Ataq Apl Web

Atacando (e protegendo) aplicações web

Rafael Soares Ferreira
Clavis Segurança da Informação
rafael@clavis.com.br

Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.

Principais Ameaças

• Injeções
OWASP Top 10 2010 - A1

• Cross Site Scripting (XSS)


Principais Ameaças

Injeções

• Dados não esperados

• Strings interpretadas como comandos

• SQL, Shell, LDAP, etc...

• SQL é o caso mais comum


Principais Ameaças

Injeções - Exemplos

Client-Side:
<form method="post" action="http://SITE/login.php">
<input name="nome" type="text" id="nome">
<input name="senha" type="password" id="senha">
</form>

Server-Side:
SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '$senha'
;


Principais Ameaças


Client-Side: O Exploit!
' OR 'a'='a

Server-Side:
SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '' OR 'a'='a'
;


Principais Ameaças


Código PHP:
$query = "SELECT * FROM usuarios WHERE username =
'" . $_REQUEST[‘usr'] . “’ AND passwd=‘“ . $_REQUEST[‘pwd’] . “’”;

Exploração:
login.php?usr=’+OR+‘1’=‘1’--&pwd=a

query <- SELECT * FROM usuarios WHERE username =
‘’+OR+‘1’=‘1’--’ AND passwd=‘a’


Principais Ameaças


Código Java:
String query = "SELECT * FROM usuarios WHERE
username = '" + req.getParameter("usr") + "' and
passwd = '" + req.getParameter("pwd") +"'";

Exploração:
login.jsp?usr=admin’--&pwd=a

query <- SELECT * FROM usuarios WHERE username =
‘admin’--’ AND passwd=‘a’

Principais Ameaças


www.seginfo.com.br
Tradução da Tirinha “Exploits of a mom” do xkcd


Principais Ameaças


• Injeção de Comandos

• Exemplo:
DNS lookup em domínios passados pelo
usuário


Principais Ameaças


Código:
$dominio = param(‘dominio');
$nslookup = "/usr/bin/nslookup";

Exploit:
clavis.com.br%20%3B%20/bin/ls%20-l


Principais Ameaças


Resultado:
/usr/bin/nslookup clavis.com.br ; /bin/ls -l

Além do resultado do nslookup, o
atacante receberá a lista dos arquivos
que estão no diretório da aplicação


Principais Ameaças

Injeções - Recomendações

● Tratamento de entradas

● Validação por whitelist

● Minimize os privilégios

●OWASP:
SQL_Injection_Prevention_Cheat_Sheet

Principais Ameaças

Cross-Site Scripting (XSS)

• Enviados ao browser do usuário

• Posts, URLs, javascript, etc...

• Todo Browser é “vulnerável”:
javascript:alert(document.cookie)

• Redirecionamento e/ou roubo de dados

Principais Ameaças



Principais Ameaças


Tipos:

• Persistente

• Não Persistente


Principais Ameaças


• Persistente

Dados enviados sem tratamento para
usuários


Principais Ameaças


• Não Persistente

Dados enviados de volta sem tratamento
e executado no browser da vítima.


Principais Ameaças


• Código vulnerável
<?php
echo “Hello ” . $_GET[‘name’] . ”.n”;
?>

• Requisição
index.php?name=<script>alert(1)</script>


Principais Ameaças

● Validação de entrada

● Validação de saída

● Validação de elementos do DOM

●OWASP
XSS Prevention Cheat Sheet


Outras Ameaças

● Quebra de Autenticação / Sessão
• Referência direta à objetos
• Cross-Site Request Forgery (CSRF)
• Falhas de Configuração


Outras Ameaças

● Armazenamento Inseguro
• Falha na Restrição de Acesso à URLs
• Canal Inseguro
• Redirecionamentos Não-Validados


Referências

● OWASP Top 10
https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

• OWASP Testing Guide
https://www.owasp.org/index.php/Category:OWASP_Testing_Project


Dúvidas?

Perguntas?
Críticas?
Sugestões?


Fim...

Muito Obrigado!

Rafael Soares Ferreira

rafael@clavis.com.br

@rafaelsferreira


Ataq Apl Web

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (7)

Similaire à Ataq Apl Web

Similaire à Ataq Apl Web (20)

Plus de SegInfo

Plus de SegInfo (19)

Ataq Apl Web