Уязвимости и атаки на Web-приложения, общепринятые классификации уязвимостей. Ошибки, допускаемые разработчиками при создании клиентской и серверной частей Web-приложения, их возможные последствия и методы выявления и устранения. Примеры из практики. Обзор специализированных средств защиты Web-приложений: Web Application Firewall (WAF). Стоит ли полагаться на WAF? Методология выявления уязвимостей в Web-приложениях, в частности, с использованием различных средств автоматического анализа.

1. Анализ защищенности w eb-приложений, выявление уязвимостей в реальных условиях Дмитрий Евтеев , Александр Анисимов Positive Technologies

4. Опасный мир web- приложений : статистика за 2008 г.

6. Опасный мир web- приложений : статистика за 2008 г.

20. Уязвимости web -приложений Статистика уязвимостей web- приложений Positive Technologies за 2008 год ( Whitebox Sites %) - http://www.ptsecurity.ru/analytics.asp

21. Уязвимости web -приложений Статистика уязвимостей web- приложений Positive Technologies за 2008 год ( Whitebox Sites %) - http://www.ptsecurity.ru/analytics.asp

24. Уязвимость типа «Внедрение операторов SQL » web- сервер СУБД http://web/? id=6329&print=Y … . SELECT * from news where id = 6329 … .

25. Уязвимость типа «Внедрение операторов SQL » web- сервер СУБД http://web/? id=6329&print=Y … . SELECT * from news where id = 6329 … .

26. Уязвимость типа «Внедрение операторов SQL » web- сервер СУБД http://web/? id=6329&print=Y … . SELECT * from news where id = 6329 … .

27. Уязвимость типа «Внедрение операторов SQL » web- сервер СУБД http://web/? id=6329+union+select+id,pwd,0+from... … . SELECT * from news where id = 6329 union select id,pwd,0 from… … .

28. Уязвимость типа «Внедрение операторов SQL » web- сервер СУБД http://web/? id=6329+union+select+id,pwd,0+from... … . SELECT * from news where id = 6329 union select id,pwd,0 from… … .

29. Уязвимость типа «Внедрение операторов SQL » web- сервер СУБД http://web/? id=6329+union+select+id,pwd,0+from... … . SELECT * from news where id = 6329 union select id,pwd,0 from… … .

33. Уязвимости web -приложений Статистика уязвимостей web- приложений Positive Technologies за 2008 год ( Whitebox Sites %) - http://www.ptsecurity.ru/analytics.asp

35. Уязвимость типа «Межсайтовое выполнение сценариев» web- сервер http://web/?search=secureweb … print &quot;<b>secureweb</b>&quot;; …

36. Уязвимость типа «Межсайтовое выполнение сценариев» web- сервер http://web/?search=secureweb … print &quot;<b>secureweb</b>&quot;; …

37. Уязвимость типа «Межсайтовое выполнение сценариев» web- сервер 1. fuzzing, поиск уязвимости

38. Уязвимость типа «Межсайтовое выполнение сценариев» web- сервер 1. fuzzing, поиск уязвимости 2. Передача «заряженной» ссылки : http://web/?search=secureweb&quot;><script>...</script> 3. Переход по ссылке

39. Уязвимость типа «Межсайтовое выполнение сценариев» web- сервер 1. fuzzing, поиск уязвимости 2. Передача «заряженной» ссылки : http://web/?search=secureweb&quot;><script>...</script> 3. Переход по ссылке 4. Выполнение исполняемого кода в браузере пользователя

40. Уязвимость типа «Межсайтовое выполнение сценариев» web- сервер 1. fuzzing, поиск уязвимости 2. Передача «заряженной» ссылки : http://web/?search=secureweb&quot;><script>...</script> 3. Переход по ссылке 4. Выполнение исполняемого кода в браузере пользователя 5. Например, передача w eb-сессии (cookies) 6. Работа с w eb-приложением от имени атакованного пользователя

43. Уязвимости web -приложений Статистика уязвимостей web- приложений Positive Technologies за 2008 год ( Whitebox Sites %) - http://www.ptsecurity.ru/analytics.asp

