|
luyzette
Administrator
Data inscrierii: 06/Feb/2009
Mesaje: 71
|
 Trimis:
07/02/2009 12:03 Titlul subiectului:
hack in general... |
|
|
---Organizatiile au nevoie de o solutie de scanare a aplicatiilor web care sa poata cauta bresele de securitate pentru a-i împiedica pe presupusii hackeri sa obtina accesul neautorizat la informatii si programe de tip corporativ. Aplicatiile web se dovedesc a fi veriga cea mai slaba din securitatea corporativa, desi companiile au încercat în nenumarate rânduri sa instaleze cele mai celebre solutii antivirus si de securitate în retea. Profitând rapid de aceasta vulnerabilitate, hackerii au început sa foloseasca aplicatiile web ca o platforma prin care obtin accesul la informatiile companiilor. Exista însa si ace de cojocul acestora.
În prezent, aproape toate retelele companiilor sunt protejate de firewalluri, scanere de securitate si softuri antivirus. Supusi acestor constrângeri, hackerii sunt în cautare de metode alternative pentru a se putea infiltra în infrastructura de securitate.
Din nefericire, hackerii au reusit sa gaseasca o bresa în sistemul de protectie al companiilor, de care firmele nu erau constiente în prealabil - aplicatiile web.
Acestea sunt accesibile publicului non-stop, cea ce face ca hackerii sa aiba acces usor la programele respective si sa încerce sa le pirateze.
În vreme ce adoptarea tehnologiilor web pentru conducerea unor afaceri a facilitat contactul companiilor cu furnizorii, clientii si actionarii, au aparut si o multitudine de riscuri de securitate necunoscute înainte. În opinia lui Pete Lindstrom, director de strategii de securitate în cadrul Hurwitz Grup, în momentul de fata aplicatiile web sunt cele mai vulnerabile elemente din infrastructura IT a unei organizatii.
Ce este o aplicatie web?
Este o aplicatie care se gaseste pe serverul web al unei companii si care poate fi accesata de absolut orice utilizator autorizat într-o retea, cum ar fi World Wide Web (www), sau într-o retea interna.
O aplicatie web are trei layere. ÃŽn mod normal, debutantul trebuie sa fie un browser web, al doilea înveliș este reprezentat de o aplicatie de tip content generation, ca de exemplu Java servlets sau ASP (Active Server Pages), iar al treilea layer este baza de date a companiei.
Browserul web adreseaza mai întâi o cerere layerului mijlociu, care, la rândul sau, acceseaza baza de date pentru a opera respectiva sarcina - fie consultarea informatiilor, fie updatarea lor.
Datorita faptului ca aplicatiile web se gasesc pe un server, ele pot fi updatate si modificate oricând, fara a fi necesara instalarea unui soft pe aparatura clientului - principalul rațiune care a dus la adoptarea lor în masa în organizatii. Exemplele de aplicatii web includ carucioare de cumparaturi, formulare, pagini de logare, continut dinamic, forumuri de discutii si blogguri.
Solutii de scanare a aplicatiilor web
Acunetix Web Vulnerability Scanner
Application Security Inc. AppDetective
Imperva SecureSphere Dymanic Profiling Firewall
Kavado Scando Web application scanner
Watchfire AppScan
AppScan DE
SPI Dynamics WebInspect
Sursa: Site-urile web ale companiilor
Piratarea aplicatiilor web high-profile
Bresa din sistemul de securitate al aplicatiilor web este exploatata de hackerii din întreaga lume. În urma unui studiu efectuat de catre Gartner Group, aproximativ trei patrimi din toate atacurile de pe internet au ca tinta aceste aplicatii.
Primul atac a fost comis în 2000 de un tânar norvegian în vârsta de 17 ani. În timp ce efectua tranzactii online cu o banca, tânarul a observat ca URL-urile paginilor pe care le deschidea afisau numarul sau de cont ca fiind unul dintre parametri. Apoi a înlocuit numarul sau de cont cu alte numere de cont alese la întâmplare, apartinând unor clienti ai bancii, obtinând astfel accesul la conturile si la datele personale ale acestora.
La 31 octombrie 2001, site-ul web al Acme Art Inc. a fost atacat si toate numerele cartilor de credit din baza de date online au fost extrase si afisate într-un grup de stiri al Usenet. Aceasta încalcare a fost facuta publica de mass-media, iar compania a pierdut sute de mii de dolari din cauza numeroaselor ordine de retragere de numerar din cont ale clientilor îngrijorati. A pierdut, de asemenea, faza a doua a negocierilor pentru finantare cu o firma de plasament al investitiilor.
La fel, raportul privitor la cifra de afaceri din 2002 al unei companii suedeze a fost accesat înainte ca el sa fie publicat oficial. Intrusul nu a facut decât sa schimbe parametrul „an“ în URL-ul raportului din anul precedent pentru a avea acces complet la informatiile din 2002.
