Phenquestions
Tartalomjegyzék
- Adatbázis injekció
- Megszakadt hitelesítés
- Érzékeny adat expozíció
- XML külső entitások (XEE)
- Törött hozzáférés-vezérlés
- Biztonsági hibás konfiguráció
- Helyek közötti szkriptek (XSS)
- Bizonytalan deserializáció
- Ismert biztonsági résű összetevők használata
- Elégtelen naplózás és figyelés
Adatbázis injekció:
Ha nem megbízható adatokat küld a tolmácsnak a parancs részeként bármely olyan területen, amely felhasználói i.Az űrlap bevitelén vagy bármely más adat benyújtási területen előfordulhatnak injektálási hibák. A támadó rosszindulatú lekérdezései becsaphatják az értelmezőt olyan parancsok végrehajtására, amelyek bizalmas adatokat jeleníthetnek meg, amelyek megtekintésére a felhasználónak nincs jogosultsága. Például egy SQL injekciós támadás esetén, ha az űrlapbevitel nincs megfelelően megtisztítva, a támadó engedély nélkül beléphet az SQL adatbázisba és hozzáférhet annak tartalmához, csak egy rosszindulatú SQL adatbázis kód beírásával egy sima szöveget váró formában. Bármilyen típusú mező, amely a felhasználó bevitelét végzi, injektálható, azaz.e paraméterek, környezeti változók, minden webszolgáltatás stb.
Az alkalmazás kiszolgáltatott az injekciós támadásnak, amikor a felhasználó által szolgáltatott adatokat nem fertőtlenítik és nem validálják, dinamikus lekérdezések használatával kontextustudatos menekülés nélkül és közvetlenül ellenséges adatok felhasználásával. Az injekciós hibák könnyen felfedezhetők a kód megvizsgálásával és olyan automatizált eszközök használatával, mint a szkennerek és a fuzzerek. Az injekciós támadások megelőzése érdekében meg lehet tenni bizonyos intézkedéseket, például az adatok elválasztását a parancsoktól és a lekérdezésektől, egy biztonságos API-t, amely paraméterezett felületet biztosít, a „fehér listás” szerveroldali bemeneti hitelesítést olyan eszközökön keresztül, mint a Snort, speciális karakterek elkerülése speciális menekülési szintaxissal stb.
Az injekciós támadás hatalmas adatvesztéshez, bizalmas információk nyilvánosságra hozatalához, a hozzáférés megtagadásához vezethet, és akár az alkalmazás teljes átvételéhez is vezethet. Egyes SQL vezérlők, például a LIMIT, felhasználhatók hatalmas mennyiségű adatvesztés kezelésére támadás esetén. Az injekciós támadások bizonyos típusai: SQL, OS, NoSQL, LDAP injekciós támadások.
Törött hitelesítés:
A támadók hozzáférhetnek a felhasználói fiókokhoz, és akár az egész hosztrendszert is veszélyeztethetik rendszergazdai fiókok révén, felhasználva a hitelesítési rendszerek sérülékenységeit. A hitelesítési hibák lehetővé teszik a támadó számára a jelszavak, munkamenet-tokenek, hitelesítési kulcsok megsértését, és más támadásokkal is láncolhatnak, amelyek ideiglenesen és bizonyos esetekben, véglegesen bármely más felhasználói fiók vagy munkamenet jogosulatlan eléréséhez vezethetnek. Tegyük fel, hogy egy felhasználónak van egy szójegyzéke vagy egy szótára, amely több millió érvényes felhasználónévvel és jelszóval rendelkezik, és amelyet egy jogsértés során szereztek be. Rendkívül rövid idő alatt egyesével tudja használni őket, a bejelentkezési rendszer automatizált eszközeinek és szkriptjeinek használatával, hogy lássa, működik-e valaki. A személyazonosság-kezelés és a hozzáférés-ellenőrzések gyenge megvalósítása sérülékenységekhez vezet, például a meghibásodott hitelesítéshez.
