Online QADay 2021 СВЯТ ЛОГИН «OWASP TOP 10 2021» telegram: wwww.t.me/goqameetup fb: www.fb.com/goqaevent fb: www.fb.com/qaday.org linkedin: https://www.linkedin.com/company/goqa/ Сайт: www.qaday.org

1. OWASP TOP 10 2021
Свят Логин Head of gangsta QA

2. - Head of gangsta QA в
- Больше 5 лет тестирую на наличие Web уязвимостей
- Больше 9 лет в тестировании
- Провожу обучение QA Security testing
- Веду блог по Security testing https://svyat.tech
- Веду канал в телеге https://t.me/qa_security
Свят Логин

4. - Про OWASP
- 1) Injection
- 2) Broken authentication
- 3) XSS
- 4) Sensitive data exposure
- 5) Insecure deserialization + XXE
- 6) Broken access control
- 7) Insufficient logging & monitoring
- 8) SSRF
- 9) known vulnerabilities
- 10) Security misconfiguration
Агенда

5. Вступление

6. Уязвимости:
Краткое
знакомство

7. Уязвимости:
Краткое
знакомство

8. SQL injection
A1:Injection Пример сценариев атаки
A1:Injection

9. Слайд инструкция №1
Search movie
select title movie
A1:Injection
Select title, release, character, genge, IMDb
From movie
Where
title = ‘$title’
search
Title Release Character Genre IMDb

10. A1:Injection

11. NOSql injection
Authorization
Pass
{$ne:’’}
A1:Injection
Select *
From users
Where
user_name = ‘’
AND password = ‘’
{$ne:’’}
Login

12. A1:Injection SQL injection
Authorization
User
Pass
admin
‘; DROP TABLE users --

13. SQL injection
A2:Broken Authentication
A2:Broken
Authentication

14. Brute force
A2:Broken
Authentication
email or username Password
Authorization
User
Pass

15. A2:Broken
Authentication

16. A2:Broken
Authentication

17. A3:Cross-Site Scripting (XSS)
A3:
XSS
40%

18. Хранимые XSS
SEO менеджер Пользователь
<img src="http://inexist.ent"
onerror="javascript:alert(1)"/>
bank.ua
A3:
XSS

19. Причина возникновения XSS
<?php
if(isset($_POST['btnSign']))
{
$message = trim($_POST['mtxMessage']);
$name = trim($_POST['txtName']);
// Sanitize message input
$message = stripslashes($message);
$message = mysql_real_escape_string($message);
// Sanitize name input
$name = mysql_real_escape_string($name);
$query = "INSERT INTO guestbook (comment,name) VALUES
('$message','$name');";
$result = mysql_query($query) or die('<pre>' . mysql_error() . '</pre>' );
}
?>
A3:
XSS
<svg/onload=prompt()>

20. Причина возникновения XSS
A3:
XSS

21. A3:
XSS

22. A4:
XXE A5:XML External Entities (XXE)
User
Server
<!Entity xxe System “file:///etc/passwd ”>
/etc/passwd
XML XXE
Parser
/etc/passwd
File system

23. Обыкновенный запрос на сервер
A4:
XXE

24. Запрос с использованием уязвимости
A4:
XXE

25. Запрос с использованием уязвимости
A4:
XXE

26. SQL injection
A5:Sensitive Data Exposure
A5:Sensitive
Data
Exposure

27. Где плохо
A5:Sensitive
Data
Exposure

28. A5:Sensitive
Data
Exposure

29. SQL injection
A6:Broken Access Control
A6:Broken
Access
Control
42%

30. SQL i
Векторы атаки
A6:Broken
Access
Control
Web App
Admin
User
Supervisor
Manager
User Admin
Just User
User Supervisor
User Manager
web_app.com/ admin/
web_app.com/user_info ?user=1

31. A6:Broken
Access
Control

32. A7:Insufficient Monitoring
A7:Insufficient
Monitoring

33. Векторы атаки
A7:Insufficient
Monitoring
Web App
Event
Log
Login
Failed
10к
Warnings

34. A7:Insufficient
Monitoring

35. A7:Insufficient
Monitoring

36. A7:Insufficient
Monitoring

37. A8: SSRF
A8:
SSRF

38. SSRF 101
A8:
SSRF
Тех задание:
- написать чат
- экранировать ссылки
- хранить данные на бэке

39. Любой ли запрос SSRF?
A8:
SSRF

40. A9:Using Components with Known Vulnerabilities
A9:Using
Vulnerabilities

41. Структура вашего приложения
S
A9:Using
Vulnerabilities
WEB APP (Сайт)
Сервис
корзины 1.1
SQL 1.1
Framework 1.1
Сервис
корзины 2.1
SQL 2.1
Framework 2.1
SQL 1.1
Back end 1.1
Frontend 1.1
Back end 2.1
Frontend 2.1
SQL 2.1

42. Плагинчик с сканером уязвимостей
https://github.com/vulnersCom/nmap-vulners
A9:Using
Vulnerabilities

44. SQL injection
A6:Security Misconfiguration
A10:Security
Misconfiguration

45. A10:Security
Misconfiguration Вектор атаки: Порты
UDP Серваки
Целевой Сервак
250 ГБ/с
23 мил.
пак/сек
Memcached

46. A6:Security
Misconfiguration Вектор атаки: Порты
--listen 127.0.0.1 (прослушивание только локального порта) или -U 0(полное отключение UDP)

47. Как узнать все ли нормально настроили
A6:Security
Misconfiguration

48. Запуск
A10:Security
Misconfiguration

49. Высматриваем
A10:Security
Misconfiguration

50. Спасибо за внимание!
svyat.tech
@qa_security