття. В січневому номері журналу PenTest Extra 01/2012, що вийшов 15.01.2012, опублікована стаття “Business Logic vulnerabilities via CSRF” (на англійській мові).

В ній розповідається про Business Logic уразливості, атака на які проводиться через CSRF. Дані уразливості дозволяють викрадати гроші з рахунків користувачів на сайтах банків, електронних платіжних систем та інших е-комерс сайтів. Такі уразливості я неодноразово знаходив та писав про них в новинах.

Це нова редакція статті Business Logic уразливості через CSRF (перероблена та доповнена), що я опублікував в грудні 2010 року. В даній статті наводиться багато нового матеріалу порівняно з першою редакцією, зокрема новодяться сценарії атак на Business Logic уразливості та експлоти для них. Описуються однокрокові та багатокрокові атаки, зазначається необхідність таймінгу при багатокрокових атаках та наводяться приклади реальних уразливостей на е-комерс сайтах з відповідними експлоітами.

А також в даній статті я вперше анонсував свій новий інструмент Генератор CSRF, що призначений для створення CSRF експлотів. На якому були зроблені всі приклади експлоітів для статті.

В себе на сайті я виклав тізер журналу, в якому наводиться повний текст моєї статті. Так що можете почитати її .

Як я вже неодноразово розповідав, окрім виконання коду на сервері при завантаженні скриптів з відповідними розширеннями (як то php-скрипта у вигляді файла з розширенням php), існують альтеранативні методи. Відомі три методи виконання коду, коли розширення файла відмінне від того, яке повинно виконуватися на сервері відповідно до його налаштувань. Які дозволяють обходити захисні механізми веб додатків і проводити Code Execution атаки.

Обхідні методи виконання коду:

1. Через “1.asp;.txt” в імені файла. Працює в IIS.

Дана атака була названа semicolon attack. Ця уразливість була знайдена в 2009 році.

2. Через “1.asp” в імені папці. Працює в IIS.

Дана можливість виконання коду в Microsoft IIS була знайдена в 2011 році.

3. Через подвійне розширення (1.php.txt). Працює в Apache (з спеціальною конфігурацією). Цей метод відомий вже багато років, але все ще є дуже багато веб додатків вразливих до нього.

Про два перших методи (для IIS) я вже розповідав у вищезгаданих записах, а зараз я розповім детально про третій метод (для Apache). Ще в травні 2010 я запланував написати цю статтю і ось нарешті знайшов час.

Code Execution в Apache:

Атака відбувається при завантаженні через аплоадер файла, наприклад, з PHP кодом (або іншого скрипта), з подвійним розширенням. Це може знадобитися, коли завантаження php-файлів заборонене.

http://site/1.php.txt

Цей метод я виявив ще 04.11.2007 в себе на http://websecurity.com.ua коли зробив екслоіт для reCaptcha. Спочатку я зробив файл reCaptcha.pl.txt, але файл виконувався на сервері (як Perl скрипт, хоча і мав останнє розширення txt), тому я його перейменував на reCaptcha.txt і з тих пір в себе на сайті розміщую експлоіти як txt-файли (без подвійних розширень).

Спочатку я вирішив, що це некоректе налаштування на моєму сервері. Але потім я почав знаходити випадки такої misconfiguration на інших сайтах. З тих пір я ще неодноразово зустрічав подібні випадки на багатьох сайтах, тобто це поширене явище. Яке використовується для атаки на веб сайти.

Дана атака можлива через специфічні налаштування Apache. Вона пов’язана з модулем mod_mime. Тому атака можлива тільки на серверах Apache з модулем mod_mime.

В презентації General Principles of Web Security, Justin Emond розповідає про загальні принципи веб безпеки. Про SQL iн’єкції, міжсайтовий скриптінг та загальні погляди на безпеку при розробці веб додатків.