Az alkalmazás kiszolgáltatott a hitelesítési támadásoknak, amikor lehetővé teszi a különböző felhasználónevek és jelszavak kipróbálását, szótári támadásokat vagy brutális erőszakos támadásokat minden védelmi stratégia nélkül, könnyű, alapértelmezett jelszavakat vagy bármilyen megsértésnél kiszivárgott jelszavakat használ, munkamenet-azonosítókat tár fel az URL-ben, használ gyenge jelszó-helyreállítási séma, sütimintát használ. A törött hitelesítés egyszerűen kihasználható a durva kényszerítés és a szótár támadásainak egyszerű eszközeivel, egy jó szótárral. Az ilyen típusú támadások megakadályozhatók többtényezős hitelesítési rendszerekkel, gyenge jelszóellenőrzéssel úgy, hogy rossz jelszavak adatbázisán futtatnak jelszót, nem használnak alapértelmezett hitelesítő adatokat, a jelszó komplexitási politikájának összehangolásával, jó szerveroldali használatsal. munkamenet-kezelő, amely bejelentkezés után új véletlenszerű munkamenet-azonosítót generál, stb.
A megszakadt hitelesítési sérülékenység néhány felhasználói fiók és egy rendszergazdai fiók megsértését eredményezheti, vagyis a támadónak csak a rendszer veszélyeztetésére van szüksége. Az ilyen típusú támadások személyazonosság-lopáshoz, társadalombiztosítási csaláshoz, pénzmosáshoz és magas minősítésű információk nyilvánosságra hozatalához vezetnek. A támadások szótár támadásokat, durva kényszerítést, munkamenet-eltérítést és munkamenet-kezelési támadásokat tartalmaznak.
Érzékeny adat expozíció:
Néha a webalkalmazások nem védik a bizalmas adatokat és információkat, például a jelszavakat, az adatbázis hitelesítő adatait stb. A támadó könnyen ellophatja vagy módosíthatja ezeket a gyengén védett hitelesítő adatokat, és törvénytelen célokra használhatja fel őket. Az érzékeny adatokat nyugalmi állapotban vagy szállítás közben titkosítani kell, és további biztonsági réteggel kell rendelkezniük, különben a támadók ellophatják azokat. A támadók kézbe vehetik az érzékeny, kitett adatokat, és ellophatják vagy kiválthatják a szöveges felhasználókat és az adatbázis hitelesítő adatait a szerverről vagy a webböngészőből. Például, ha egy jelszóadatbázis sótlan vagy egyszerű hasheket használ a jelszavak tárolására, egy fájlfeltöltési hiba lehetővé teheti a támadók számára a jelszavak adatbázisának lekérését, ami az összes jelszó expozícióját eredményezi egy előre kiszámított hash szivárványos táblával.
A fő hiba nemcsak az, hogy az adatok nincsenek titkosítva, még akkor sem, ha titkosítva vannak, de a gyenge kulcsgenerálás, a gyenge hash algoritmusok, a gyenge rejtjelhasználat az egyik leggyakoribb támadás ilyen típusát is eredményezheti. Az ilyen típusú támadások megelőzése érdekében először osztályozza, hogy az adatvédelmi törvények szerint mely adatok tekinthetők kényesnek, és alkalmazzon ellenőrzést a besorolás szerint. Ne tároljon olyan titkos adatot, amelyre nincs szüksége, mossa le, amint felhasználja. Az átvitt adatokhoz titkosítsa biztonságos protokollokkal, i.e TLS PFS rejtjelekkel stb.
Az ilyen típusú sebezhetőségek rendkívül érzékeny információk, például hitelkártya-adatok, egészségügyi nyilvántartások, jelszavak és minden egyéb olyan személyes adat kitettségéhez vezethetnek, amelyek személyazonosság-lopáshoz és banki csaláshoz vezethetnek stb.
