Πίνακας περιεχομένων:
Βίντεο: Richard Stallman - Ομιλία στην Θεσσαλονίκη 01/06/2010 2024
Σε αυτή την περίπτωση, ο Caleb Sima, ένας πολύ γνωστός εμπειρογνώμονας ασφάλειας εφαρμογών, εφαρμογές ιστού του πελάτη. Αυτό το παράδειγμα ανεύρεσης κινδύνου ασφαλείας είναι μια καλή προειδοποιητική ιστορία που βοηθά στην προστασία των προσωπικών σας πληροφοριών.
Η κατάσταση
κ. Ο Sima προσλήφθηκε για να εκτελέσει μια δοκιμή διείσδυσης εφαρμογών ιστού για να αξιολογήσει την ασφάλεια ενός γνωστού οικονομικού ιστότοπου. Εξοπλισμένο με τίποτα περισσότερο από τη διεύθυνση URL του κύριου χρηματοοικονομικού χώρου, ο κ. Sima ξεκίνησε να βρει ποια άλλα sites υπήρχαν για τον οργανισμό και ξεκίνησε χρησιμοποιώντας τη Google για να αναζητήσει δυνατότητες.
κ. Ο Sima έτρεξε αρχικά μια αυτοματοποιημένη σάρωση στους κύριους διακομιστές για να ανακαλύψει οτιδήποτε φρούτα χαμηλής ανάρτησης. Αυτή η σάρωση παρέσχε πληροφορίες σχετικά με την έκδοση του διακομιστή ιστού και κάποιες άλλες βασικές πληροφορίες, αλλά τίποτα που αποδείχθηκε χρήσιμο χωρίς περαιτέρω έρευνα. Ενώ ο κ. Sima πραγματοποίησε τη σάρωση, ούτε το IDS ούτε το τείχος προστασίας σημείωσαν κάποια δραστηριότητα.
Στη συνέχεια, ο κ. Sima εξέδωσε ένα αίτημα στο διακομιστή στην αρχική ιστοσελίδα, η οποία επέστρεψε μερικές ενδιαφέρουσες πληροφορίες. Η εφαρμογή Ιστού φαίνεται να δέχεται πολλές παραμέτρους, αλλά καθώς ο κ. Sima συνέχισε να περιηγεί στον ιστότοπο, παρατήρησε ότι οι παράμετροι στη διεύθυνση URL παρέμειναν οι ίδιες.
κ. Η Sima αποφάσισε να διαγράψει όλες τις παραμέτρους εντός της διεύθυνσης URL για να δει ποιες πληροφορίες θα επιστρέψει ο διακομιστής όταν ερωτηθεί. Ο διακομιστής απάντησε με ένα μήνυμα σφάλματος που περιγράφει τον τύπο περιβάλλοντος εφαρμογής.
Στη συνέχεια, ο κ. Sima πραγματοποίησε αναζήτηση Google σχετικά με την εφαρμογή που οδήγησε σε κάποια λεπτομερή τεκμηρίωση. Ο κ. Sima βρήκε αρκετά άρθρα και τεχνολογικές σημειώσεις μέσα σε αυτές τις πληροφορίες που του έδειξαν πώς λειτουργεί η εφαρμογή και ποια προεπιλεγμένα αρχεία μπορεί να υπάρχουν. Στην πραγματικότητα, ο διακομιστής είχε πολλά από αυτά τα προεπιλεγμένα αρχεία.
κ. Ο Sima χρησιμοποίησε αυτές τις πληροφορίες για να διερευνήσει περαιτέρω την εφαρμογή. Ανακάλυψε γρήγορα τις εσωτερικές διευθύνσεις IP και τις υπηρεσίες που προσφέρει η εφαρμογή. Μόλις ο κ. Sima ήξερε ακριβώς ποια έκδοση διέθετε ο διαχειριστής, ήθελε να δει τι άλλο μπορούσε να βρει.
κ. Ο Sima συνέχισε να χειρίζεται τη διεύθυνση URL από την εφαρμογή προσθέτοντας & χαρακτήρες μέσα στη δήλωση για να ελέγξει το προσαρμοσμένο σενάριο. Αυτή η τεχνική του επέτρεψε να συλλάβει όλα τα αρχεία πηγαίου κώδικα. Ο κ. Sima σημείωσε μερικά ενδιαφέροντα ονόματα αρχείων, συμπεριλαμβανομένου του VerifyLogin. htm, ApplicationDetail. htm, CreditReport. htm και ChangePassword. htm.
Στη συνέχεια, ο κ. Sima προσπάθησε να συνδεθεί με κάθε αρχείο, εκδίδοντας ένα ειδικά διαμορφωμένο URL στο διακομιστή.Ο διακομιστής επέστρεψε ένα μήνυμα χρήστη που δεν ήταν συνδεδεμένο για κάθε αίτηση και δήλωσε ότι η σύνδεση πρέπει να γίνει από το intranet.
Το αποτέλεσμα
κ. Ο Sima ήξερε πού εντοπίστηκαν τα αρχεία και μπόρεσε να ξεγελάσει τη σύνδεση και να προσδιορίσει ότι το ApplicationDetail. Το αρχείο htm ορίζει μια συμβολοσειρά cookie. Με λίγο χειρισμό της διεύθυνσης URL, ο κ. Sima χτύπησε το τζάκποτ. Αυτό το αρχείο επέστρεψε πληροφορίες πελάτη και πιστωτικές κάρτες όταν μια νέα αίτηση πελάτη ήταν υπό επεξεργασία. CreditReport. Το htm επέτρεψε στον κ. Sima να βλέπει την κατάσταση της έκθεσης σχετικά με την πιστοληπτική ικανότητα των πελατών, τις πληροφορίες για την απάτη, την κατάσταση των απορριφθεισών αιτήσεων και άλλες ευαίσθητες πληροφορίες.
Το μάθημα: Οι χάκερ μπορούν να χρησιμοποιήσουν πολλούς τύπους πληροφοριών για να σπάσουν τις εφαρμογές ιστού. Τα μεμονωμένα εκμεταλλεύματα σε αυτή την περίπτωση ήταν μικρά, αλλά όταν συνδυάστηκαν, είχαν ως αποτέλεσμα σοβαρά τρωτά σημεία.
Ο Caleb Sima ήταν μέλος της ομάδας X-Force στο Internet Security Systems και ήταν το πρώτο μέλος της ομάδας δοκιμών διείσδυσης. Ο κ. Sima συνέχισε την ίδρυση του SPI Dynamics (που αργότερα αποκτήθηκε από την HP) και έγινε ο ΚΟΤ του, καθώς και διευθυντής της SPI Labs, της ομάδας έρευνας και ανάπτυξης εφαρμογών ασφάλειας της SPI Dynamics.