Websecurity - Веб безпека

Можливість відправки серверних заголовків, що наявна в Flash, є важливою в контексті веб безпеки. Тому що для браузерів існують флеш плагіни, якими користуються майже 100% користивувачів Інтернет (різними версіями флеш плагіна). І дану можливість можна використати для атак на сайти і веб додатки, зокрема для проведення spoofing та XSS атак.

Для відправки довільних серверних заголовків потрібно використовувати відповідні методи, зокрема метод addRequestHeader класів LoadVars та XML, що з’явилися в AS1 у Flash 6. А починаючи з AS3 для цього потрібно використовувати властивість URLRequest.requestHeaders.

При цьому зазначу, що в мене відправка заголовків працює лише в IE6 та IE7 (і так само вона має працювати в IE8 та IE9), але не в інших браузерах. Що раніше у Flash плеері 8 і 9, що зараз у Flash плеері 10.

Компанія Adobe вже багато років як намагається обмежити даний функціонал - з метою безпеки - щоб його не можна було використати для атаки (але так чи інакше його все рівно з року в рік використовують для цих цілей). Для обмеження Adobe використала два підходи: чорний список (blacklist) заголовків, які не можна використовувати (і він збільшується з роками), та запровадження правила для міждоменної політики. В даному випадку необхідно в міждоменній політиці задавати дозвіл іншим сайтам на відправку заголовків даному сайту (це стосується лише міждоменних запитів і в рамках одного домена обмежень немає).

Більш детально про те, які заголовки були заборонені в яких версіях флеш плеєра, ви можете дізнатися на сторінці ActionScript error when an HTTP send action contains certain headers (Flash Player).

На даний час для версій Flash Player 10.0.22.87 і вище заборонена відправка наступних заголовків: Accept-Charset, Accept-Encoding, Age, Allow, Allowed, CONNECT, Connection, Content-Length, Content-Location, Content-Range, Cookie, DELETE, Date, ETag, Expect, GET, HEAD, Host, Keep-Alive, Last-Modified, Location, Max-Forwards, OPTIONS, ORIGIN, POST, PUT, Proxy-Authenticate, Proxy-Authorization, Proxy-Connection, Public, Range, Referer, Request-Range, Retry-After, Server, TE, TRACE, Trailer, Transfer-Encoding, URI, Upgrade, User-Agent, Vary, Via, WWW-Authenticate, Warning, x-flash-version.

Але при цьому всі інші серверні заголовки дозволені. Що дозволяє відправляти довільні заголовки (окрім вищезгаданих), серед яких можуть бути й такі, які використовується на різних веб сайтах. І це може бути використано для проведення spoofing та XSS атак на дані сайті.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Cryptography
• Data remanence
• Data breach / data leak / data spill
• Defensive programming
• Security bug

В статті Устоять любой ценой: методы борьбы с DoS/DDoS-атаками розповідається про DoS і DDoS атаки. Та про методи протидії даним атакам, зокрема на системах Linux та Unix.

В даній статті розглянуті наступні аспекти боротьби з DoS/DDoS атаками:

• Анатомія DoS-атак.
• Методи боротьби.
• Боротьба з flood-атаками.
• Універсальні поради.
• Конкретні дії при DDoS-атаці.
• Боротьба з DDoS у FreeBSD.
• Накрупніші ботнети.
• Та інша цікава інформація на дану тему.

Як я регулярно згадую в своїх щорічних підсумках хакерської активності в Уанеті, DDoS атаки щороку трапляються в Уанеті. Тому адмінам сайтів і веб серверів слід бути обізнаними в цьому питанні.

Продовжуючи розпочату традицію, після попереднього відео про експлоіт для Internet Explorer 8, пропоную нове відео на веб секюріті тематику. Цього разу відео про eксплоіт для Firefox 3.5. Рекомендую подивитися всім хто цікавиться цією темою.

Firefox 3.5 exploit

В даному відео ролику демонструється використання експлоіта для уразливості в Firefox 3.5, останній версії Firefox на момент запису відео. Експлоіт дозволяє проводити віддалене виконання коду в даному браузері.

Атака відбувається при відвідуванні веб сторінки зі шкідливим кодом (що експлуатує дану уразливість). Рекомендую подивитися дане відео для розуміння векторів атак на Mozilla Firefox.

Ще з 2006 року мені відомо про один метод проведення XSS атак в Firefox, що дозволяє обходити деякі захисні фільтри. Це метод з використанням незакритого тега, про який я згадував стосовно різних сайтів і веб додатків, зокрема AltConstructor. Він працює лише в браузерах компанії Мозіла - в Mozilla, Firefox та інших браузерах на движку Gecko.