XML külső entitások (XEE):
A rosszul konfigurált XML processzorok külső entitás hivatkozásokat dolgoznak fel az XML dokumentumokban. Ezek a külső entitások felhasználhatók a belső fájlok adatainak, például / etc / passwd fájlba vagy más rosszindulatú feladatok végrehajtására. A sérülékeny XML processzorok könnyen kihasználhatók, ha a támadók feltölthetnek egy XML dokumentumot, vagy tartalmazhatnak XML - t stb. Ezek a sérülékeny XML-entitások a SAST és DAST eszközökkel vagy manuálisan, a függőségek és konfigurációk ellenőrzésével fedezhetők fel.
Egy webalkalmazás számos okból kiszolgáltatott az XEE-támadásnak, például ha az alkalmazás elfogadja a nem megbízható forrásokból származó közvetlen XML-bemenetet, akkor engedélyezve vannak az alkalmazás Dokumentumtípus-meghatározása (DTD), az alkalmazás SAML-t használ az identitásfeldolgozáshoz, mivel az SAML az XML-t használja az identitáshoz beillesztések stb. Az XEE támadások enyhíthetők az érzékeny adatok sorosításának elkerülésével, kevésbé bonyolult adatformátumok alkalmazásával, azaz.e JSON, az XML-processzorok javítása, az alkalmazás korán használja és még a könyvtárakat is, letiltja a DTD-ket az összes XML-elemzőben, az XML-fájlok feltöltési funkcióinak érvényesítését az XSD-ellenőrzéssel stb.
Az ilyen típusú támadásoknak kiszolgáltatott alkalmazás DOS támadáshoz, Billion Laughs támadáshoz, belső rendszerek átvizsgálásához, belső portok vizsgálatához, távoli parancs végrehajtásához vezethet, amely az alkalmazás összes adatát befolyásolja.
Törött hozzáférés-vezérlés:
A hozzáférés-vezérlés a felhasználók számára kiváltságokat ad bizonyos feladatok elvégzéséhez. A megszakadt hozzáférés-felügyeleti sérülékenység akkor következik be, amikor a felhasználókat nem korlátozzák megfelelően az elvégzendő feladatok. A támadók kihasználhatják ezt a biztonsági rést, amely végül jogosulatlan funkciókhoz vagy információkhoz juthat. Tegyük fel, hogy egy webalkalmazás lehetővé teszi a felhasználó számára, hogy megváltoztassa a bejelentkezett fiókot, csupán az URL-t másik felhasználó fiókjára cserélve további ellenőrzés nélkül. A beléptető biztonsági rés kihasználása minden támadó támadása, ez a biztonsági rés megtalálható manuálisan, valamint a SAFT és DAFT eszközök használatával. Ezek a biztonsági rések a webes alkalmazások tesztelésének és automatikus észlelésének hiánya miatt állnak fenn, bár a megtalálásuk legjobb módja, ha manuálisan csinálják.
A biztonsági rések tartalmazzák az előjogok fokozását, i.e felhasználóként jársz el, vagy nem vagy adminisztrátorként tevékenykedsz, miközben felhasználó vagy, megkerülve a hozzáférés-ellenőrzési ellenőrzéseket csak az URL módosításával vagy az alkalmazás állapotának megváltoztatásával, metaadatok manipulálásával, lehetővé téve az elsődleges kulcs megváltoztatását egy másik felhasználó elsődleges kulcsaként, stb. Az ilyen típusú támadások megelőzése érdekében a hozzáférés-vezérlési mechanizmusokat be kell építeni a kiszolgálóoldali kódba, ahol a támadók nem módosíthatják a hozzáférés-vezérlőket. Az egyedi alkalmazás üzleti korlátozásainak érvényesítése tartományi modellekkel, a kiszolgálói könyvtárak listájának letiltása, az adminisztrátor figyelmeztetése az ismételt sikertelen bejelentkezési kísérletekről, a JWT tokenek érvénytelenítése a kijelentkezés után az ilyen típusú támadások enyhítése érdekében.
A támadók más felhasználóként vagy rendszergazdaként léphetnek fel a biztonsági rés használatával rosszindulatú feladatok végrehajtására, például rekordok létrehozására, törlésére és módosítására stb. Hatalmas adatvesztés léphet fel, ha az adatok a jogsértés után sem vannak biztonságban.
