Prezentacja Mateusza Olejarki wygłoszona na VII KraQA, 25.11.2014

1. Przykłady błędów bezpieczeństwa
w kilku krokach,
czyli rzecz o atakowaniu procesów
Mateusz Olejarka

2. Kto zacz?
● Starszy specjalista
ds. bezpieczeństwa IT, SecuRing
● (Były) programista
● Testerzy.pl, trener
● OWASP Poland, członek zarządu

3. Agenda
● Bezpieczeństwo procesów
● Przyda się
● Przykłady i techniki
● Pytania

4. Bezpieczeństwo procesów?!
● Czemu testować bezpieczeństwo procesów?

5. Bezpieczeństwo procesów?!
● Błędy na poziomie:
– Logiki procesu
– Implementacji procesu

6. Przyda się
● Web developer
– Pokazuje pola ukryte na formularzu
– Zdejmuje ograniczenie długości pól
– Uaktywnia pola zablokowane (disabled)
– Zamiana pól wyboru na tekstowe

7. Przyda się
● HTTP proxy
Przeglądarka Proxy Serwer

8. Proces - schemat
● Omówienie procesu
● Jak go zaatakować?
● Co było nie tak?
● Techniki testowania

9. Przykłady
● Edycja elementu danych
● Przypomnienie hasła
● Zmiana nr telefonu do autoryzacji SMS
● Zlecenie z autoryzacją X 3

10. Edycja elementu danych
● Proces
– Wybór elementu danych z listy
– Zmiana danych
– Zapisanie zmian (+ ew. autoryzacja)

11. Edycja elementu danych
● Proces
– Wybór elementu danych z listy
– Zmiana danych
– Zapisanie zmian (+ ew. autoryzacja)
● Identyfikator elementu danych w polu
ukrytym jest przesyłany w kroku 1 i 2

12. Przypomnienie hasła
● Proces
– Podanie adresu email
– Podanie kodu otrzymanego na email
– Zmiana hasła

13. Przypomnienie hasła

14. Przypomnienie hasła bob@securing.pl

15. Technika nr 1
Manipulacja parametrami ukrytymi i
zablokowanymi do edycji

16. Zmiana nr telefonu
● Proces
– Podanie treści kodu sms, który przyszedł na stary
telefon
– Podanie nowego numeru telefonu
– Podanie treści kodu sms, który przyszedł na nowy
telefon
– Zapisanie zmiany

17. Technika nr 2
Weryfikacja walidacji wymaganych
parametrów ( format i wartość )

18. Zlecenie z autoryzacją
● Proces
– Uzupełnienie danych zlecenia
– Możliwa autoryzacja od razu, lub zapisanie
operacji do późniejszej autoryzacji

19. Zlecenie z autoryzacją
● Proces
– Uzupełnienie danych zlecenia
– Możliwa autoryzacja od razu, lub zapisanie
operacji do późniejszej autoryzacji
● Podpowiedź: Proszę Państwa, to jest proste
;)

20. Technika nr 3
Pominięcie parametru i jego wartości
podczas wykonania akcji na formularzu

21. Zlecenie z autoryzacją
● Proces
– Uzupełnienie danych zlecenia
– Możliwa autoryzacja od razu, lub zapisanie
operacji do późniejszej autoryzacji

22. Zlecenie z autoryzacją
● Proces
– Uzupełnienie danych zlecenia
– Możliwa autoryzacja od razu, lub zapisanie
operacji do późniejszej autoryzacji
● Podczas wykonania autoryzacji przesyłane
są dane transakcji

23. Technika nr 4
Powtórzenie operacji autoryzacji ze
zmienionymi danymi

24. Zlecenie z autoryzacją
● Proces
– Uzupełnienie danych zlecenia
– Możliwa autoryzacja od razu, lub zapisanie
operacji do późniejszej autoryzacji

25. Zlecenie z autoryzacją
● Proces
– Uzupełnienie danych zlecenia
– Możliwa autoryzacja od razu, lub zapisanie
operacji do późniejszej autoryzacji
● Dostępne akcje na formularzu to:
– signandsend
– save

26. Technika nr 5
Eksperymentuj !

28. Czekamy na Was!
Darmowe konsultacje:
www.securing.pl/konsultacje
Pracuj z nami:
www.securing.pl/pl/kariera.html

29. Kontakt
http://www.securing.pl
e-mail: info@securing.pl
tel. (12) 4252575
fax. (12) 4252593
Mateusz Olejarka
mateusz.olejarka@securing.pl