"atacando e defendendo aplicações web" por rafael soares ferreira, sócio-diretor...

Copyright © 2011 Clavis Segurança da Informação. Todos os direitos reservados.

Atacando (e protegendo) aplicações web

Rafael Soares FerreiraClavis Segurança da Informaçã[email protected]



• InjeçõesOWASP Top 10 2010 - A1OWASP Top 10 2007 - A2

• Cross Site Scripting (XSS)OWASP Top 10 2010 - A2OWASP Top 10 2007 - A1

Principais Ameaças



• Dados não esperados

• Strings interpretadas como comandos

• SQL, Shell, LDAP, etc...

• SQL é o caso mais comum

Injeções

Principais Ameaças



SELECT id FROM usuarios WHERE nome = '$nome' AND senha = '$senha';

<form method="post" action="http://SITE/login.php"><input name="nome" type="text" id="nome"><input name="senha" type="password" id="senha"></form>

Client-Side:

Server-Side:

Principais Ameaças

Injeções - Exemplos



' OR 'a'='a

SELECT id FROM usuarios WHERE nome = '$nome' AND senha = '' OR 'a'='a';

Client-Side: O Exploit!

Server-Side:

Principais Ameaças




Principais Ameaças


Código PHP:

$query = "SELECT * FROM usuarios WHERE username ='" . $_REQUEST[‘usr'] . “’ AND passwd=‘“ . $_REQUEST[‘pwd’] . “’”;

Exploração:

login.php?usr=’+OR+‘1’=‘1’--&pwd=a

query <- SELECT * FROM usuarios WHERE username =‘’+OR+‘1’=‘1’--’ AND passwd=‘a’



Principais Ameaças


Código Java:

String query = "SELECT * FROM usuarios WHEREusername = '" + req.getParameter("usr") + "' andpasswd = '" + req.getParameter("pwd") +"'";

Exploração:

login.jsp?usr=admin’--&pwd=a

query <- SELECT * FROM usuarios WHERE username =‘admin’--’ AND passwd=‘a’



www.seginfo.com.br

Tradução da Tirinha “Exploits of a mom” do xkcd

Principais Ameaças




• Injeção de Comandos

• Exemplo:DNS lookup em domínios passados pelo usuário

Principais Ameaças




Código:$dominio = param(‘dominio');$nslookup = "/usr/bin/nslookup";

Exploit:clavis.com.br%20%3B%20/bin/ls%20-l

Principais Ameaças




Resultado:/usr/bin/nslookup clavis.com.br ; /bin/ls -l

Além do resultado do nslookup, o atacante receberá a lista dos arquivos que estão no diretório da aplicação

Principais Ameaças




● Tratamento de entradas

● Validação por whitelist

● Minimize os privilégios

● OWASP:SQL_Injection_Prevention_Cheat_Sheet

Principais Ameaças

Injeções - Recomendações



• Enviados ao browser do usuário

• Posts, URLs, javascript, etc...

• Todo Browser é “vulnerável”: javascript:alert(document.cookie)

• Redirecionamento e/ou roubo de dados

Cross-Site Scripting (XSS)

Principais Ameaças



Principais Ameaças




• Persistente

• Não Persistente

Tipos:

Principais Ameaças




• Persistente

Dados enviados sem tratamento para usuários

Principais Ameaças




Principais Ameaças




• Não Persistente

Dados enviados de volta sem tratamento e executado no browser da vítima.

Principais Ameaças




Principais Ameaças




• Código vulnerável<?phpecho “Hello ” . $_GET[‘name’] . ”.\n”;?>

• Requisiçãoindex.php?name=<script>alert(1)</script>

Principais Ameaças




Principais Ameaças


● Validação de entrada

● Validação de saída

● Validação de elementos do DOM

● OWASPXSS Prevention Cheat Sheet



Outras Ameaças

● Quebra de Autenticação / Sessão

• Referência direta à objetos

• Cross-Site Request Forgery (CSRF)

• Falhas de Configuração



Outras Ameaças

● Armazenamento Inseguro

• Falha na Restrição de Acesso à URLs

• Canal Inseguro

• Redirecionamentos Não-Validados



Referências

● OWASP Top 10https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

• OWASP Testing Guidehttps://www.owasp.org/index.php/Category:OWASP_Testing_Project



Dúvidas?

Perguntas?

Críticas?

Sugestões?



Fim...

Muito Obrigado!

Rafael Soares Ferreira

[email protected]

@rafaelsferreira

"atacando e defendendo aplicações web" por rafael soares ferreira, sócio-diretor...

Technology