Biztonsági hibás konfiguráció:
A leggyakoribb biztonsági rés a biztonsági hibák rossz konfigurálása. A sérülékenység fő oka az alapértelmezett konfiguráció, a hiányos konfiguráció, az adhoc konfigurációk, a rosszul konfigurált HTTP fejlécek és a részletes hibaüzenetek használata, amelyek több információt tartalmaznak, mint amennyit a felhasználónak tudnia kellett volna. A webalkalmazás bármely szintjén előfordulhatnak biztonsági hibás konfigurációk, azaz.e adatbázis, webszerver, alkalmazáskiszolgáló, hálózati szolgáltatások stb. A támadók kihasználhatják a nem javított rendszereket, vagy hozzáférhetnek a nem védett fájlokhoz és könyvtárakhoz, hogy jogosulatlanul visszatartják a rendszert. Például egy alkalmazás túlságosan bő hibaüzeneteket nyújt, amelyek segítenek a támadónak megismerni az alkalmazás rendszerének sebezhetőségét és működését. Automatizált eszközök és szkennerek használhatók az ilyen típusú biztonsági hibák felderítésére.
Egy webalkalmazás ilyen típusú biztonsági rést tartalmaz, ha hiányzik a biztonsági szigorítás az alkalmazás bármely részén, felesleges portok vannak nyitva, vagy felesleges szolgáltatásokat engedélyez, alapértelmezett jelszavakat használnak, a hibakezelés információs hibákat tár fel a támadó számára, javítatlan vagy elavult biztonsági szoftver stb. Megelőzhető a kód felesleges tulajdonságainak eltávolításával, azaz.minimális platform felesleges funkciók, dokumentáció stb. nélkül, amely lehetővé teszi a feladat számára a biztonsági lyukak frissítését és javítását a javításkezelési folyamatok részeként, egy folyamatot a megtett biztonsági intézkedések hatékonyságának ellenőrzésére, megismételhető keményítési folyamat alkalmazását könnyen telepíthető egy másik, megfelelően lezárt környezet.
Az ilyen típusú sérülékenységek vagy hibák lehetővé teszik a támadó számára, hogy illetéktelen hozzáférést kapjon a rendszeradatokhoz, ami a rendszer teljes kompromisszumához vezet.
Helyek közötti parancsfájlok (XSS):
Az XSS biztonsági rései akkor fordulnak elő, amikor egy webalkalmazás megbízhatatlan adatokat épít be egy új webhelyoldalra törvényes jóváhagyás vagy menekülés nélkül, vagy egy aktuális webhelyoldalt frissít kliens által megadott adatokkal, egy böngésző API használatával, amely HTML vagy JavaScript formátumot képes létrehozni. Az XSS hibák abban az esetben fordulnak elő, ha a webhely lehetővé teszi a felhasználó számára, hogy egyéni kódot adjon hozzá egy URL-útvonalhoz, amelyet a többi felhasználó láthat. Ezeket a hibákat rosszindulatú JavaScript-kód futtatására használják a cél böngészőjében. Tegyük fel, hogy a támadó egy linket küldhet az áldozatnak, amely tartalmaz egy linket a cég bármely webhelyére. Ez a kapcsolat rosszindulatú JavaScript-kódot tartalmazhat. Abban az esetben, ha a bank weboldala nincs megfelelően védve az XSS-támadások ellen, a linkre kattintva a rosszindulatú kód az áldozat böngészőjében fut.
A webhelyek közötti szkriptelés egy biztonsági rés, amely a webalkalmazások majdnem ⅔ részében található meg. Az alkalmazás akkor sérülékeny az XSS ellen, ha az alkalmazás nem szanitált felhasználói adatbevitelt tárol, amelyet egy másik felhasználó láthat, JavaScript struktúrák, egyoldalas alkalmazások és olyan API-k használatával, amelyek hatékonyan beépítik a támadók által vezérelhető információkat egy oldalba, tehetetlenek a DOM XSS ellen. Az XSS támadásokat enyhíthetjük olyan keretrendszerek használatával, amelyek elkerülik és fertőtlenítik az XSS bevitelt, mint például a React JS stb., Megtanulva a keretek korlátait, és saját eseteikkel lefedve azokat, elkerülve a felesleges és nem megbízható HTML adatokat mindenhol.e HTML-attribútumokban, URI-ban, Javascript-ben stb., környezetfüggő kódolás használata a dokumentum ügyfél-oldali módosítása esetén stb.
