Principais ameças à Aplicações Web - Como explorá-las e como se proteger.

Principais ameças à Aplicações Web
Como explorá-las e como se proteger
Rafael Soares Ferreira
Clavis Segurança da Informação
rafael@clavis.com.br

Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.

Principais Ameaças

Principais Ameaças
• Injeções
• Cross-Site Scripting (XSS)
• Quebra de Autenticação / Sessão
• Referência direta à objetos
• Cross-Site Request Forgery (CSRF)


Principais Ameaças

Principais Ameaças (cont.)
• Falhas de Configuração
• Armazenamento Inseguro
• Falha na Restrição de Acesso à URLs
• Canal Inseguro
• Redirecionamentos Não-Validados


Principais Ameaças

Injeções

• Dados não esperados

• Strings interpretadas como comandos

• SQL, Shell, LDAP, etc...

• SQL é o caso mais comum


Principais Ameaças

Injeções - Exemplos

Client-Side:
<form method="post" action="http://SITE/login.php">
<input name="nome" type="text" id="nome">
<input name="senha" type="password" id="senha">
</form>

Server-Side:
SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '$senha'
;


Principais Ameaças


Client-Side: O Exploit!
' OR 'a'='a

Server-Side:
SELECT id FROM usuarios
WHERE nome = '$nome'
AND senha = '' OR 'a'='a'
;


Principais Ameaças


Código PHP:
$query = "SELECT * FROM usuarios WHERE username =
'" . $_REQUEST[‘usr'] . “’ AND passwd=‘“ . $_REQUEST[‘pwd’] . “’”;

Exploração:
login.php?usr=’+OR+‘1’=‘1’--&pwd=a

query <- SELECT * FROM usuarios WHERE username =
‘’+OR+‘1’=‘1’--’ AND passwd=‘a’


Principais Ameaças


Código Java:
String query = "SELECT * FROM usuarios WHERE
username = '" + req.getParameter("usr") + "' and
passwd = '" + req.getParameter("pwd") +"'";

Exploração:
login.jsp?usr=admin’--&pwd=a

query <- SELECT * FROM usuarios WHERE username =
‘admin’--’ AND passwd=‘a’

Principais Ameaças


www.seginfo.com.br
Tradução da Tirinha “Exploits of a mom” do xkcd


Principais Ameaças


• Injeção de Comandos

• Exemplo:
DNS lookup em domínios passados pelo
usuário


Principais Ameaças


Código:
$dominio = param(‘dominio');
$nslookup = "/usr/bin/nslookup";

Exploit:
clavis.com.br%20%3B%20/bin/ls%20-l


Principais Ameaças


Resultado:
/usr/bin/nslookup clavis.com.br ; /bin/ls -l

Além do resultado do nslookup, o
atacante receberá a lista dos arquivos
que estão no diretório da aplicação


Principais Ameaças

Injeções - Recomendações

● Tratamento de entradas

● Validação por whitelist

● Minimize os privilégios

●OWASP:
SQL_Injection_Prevention_Cheat_Sheet

Principais Ameaças

Cross-Site Scripting (XSS)

• Enviados ao browser do usuário

• Posts, URLs, javascript, etc...

• Todo Browser é “vulnerável”:
javascript:alert(document.cookie)

• Redirecionamento e/ou roubo de dados

Principais Ameaças



Principais Ameaças


Tipos:

• Persistente

• Não Persistente

• DOM (Document Object Model)


Principais Ameaças


• Persistente

Dados enviados sem tratamento para
usuários


Principais Ameaças


• Não Persistente

Dados enviados de volta sem tratamento
e executado no browser da vítima.


Principais Ameaças


• Código vulnerável
<?php
echo “Hello ” . $_GET[‘name’] . ”.n”;
?>

• Requisição
index.php?name=<script>alert(1)</script>


Principais Ameaças


• DOM

Código executado no browser utilizando
elementos do DOM

Não há falha no servidor


Principais Ameaças

● Validação de entrada

● Validação de saída

● Validação de elementos do DOM

●OWASP
XSS Prevention Cheat Sheet


Principais Ameaças

Quebra de Autenticação / Sessão

• Restrição de conteúdos / recursos

●Autenticação HTTP:
Basic -> credenciais concatenadas
separadas por “:” e codificadas em
base64

Digest -> hash MD5

Principais Ameaças


Cookie:
[...]
Authorization: Basic dGVzdGU6ZHVtbXlwYXNzd29yZA==
[...]

