Introduction to (Web) Application Security Or: things you will not learn in univerity. (ummmm…) Yoav Goldberg BGU Software Engineering and Programming Languages Seminar

שבוע שעבר דריסת מחסנית – ניצול של באג בתוכנית בשפת C כדי להריץ קוד משלך.

השבוע העולם השתנה : – יותר ויותר שפות High Level – שפות " מפורשנות " – ניהול זכרון אוטומטי – פחות ופחות קוד נכתב ב -C העולם נשאר אותו הדבר : – מתכנתים עושים טעויות. – אסור לסמוך על משתמשים !

השבוע עולם השתנה : – הרבה יותר קל לתכנת. – יש הרבה יותר מתכנתים. – יש הרבה יותר טעיות. – יש הרבה יותר באגים שאפשר לנצל.

השבוע סקירה של טכנולוגיית Web. דוגמאות לבאגים נפוצים וכיצד משתמשים רעים יכולים לנצל אותם.

מבוא קצרצר לטכנולוגיות WEB אני מניח שאתם יודעים מה הם : –TCP/IP – אתר אינטרנט –URL –Domain Name אבל מי שלא יודע שלא יתבייש לשאול ( למרות שהוא כנראה חי בעולם אחר משלנו )

הבסיס : HTTP הלקוח שולח בקשה לשרת. השרת מחזיר תשובה. 5 סוגי בקשות (GET, POST, HEAD, PUT, DEL). נתמקד בבקשת GET.

GET /~yoavg/uni HTTP/1.1 User-Agent: Opera/9.21 (Windows NT 5.1; U; en) Host: Accept: text/html, application/xml;q=0.9, application/xhtml+xml, image/png, image/jpeg, image/gif, image/x-xbitmap, */*;q=0.1 Accept-Language: en-US,en;q=0.9 Accept-Charset: iso , utf-8, utf-16, *;q=0.1 Accept-Encoding: deflate, gzip, x-gzip, identity, *;q=0 Pragma: no-cache Cache-Control: no-cache Connection: Keep-Alive

HTTP/ OK Date: Tue, 28 Aug :07:56 GMT Server: Apache/ (Unix) mod_ssl/ OpenSSL/0.9.7d mod_jk/ Last-Modified: Sun, 29 Jul :17:19 GMT Content-Length: 985 Content-Type: text/html Yoav Goldberg Yoav Goldberg A brilliant <a ….

HTTP/ OK Date: Tue, 28 Aug :07:56 GMT Server: Apache/ (Unix) mod_ssl/ OpenSSL/0.9.7d mod_jk/ Last-Modified: Sun, 29 Jul :17:19 GMT Content-Length: 985 Content-Type: text/html Yoav Goldberg Yoav Goldberg A brilliant <a …. זה כתוב בשפת HTML

HTML שפה לייצוג של מידע. משמשת להגדרת מבנה ותוכן של עמודי אינטרנט. דפדפנים יודעים לפרש אותה ולהציג תוכן גרפי בהתאם.

דפי אינטרנט דינמיים מה שראינו עד כה היה סטטי – השרת ניגש לקובץ בדיסק ומחזיר את תוכנו. זה קצת משעמם. השלב הבא, תוכן דינמי : – השרת מקבל בקשה מהלקוח. – השרת מעביר את הבקשה כקלט לתוכנה. – התוכנה מבצעת חישוב ומחזירה פלט. – השרת מחזיר את הפלט למשתמש. טכנולוגית : CGI, ASP/PHP, …

דוגמה פשוטה

מסדי נתונים בדוגמה שלנו כל התשובות היו מקודדות בגוף התוכנית. כמובן שאפשר גם לקרוא / לכתוב לקבצים. או לתקשר עם מסד נתונים באמצעות שפת SQL.

האפשרויות כמעט בלתי מוגבלות ספר - אורחים. ספר טלפון. מנוע חיפוש. בלוג. Wiki....

אבל משהו עדיין חסר פרוטוקול HTTP הוא פרוטוקול Stateless. – באמצעות המודל שראינו עד עכשיו יהיה קשה לממש תוכנה שיש לה יותר ממצב אחד ( לדוגמה Webmail). הפתרון : Cookies –" עוגיות " הן פרטי מידע שהשרת שומר אצל הלקוח. הלקוח מבחינתו שולח אותן בחזרה לשרת בכל בקשה. – על פי ערך העוגיה, השרת יודע מי פונה אליו ומגיב בהתאם.