Az XSS alapú támadások három típusúak: i.e Tükrözött XSS, DOM XSS és Tárolt XSS. Ezen támadások minden típusának jelentős mértékű hatása van, de a Stored XSS esetében a hatás még nagyobb, azaz.hitelesítő adatok ellopása, rosszindulatú programok elküldése az áldozatnak stb.
Bizonytalan deserializáció:
Az adatok sorosítása azt jelenti, hogy objektumokat veszünk és bármilyen formátumba konvertálunk, hogy ezeket az adatokat később más célokra is felhasználhassuk, míg az adatok dezérializálása ennek ellentétét jelenti. A deszerializálás kibontja ezeket a sorosított adatokat az alkalmazások használatához. A bizonytalan deserializáció olyan adatok mérséklését jelenti, amelyeket közvetlenül azelőtt sorosítottak, és amelyeket hamarosan kicsomagolnak vagy deserializálnak. A bizonytalan deserializáció távoli kódfuttatáshoz vezet, és más feladatok végrehajtására használják rosszindulatú célokból, mint például privilégiumok fokozása, injekciós támadások, visszajátszási támadások stb. Van néhány eszköz az ilyen jellegű hibák feltárására, de a probléma érvényesítéséhez gyakran emberi segítségre van szükség. A deszerializáció kiaknázása kissé nehéz, mivel a kihasználások kézi változtatások nélkül nem fognak működni.
Amikor az alkalmazás deserializálja a támadó entitás által szállított rosszindulatú objektumokat. Ez kétféle támadáshoz vezethet, azaz.Olyan adatstruktúrához és objektumokhoz kapcsolódó támadások, amelyekben a támadó módosítja az alkalmazás logikáját vagy távoli kódot hajt végre, valamint tipikus adathamisítási támadások, amelyek során a meglévő adatstruktúrákat módosított tartalommal használják, például hozzáférés-vezérléssel kapcsolatos támadások. A sorozatosítás használható távoli folyamatkommunikációban (RPC) vagy folyamatok közötti kommunikációban (IPC), adatok gyorsítótárazásában, webszolgáltatásokban, adatbázisok gyorsítótár-kiszolgálóiban, fájlrendszerekben, API-hitelesítési tokenekben, HTML-cookie-kban, HTML-űrlap-paraméterekben stb. A deszerializációs támadásokat enyhíthetjük, ha nem használunk megbízhatatlan forrásokból származó sorosított objektumokat, integritásellenőrzéseket hajtunk végre, elkülönítjük az alacsony kiváltságú környezetben futó kódot, figyelemmel kísérjük a bejövő és kimenő hálózati kapcsolatokat a gyakran deserializáló szerverekről.
Ismert sérülékenységű összetevők használata:
Különböző összetevőket, például könyvtárakat, keretrendszereket és szoftver modulokat használ a legtöbb fejlesztő a webalkalmazásban. Ezek a könyvtárak segítik a fejlesztőt a szükségtelen munkák elkerülésében, és biztosítják a szükséges funkciókat. A támadók hibákat és sebezhetőségeket keresnek ezekben az összetevőkben a támadás koordinálása érdekében. Ha egy összetevőben biztonsági rést talál, az összes összetevőt használó webhely sebezhetővé válhat. Ezeknek a biztonsági réseknek a kihasználása már rendelkezésre áll, miközben az egyedi kihasználás nulláról történő megírása sok erőfeszítést igényel. Ez egy nagyon gyakori és széles körben elterjedt kérdés, nagy mennyiségű komponens használata egy webalkalmazás fejlesztéséhez oda vezethet, hogy nem is ismeri és nem érti az összes használt komponenst, az összes komponens javítása és frissítése hosszú feladat.