Decodificando:
$ echo "dGVzdGU6ZHVtbXlwYXNzd29yZA==" | base64 –d
teste:dummypassword


Principais Ameaças


HTTP digest:

Força-bruta
Hydra (http://freeworld.thc.org/thc-hydra/)

Replay de tráfego
TCPReplay (http://tcpreplay.synfin.net/trac/)


Principais Ameaças


● Tunelameto por SSL

● Políticas de segurança

● CAPTCHA

●OWASP
Authentication_Cheat_Sheet

Principais Ameaças

Referência Direta a Objetos

• Exposição de informações internas

• Evite Controle de Acesso em camada
de apresentação

●Modificações de informações para
acesso a dados não autorizados


Principais Ameaças

Referência Direta a Objetos

• Evite expor referências a objetos
internos

● Validação de referências

● Mapas de referência
Ex: http://www.example.com/application?file=1


Principais Ameaças

Cross Site Request Forgery (CSRF)

• Browsers enviam alguns tipos de
credenciais automaticamente em cada
requisição

Cookies
Cabeçalhos
Endereço IP
Certificados SSL

Principais Ameaças


• A vítima acessa um site malicioso
enquanto está logada no sistema
vulnerável

●O atacante força a vítima a fazer tal
requisição


Principais Ameaças



Principais Ameaças


• Autenticações forçadas em requisições
sensíveis

●Controle exposição de dados utilizados
como credenciais

●OWASP:
CSRF_Prevention_Cheat_Sheet

Principais Ameaças

Falhas de Configuração

• Aplicações rodam em cima de serviços
que rodam em cima de SOs

• Todos podem ser vetores de ataque

• Exploits (e patchs!) se aplicam à
qualquer tipo de software


Principais Ameaças

Falhas de Configuração

• “hardening” de servidores

● Patchs e atualizações

● Homologação de mudanças

● Vulnerability Management


Principais Ameaças

Armazenamento Inseguro

• Identificação de dados sensíveis

• Banco de dados, Arquivos, Diretórios,
Arquivos de log, Backups, etc...

• Proteção insuficiente ou inexistente

• Confidencialidade e integridade

Principais Ameaças


1. Cliente faz transações com cartão de
crédito

2. Log com os dados da transção
apontam algum erro

3. Um insider acessa milhões de
números de cartão de crédito

Principais Ameaças

● Algoritmos fortes

● Chaves diferenciadas

● Política de criação, armazenamento e
troca de chaves

●OWASP
Cryptographic_Storage_Cheat_Sheet

Principais Ameaças

Falha na Restrição de Acesso à
URLs
● Exposição do nível de privilégio

● Camada de apresentação e / ou tráfego
legítimo

●É possível forçar outros níveis (admin,
manager, etc)


Principais Ameaças

Falha na Restrição de Acesso à
URLs

● Restrição de acesso em várias camadas

● Bloqueie requisições à tipos não
autorizados de arquivos (configurações,
logs, fontes, etc.)


Principais Ameaças

Canal Inseguro

• A internet é pública e hostil

• Dados podem ser (e serão!)
capturados

• Utilize criptografia

• Visualização / modificação informações

Principais Ameaças

Canal Inseguro

• Certificado Digital

• Confidencialidade e Auntenticidade

• Algoritmos seguros

• OWASP
Transport_Layer_Protection_Cheat_Sheet

Principais Ameaças

Redirecionamentos Não-Validados

• Requisição forjada com instrução de
redirecionamento

• Aplicação não valida o parâmetro e
redireciona a vítima para site malicioso


Principais Ameaças

Redirecionamentos Não-Validados

• Se possível, evite “redirects” e
“forwards”

●Caso seja necessário, não envolva
parâmetros fornecidos pelo usuário

● Utilize whitelists


Dúvidas?

Perguntas?
Críticas?
Sugestões?


Fim...

Muito Obrigado!

Rafael Soares Ferreira

rafael@clavis.com.br

@rafaelsferreira


Principais ameças à Aplicações Web - Como explorá-las e como se proteger.

Recommandé

Recommandé

Contenu connexe

Tendances

Tendances (19)

Similaire à Principais ameças à Aplicações Web - Como explorá-las e como se proteger.

Similaire à Principais ameças à Aplicações Web - Como explorá-las e como se proteger. (20)

Plus de Clavis Segurança da Informação

Plus de Clavis Segurança da Informação (20)

Principais ameças à Aplicações Web - Como explorá-las e como se proteger.