45. Уязвимость типа «Подбор» web- сервер http://web/secure/

46. Уязвимость типа «Подбор» web- сервер http://web/secure/

47. Уязвимости web -приложений Статистика уязвимостей web- приложений Positive Technologies за 2008 год ( Whitebox Sites %) - http://www.ptsecurity.ru/analytics.asp

49. Уязвимость типа «Обратный путь в директориях» web- сервер http://web/?file=positive.jpg … . $handle = fopen(&quot;positive.jpg&quot;,&quot;r&quot;); $contents = fread($handle, filesize(&quot;positive.jpg&quot;)); ….

50. Уязвимость типа «Обратный путь в директориях» web- сервер http://web/?file=../../../../../../etc/passwd … . $handle = fopen(&quot;../../../../../../etc/passwd&quot;,&quot;r&quot;); $contents = fread($handle, filesize(&quot;../../../../../../etc/passwd&quot;)); ….

52. Уязвимость типа « Подделка HTTP- запросов » Интернет - форум 1. Публикация сообщения : <img src=http://ibanking/action?account=12345&amount=500&for=54321 > Интернет-банк ( ibanking )

53. Уязвимость типа « Подделка HTTP- запросов » Интернет - форум 1. Публикация сообщения : <img src=http://ibanking/action?account=12345&amount=500&for=54321 > Интернет-банк ( ibanking ) 2. Пользователь посещает форум

54. Уязвимость типа « Подделка HTTP- запросов » Интернет - форум 1. Публикация сообщения : <img src=http://ibanking/action?account=12345&amount=500&for=54321 > Интернет-банк ( ibanking ) 2. Пользователь посещает форум 3. Браузер загружает картинку по адресу : http://ibanking/action?...

55. Уязвимость типа « Подделка HTTP- запросов » Интернет - форум 1. Публикация сообщения : <img src=http://ibanking/action?account=12345&amount=500&for=54321 > Интернет-банк ( ibanking ) 2. Пользователь посещает форум 3. Браузер загружает картинку по адресу : http://ibanking/action?... 4 . Если сессия пользователя существует, то…

62. Уязвимость типа «Динамическая п одделка HTTP- запросов » 1. Отправка ссылки пользователю : http://bonus/bonus.htm Интернет-банк ( ibanking ) Узел, управляемый атакующим ( bonus )

63. Уязвимость типа «Динамическая п одделка HTTP- запросов » 1. Отправка ссылки пользователю : http://bonus/bonus.htm Интернет-банк ( ibanking ) Узел, управляемый атакующим ( bonus ) 2. Пользователь авторизуется в Интернет-банке (используется защита от CSRF на основе токена)

64. Уязвимость типа «Динамическая п одделка HTTP- запросов » 1. Отправка ссылки пользователю : http://bonus/bonus.htm Интернет-банк ( ibanking ) Узел, управляемый атакующим ( bonus ) 2. Пользователь авторизуется в Интернет-банке (используется защита от CSRF на основе токена) 3. Переходит по ссылке http://bonus/bonus.htm

65. Уязвимость типа «Динамическая п одделка HTTP- запросов » 1. Отправка ссылки пользователю : http://bonus/bonus.htm Интернет-банк ( ibanking ) Узел, управляемый атакующим ( bonus ) 2. Пользователь авторизуется в Интернет-банке (используется защита от CSRF на основе токена) 3. Переходит по ссылке http://bonus/bonus.htm 4. На основе полученного Referer подгружается картинка : http://ibanking/action?account=12345&amount=500&for=54321& token=765234 5 . Атака завершена

70. Уязвимость типа « Anti DNS Pinning » Контролируемый web- сервер www.hack.example (1.1.1.1) MS Project Server 192.168.0.1 Прочие 1. Пользователь обращается к внешнему web- серверу Контролируемый DNS- сервер hack.example Контролируемый web- сервер any.name Cisco SDM 192.168.0.2