Egy alkalmazás sebezhető, ha a fejlesztő nem ismeri a használt összetevő verzióját, a szoftver elavult i.Az operációs rendszer, a DBMS, a futó szoftverek, a futásidejű környezetek és a könyvtárak a biztonsági réseket nem rendszeresen vizsgálják, a javított szoftverek kompatibilitását nem tesztelik a fejlesztők. Megelőzhető a fel nem használt függőségek, fájlok, dokumentációk és könyvtárak eltávolításával, az ügyfél és a szerveroldali összetevők verziójának rendszeres ellenőrzésével, az összetevők és könyvtárak beszerzésével hivatalos és megbízható, biztonságos forrásokból, a nem javított könyvtárak és összetevők figyelemmel kísérésével, a terv biztosításával. a sebezhető alkatrészek rendszeres frissítéséhez és javításához.
Ezek a sérülékenységek kisebb hatásokkal járnak, de a kiszolgáló és a rendszer veszélyeztetéséhez is vezethetnek. Sok nagy megsértés az összetevők ismert sebezhetőségére támaszkodott. A sérülékeny alkatrészek használata aláássa az alkalmazási védelmet, és kiindulópont lehet egy nagy támadáshoz.
Elégtelen naplózás és ellenőrzés:
A legtöbb rendszer nem tesz elegendő intézkedést és lépést az adatsértések felderítésére. Egy esemény átlagos válaszideje 200 nap az esemény bekövetkezte után, ez sok idő minden csúnya dolog elvégzésére egy támadó entitás számára. Az elégtelen naplózás és figyelés lehetővé teszi a támadó számára, hogy tovább támadja a rendszert, fenntartsa a rendszert, manipulálja, tárolja és kivonja az adatokat a szükség szerint. A támadók a megfigyelés és a válasz hiányát használják magukra, hogy megtámadják a webalkalmazást.
A naplózás és a figyelés elégtelen bármikor előfordul, i.Azon alkalmazások naplóit, amelyeket nem figyeltek szokatlan tevékenységek, ellenőrizhető események, például a sikertelen bejelentkezési kísérletek és a magas tranzakciós értékek miatt, nem naplózták megfelelően, a figyelmeztetések és hibák nem egyértelmű hibaüzeneteket generáltak, nem váltanak ki riasztási jelet automatizált DAST eszközökkel történő pentesztelés esetén, és nem képesek észlelni vagy riasztja az aktív támadásokat gyorsan, stb. Ezeket enyhíteni lehet annak biztosításával, hogy minden bejelentkezési, hozzáférés-ellenőrzési hiba és a kiszolgálóoldali bemeneti ellenőrzés naplózható a rosszindulatú felhasználói fiók azonosításához és elegendő ideig megmaradhat a késleltetett törvényszéki nyomozáshoz, biztosítva, hogy a létrehozott naplók formátumban legyenek kompatibilis a központosított naplókezelési megoldásokkal, biztosítva a nagy értékű tranzakciók integritásának ellenőrzését, a gyanús tevékenységek időben történő riasztására szolgáló rendszer létrehozásával stb.
A sikeres támadások többsége a rendszer sebezhetőségének ellenőrzésével és vizsgálatával kezdődik, lehetővé téve, hogy ezek a biztonsági rések vizsgálata az egész rendszer veszélyeztetését eredményezhesse.
Következtetés:
A webalkalmazás biztonsági rései az alkalmazáshoz kapcsolódó összes entitást érintik. Ezekre a sérülékenységekre ügyelni kell, hogy biztonságos és biztonságos környezetet biztosítsunk a felhasználók számára. A támadók felhasználhatják ezeket a biztonsági réseket egy rendszer veszélyeztetésére, megszerzésére és a jogosultságok fokozására. A veszélyeztetett webalkalmazás hatása láthatóvá tehető az ellopott hitelkártya-hitelesítő adatoktól és személyazonosság-lopásoktól a rendkívül bizalmas információk kiszivárogtatásáig stb. a rosszindulatú entitások igényeitől és támadó vektoraitól függően.