C is for cookie עוגיות + שפות - צד - שרת = אפליקציות Web. במרבית האפליקציות, העוגיה מזהה באופן ייחודי את המשתמש. פסאודו - קוד לעמוד בתוכנת Webmail..

אז מה ראינו... HTTP. HTML. דפים דינמיים. שימוש במסדי נתונים. עוגיות.

DHTML+Javascript " אין מספיק מקומות שמריצים קוד, בואו נספק יכולת הרצת קוד גם לדפדפן !" DOM: תקן המייצג את העמוד המוצג בדפדפן כהיררכיה של אובייקטים. דפי HTML יכולים להכיל קוד שפועל על האובייקטים האלו. הדפדפן יודע לפרש את הקוד הזה. שפות : VBScript / Javascript

דוגמה...

DHTML / Javascript משמש בעיקר לממשקים נוחים יותר : – תפריטים –Form Validation – הודעות יפות למשתמש – באנרים קופצים ופרסומות מאאגניבות.

אפליקציית Web משתמש דפדפן שרת WEB מסד נתונים דפדפן משתמש

אפליקציית Web משתמש דפדפן שרת WEB מסד נתונים דפדפן משתמש מריץ קוד

תקיפה ראשונה משתמש דפדפן שרת WEB מסד נתונים דפדפן משתמש XSS

אפליקציות Web מקבלות מהמשתמש מידע, מעבדות אותו, ומציגות אותו חזרה למשתמש. זה יכול להיות מסוכן...

XSS אוקיי, אז גרמתי לדפדפן של עצמי להריץ קוד שהאתר החזיר לי. אז מה ? אפשר לגרום גם לדפדפן של מישהו אחר להריץ את אותו הקוד.

XSS אוקיי, אני יכול להריץ קוד בדפדפן של משתמש אחר. אז ??

XSS אוקיי, אני יכול להריץ קוד בדפדפן של משתמש אחר. אז ?? הקוד אצל המשתמש האחר רץ בקונטקסט של האתר הפגיע. אז אפשר לקרוא את העוגיה שלו באתר זה : alert(document.cookie)

XSS אוקיי, אני יכול להריץ קוד בדפדפן של משתמש אחר. אז ?? הקוד אצל המשתמש האחר רץ בקונטקסט של האתר הפגיע. אז אפשר לקרוא את העוגיה שלו באתר זה : alert(document.cookie) אבל הקוד הזה רק מציג חלון עם העוגיה. איך אני מקבל את הערך שלה ? i.src=“

XSS ההתקפה הכי נפוצה : – קבלת העוגיה של משתמש אחר באתר. יש גם דברים מתחכמים יותר : –xss-proxy

XSS לקח : – אם הפלט מכיל גם קלט ממשתמש, לסנן אותו לפני ההצגה. קל להגיד, קשה לעשות

איזו מהמחרוזות הבאות לא מריצה קוד ? alert("XSS") "> alert("XSS");//

תקיפה שניה משתמש דפדפן שרת WEB מסד נתונים דפדפן משתמש SQL Injection

SQL Injection נניח שלא הצלחנו לבצע XSS כדי לגנוב עוגיה, ואנחנו ממש רוצים להתחבר לאתר שאין לנו ססמה אליו. תזכורת : ככה עובדים הרבה מנגנוני Login ( גרועים ).

SQL Injection היי, טריק נחמד. אפשר לעשות עוד דברים עם ה -SQL Injection הזה ? בטח !

תקיפה שלישית משתמש דפדפן שרת WEB מסד נתונים דפדפן משתמש PHP Remote File Inclusion

PHP File Inclusion אנחנו יודעים לגנוב עוגיות כדי להתחזות למישהו אחר ( וגם לשלוט לגמרי בדפדפן של משתמש ). ואנחנו יודעים להכנס לאתרים למרות שאין לנו ססמה, וגם לקרוא מסדי נתונים שאין לנו גישה אליהם. מה עוד אפשר לבקש ??

הרעיון ב -PHP קיימת הפקודה “include” המאפשרת לכלול תוכן של קובץ : <?php include(“afile.php”); ?> הקובץ יכול להיות גם על מחשב מרוחק :

הרעיון מתכנת לא זהיר יכול לבצע משהו כזה :

דוגמה מתוכנה אמיתית

אז מה עושים ? ברמת המתכנת – נזהרים. ברמת הפלטפורמה ?? פתרונות חלקיים : Perl taint magic_quotes_on don’t open remote files in php..

זהו, נגמר.