Roman Kümmel                          Kde nechal tesař díru…Penetrační testování webových aplikací Seznam.cz
all                                                               105          2                         27   Ovládnutí se...
all                                                             105       2                         27Ovládnutí serveru   ...
all                                                            105       2                         27Ovládnutí serveru    ...
all                                                            105       2                         27Ovládnutí serveru    ...
all                                                           105       2                         27Ovládnutí serveru     ...
Podíl zachycených zranitelností v konkrétních službách                         Novinky       Tip   TV                     ...
Vznik nových služeb na Seznam.czNově vznikající služby jsou mnohem lépe zabezpečeny než                   tomu bylo v minu...
Děkuji za pozornost
Protispamová ochrana     opiš do pole: kontrola@seznam.cz                       zpět
<HTML>                            Proveď nějakou akci … <img src=“Proveď stránku            Načti akci“>         + COOKIES...
Upcoming SlideShare
Loading in …5
×

Roman kummel

1,378 views

Published on

0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
1,378
On SlideShare
0
From Embeds
0
Number of Embeds
828
Actions
Shares
0
Downloads
5
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Roman kummel

  1. 1. Roman Kümmel Kde nechal tesař díru…Penetrační testování webových aplikací Seznam.cz
  2. 2. all 105 2 27 Ovládnutí serveru Nedostatečná autorizace účtu Útoky proti cizímu Získání(nutné uživatelské přihlášení Útoky protidatabází obsahu cizímu účtu (nutné uživatelské přihlášení str a návštěva útočné Proč jsou penetrační testy důležité? Pomáhají předcházet útokům, které by mohly mít negativní dopad na uživatele Provádí se před nasazením aplikace do ostrého provozu a následně i na ostré verziTestování zamezilo zveřejnění bezmála 200 potencionálně zranitelných míst různé závažnosti
  3. 3. all 105 2 27Ovládnutí serveru Nedostatečná autorizace účtu Útoky proti cizímu Získání obsahu cizímu účtu Útoky proti databází přihlášení (nutné uživatelské (nutné uživatelské přihlášení str a návštěva útočné Typy útoků: Nezabezpečený upload Local (Remote) File Inclusion Špatná konfigurace sdílených serverů Příklady nálezů: Neošetřený upload obrázků na rozhraní outsourcované služby Špatná konfigurace webhostingových serverů SWEB.cz
  4. 4. all 105 2 27Ovládnutí serveru Nedostatečná autorizace účtu Útoky proti cizímu Získání obsahu cizímu účtu Útoky proti databází přihlášení (nutné uživatelské (nutné uživatelské přihlášení str a návštěva útočné Typy útoků: SQL injection Forced browsing postupnou změnou ID v GET/POST proměnné Nedostatečná autorizace Ukázka útoku: Mazání videíí a uživatelských komentářů na službě stream.cz http://www.stream.cz/?m=video&a=delete_form&video_id=679055&page=0
  5. 5. all 105 2 27Ovládnutí serveru Nedostatečná autorizace účtu Útoky proti cizímu Získání obsahu cizímu účtu Útoky proti databází přihlášení (nutné uživatelské (nutné uživatelské přihlášení str a návštěva útočné Typy útoků: Cross-Site Request Forgery (CSRF) Cross-Site Scripting (XSS)
  6. 6. all 105 2 27Ovládnutí serveru Nedostatečná autorizace účtu Útoky proti cizímu Získání obsahu cizímu účtu Útoky proti databází přihlášení (nutné uživatelské (nutné uživatelské přihlášení str a návštěva útočné Clickjacking Typ zranitelnosti, který byl poprvé publikován v roce 2008 Původně náchylné všechny služby na Seznam.cz Příklad: Vložení e-mailové adresy pro přesměrování příchozích zpráv (demo)
  7. 7. Podíl zachycených zranitelností v konkrétních službách Novinky Tip TV 2% 2% 2% Zboží 2% Spolužáci 3% Sfinance 3% Sklik 5% Sport Mobilní služby 5% 45% Firmy 6% Lidé 7% Stream Email 7% 11%
  8. 8. Vznik nových služeb na Seznam.czNově vznikající služby jsou mnohem lépe zabezpečeny než tomu bylo v minulostiProvádí se penetrační testy na beta-verzích před uvedením služby do ostrého provozu I ty se můžeš zapojit!
  9. 9. Děkuji za pozornost
  10. 10. Protispamová ochrana opiš do pole: kontrola@seznam.cz zpět
  11. 11. <HTML> Proveď nějakou akci … <img src=“Proveď stránku Načti akci“> + COOKIES … útočníka</HTML> zpět

×