І от 18.03.2011, під час секюріті аудиту, я виявив інший просунутий метод проведення XSS атак, що є розширення вищезгаданого методу. Цей метод передбачає використання подвійного незакритого тега. Раніше мені здавалося, що спрацює лише один незакритий тег, але в березні я виявив, що і два і більше незакритих тегів спрацюють для проведення XSS атаки (а в деяких випадках необхідно використати як раз декілька тегів, зокрема коли треба вийти з одного тегу, щоб мати можливість виконати код).

XSS:

Атака виглядає наступним чином:

http://site/?p=%3C/title%20%3Cbody%20onload='alert(document.cookie)'

Даний метод (як і метод з одним незакритим тегом) працює в Mozilla 1.7.x, Firefox 3.0.19, 3.5.11, 3.6.8 (та попередніх версіях браузерів). Але не в Firefox 4.0b2, IE6, IE7, IE8, Chrome 1.0, Opera 10.62.

P.S.

Як я перевірив, в Firefox 3.5.19 та 3.6.28 дана атака також працює.

В своїй презентації Securing Your Web Browser, Will Dormann і Jason Rafail розповідають про безпеку веб браузерів. Про функціонал браузерів та ризики з ним пов’язані, та як потрібно налаштовувати браузери для їх убезпечення від даних ризиків.

Продовжуючи розпочату традицію, після попереднього відео про захист від небезпечних сайтів, пропоную нове відео на веб секюріті тематику. Цього разу відео про eксплоіт для Internet Explorer 8. Рекомендую подивитися всім хто цікавиться цією темою.

Pwn2Own 2010 Windows 7 IE8 exploit

В даному відео ролику демонструється використання експлоіта для уразливості в IE8, що був показаний на Pwn2Own 2010. Експлоіт дозволяє проводити віддалене виконання коду в даному браузері (при цьому процес експлуатації показаний достатньо детально).

Атака відбувається при відвідуванні веб сторінки зі шкідливим кодом (що експлуатує дану уразливість). В результаті атаки на користувача IE8, зокрема у відео браузер запущений на Windows 7, нападник виконав довільний код (в даному випадку запустив calc.exe). Рекомендую подивитися дане відео для розуміння векторів атак на Internet Explorer.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Social engineering
• Eavesdropping
• Adware
• Antivirus software
• Computer forensics

Продовжу тему витоку інформації про версію системи. Як я зазначав, виведення версії системи - це поширена функція у веб додатках та веб системах. Багато різних движків виводять інформацію про версію системи і дана можливість движків є уразливістю.

Це витік інформації (Information Leakage) про версію системи, що може бути використаний для атаки на сайти, що використовують даний движок. В класифікації WASC визначений окремий клас уразливостей для таких витоків інформації - Fingerprinting (WASC-45).

Наведу нові приклади подібних уразливостей в різних веб додатках, що приводять до витоку інформації про версію системи.

phpMyAdmin

В phpMyAdmin версію можна дізнатися в файлах /readme.php, /README, /changelog.php, /ChangeLog, /Documentation.html, /translators.html, /Documentation.txt, /scripts/setup.php та /RELEASE-DATE-2.11.11 (Version 2.11.11). В останньому випадку потрібно забрутфорсити ім’я файла і таким чином визначити версію веб додатка.

Silverstripe CMS

В Silverstripe версію системи можна дізнатися в файлі http://site/cms/silverstripe_version (2.4.2).

DataLife Engine

В DLE є декілька витоків інформації:

• Версію системи можна дізнатися в файлах /install.php, /update.php та /UpdateReadMe.txt.
• По рокам копірайтів можна визначити приблизну версію системи (”2004-2011″ значить, що це версія не менше 9.2).

Продовжуючи розпочату традицію, після попереднього відео про використання редиректорів для атаки, пропоную нове відео на веб секюріті тематику. Цього разу відео про захист від небезпечних сайтів. Рекомендую подивитися всім хто цікавиться цією темою.

Web of Trust - Helping to Protect Your Computer From Unsafe Sites

В даному відео розповідається про небезпечні сайти, що розповсюджують шкідливе програмне забезпечення (malware). Яке може заразити ваш комп’ютер. І для захисту власного комп’ютера варто використовувати сервіси, що попереджують про шкідливі сайти (торік я багато розповідав про такі сервіси, які я називаю веб антивірусами).

В відео зокрема показаний один з таких сервісів - Web of Trust, про який я вже розповідав. Рекомендую подивитися дане відео для розуміння векторів атак через інфіковані та шкідливі сайти.