71. Уязвимость типа « Anti DNS Pinning » MS Project Server 192.168.0.1 Прочие 2 . Полученный сценарий java-script , например, через 2 секунды делает повторное обращение Контролируемый DNS- сервер hack.example Контролируемый web- сервер any.name 3. Атакующий блокирует доступ к web- серверу Cisco SDM 192.168.0.2 Контролируемый web- сервер www.hack.example (1.1.1.1)

72. Уязвимость типа « Anti DNS Pinning » MS Project Server 192.168.0.1 Прочие 4. Происходит повторное разрешение имени www.hack.example Контролируемый DNS- сервер hack.example Контролируемый web- сервер any.name 5. www.hack.example IN A 192.168.0.1 Cisco SDM 192.168.0.2 Контролируемый web- сервер www.hack.example (1.1.1.1)

73. Уязвимость типа « Anti DNS Pinning » MS Project Server 192.168.0.1 Прочие 6 . Браузер посылает запрос на 192.168.0.1 : GET / HTTP/1.1 Host: www.hack.example … Контролируемый DNS- сервер hack.example Контролируемый web- сервер any.name 5. www.hack.example IN A 192.168.0.1 Cisco SDM 192.168.0.2 Контролируемый web- сервер www.hack.example (1.1.1.1)

74. Уязвимость типа « Anti DNS Pinning » Cisco SDM 192.168.0.2 MS Project Server 192.168.0.1 Прочие Контролируемый DNS- сервер hack.example Контролируемый web- сервер any.name 7. Образуется полноценный канал для работы с внутренним ресурсом Контролируемый web- сервер www.hack.example (1.1.1.1)

87. Что такое WAF http:// server /?id=6329&print=Y Нас атакуют! Ахтунг!!! WAF Webserver http:// server /?id=5351 http:// server /?id=8234 http:// server /? id=“><script>... http:// server /?id=1+union+select... http:// server /? id=/../../../etc/passwd Нормализация данных Decode HTML entities (e.g. &#99;, &quot;, &#xAA;) Escaped characters (e.g. , 01, AA, AABB) Null byte string termination ... Поиск сигнатуры /(sel)(ect.+fr)(om)/is /(uni)(on.+sel)(ect)/is ...

94. Практика обхода WAF: HTTP Parameter Pollution (HPP)

96. Практика обхода WAF: HTTP Parameter Pollution (HPP) Технология / Среда Интерпретация параметров Пример ASP.NET/IIS Склеивание через запятую par1=val1,val2 ASP/IIS Склеивание через запятую par1=val1,val2 PHP/APACHE Последний параметр результирующий par1=val2 PHP/Zeus Последний параметр результирующий par1=val2 JSP, Servlet/Apache Tomcat Первый параметр результирующий par1=val1 JSP,Servlet/Oracle Application Server 10g Первый параметр результирующий par1=val1 JSP,Servlet/Jetty Первый параметр результирующий par1=val1 IBM Lotus Domino Первый параметр результирующий par1=val1 IBM HTTP Server Последний параметр результирующий par1=val2 mod_perl,libapeq2/Apache Первый параметр результирующий par1=val1 Perl CGI/Apache Первый параметр результирующий par1=val1 mod_perl,lib???/Apache Первый параметр результирующий par1=val1 mod_wsgi (Python)/Apache Возвращается массив ARRAY(0x8b9058c) Pythin/Zope Первый параметр результирующий par1=val1 IceWarp Возвращается массив ['val1','val2'] AXIS 2400 Последний параметр результирующий par1=val2 Linksys Wireless-G PTZ Internet Camera Склеивание через запятую par1=val1,val2 Ricoh Aficio 1022 Printer Последний параметр результирующий par1=val2 webcamXP Pro Первый параметр результирующий par1=val1 DBMan Склеивание через две тильды par1=val1~~val2

110. Уязвимости в «живой природе»

113. К чему приводит беззаботное отношение к безопасности web- приложений ?

118. Спасибо за внимание! [email_address] [email_address] http://www.ptsecurity.ru/