Într-un alt incident din 2002, candidatii la Harvard Business School au accesat pagina cu rezultatele admiterii înainte ca ele sa fie anuntate oficial, prin manipularea aplicatiei web online. Aceasta aplicatie terta a fost folosita si de alte universitati. Dupa primirea raspunsurilor privitoare la candidaturile de la aceste scoli, candidatii au examinat URL-ul aferent raspunsului si au gasit doi parametri care descriau ID-urile unice ale studentilor institutiilor de învatamânt respective. Apoi, înlocuiau valorile în cei doi parametri ai URL-ului paginii de raspuns cu ID-urile lor de la Harvard, ceea ce permitea accesul la informatiile dorite. Aceasta procedura, afisata pe un forum online businessweek.com, a fost adoptata ulterior de peste o suta de studenti dornici sa afle rezultatele la candidaturile lor. Când autoritatile au detectat scurgerile de informatie, studentii în cauza au fost respinsi.
ÃŽn iunie 2003 hackerii au observat ca aplicatiile web ale marcii de moda Guess si ale distribuitorului de hrana pentru animale PetCo contineau SQL injection vulnerabilities. Prin urmare, informatiile despre cartile de credit ale unui numar de peste cinci sute de mii de clienti au fost furate.
Cum se pirateaza aplicatiile web
Hackerii detin un vast arsenal de mecanisme de atac, din care îl pot alege pe cel mai potrivit unei vulnerabilitati particulare. Ei au un plan de actiune foarte sistematic, parcurgând urmatorii pasi:
u studierea infrastructurii serverului si a sistemului de operare/a tipului de server: dupa ce se analizeaza mai întâi proprietatile si tipul serverului ce va fi piratat, ca de pildă si sistemul de operare de pe el, este initiata scanarea porturilor pentru a le detecta pe cele deschise HTTP si HTTPS, astfel încât sa fie gasit portul care urmeaza sa fie atacat;
u examinarea site-ului web/a aplicatiei: este examinat site-ul web pentru a vedea daca exista brese ce ar putea fi exploatate, acestea putând lua forma de feedback sau de chestionar online care utilizeaza variabile GET si POST pe care hackerii le folosesc în avantajul lor. De asemenea, se inspecteaza autentificarea si paginile de logare pentru a vedea daca serverul se poate accesa de acolo. Succesul acestei metode a fost evident înca de la cazul tânarului norvegian, din 2000. Acesta a reusit sa treaca de etapa de autentificare prin marcarea paginii-tinta dupa autentificarea de la vizita initiala. Un hacker bun va studia aproape fiecare element interactiv de pe o pagina de internet pentru a obtine accesul la server. El trebuie, de asemenea, sa studieze scriptul aplicatiei pentru a vedea daca exista vreo problema de functionare ce poate fi exploatata;
u verificarea input validation, consta în validarea folosita de cele mai multe aplicatii web pentru a determina daca data input este sigura si validata; informatiile nesigure sunt refuzate si nu vor mai fi procesate. Neglijenta este o prima cale de acces pentru hackeri. Daca ei reusesc sa pacaleasca input validation check post, atunci vor putea folosi aceasta cale pentru a trimite semnale false catre server;
u începerea atacului: dupa examinarea tuturor elementelor mentionate, de la server si pâna la aplicatia în sine, si dupa izolarea tuturor breselor si a tuturor zonelor vulnerabile, hackerul va începe atacul.
Modalitatile preferate de atac ale hackerilor
SQL injection: hackerul transmite comenzi de cereri SQL bazei de date care se gaseste pe servere prin aplicatia web. Aceasta se poate face în doua moduri: comenzile SQL sunt introduse în câmpurile de pe pagina web ori sunt adăugate în parametrii input ceruti. Astfel, hackerul reuseste sa porneasca comenzile SQL pe server.
Cross-site scripting: hackerul insereaza informatii false pe o pagina web dinamica. Site-urile care includ doar pagini statice detin controlul asupra interactiunii cu utilizatorii pentru ca astea sunt de tip read-only, deci pot fi doar vizualizate, fara a se putea actiona asupra lor. O pagina dinamica este deschisa interactiunii cu utilizatorii, deci pot fi inserate informatii cu continut fals fara ca aplicatia web sa poata face diferenta între un astfel de continut si unul inofensiv. Cheia vulnerabilitatii CSS consta în faptul ca un hacker poate face ca serverul web sa trimita o pagina cu continut fals unui utilizator care nu banuieste nimic, ulterior putând transfera informatiile despre acel utilizator pe un alt server.
Atacurile directory traversal: prin acest tip, denumit si atac ../ (punct punct bara oblica), aplicatia web este manipulata pentru a se obtine accesul la fisiere sau la alte resurse de pe server care în mod natural nu sunt accesibile. Atacul functioneaza prin schimbarea parametrului pe care o aplicatie l-ar folosi la accesarea unui anumit fisier. De exemplu, sa presupunem ca valoarea parametrului conține calea unui anumit fisier. Prin plasarea ../ la începutul valorii parametrului, aplicatia este fortata sa acceseze fisierul din director. Prin plasarea unei serii de ../ si apoi prin schimbarea numelui fisierului, se poate recupera un anumit fisier dintr-un director.
Manipularea parametrilor: aceasta metoda presupune manipularea informatiilor transmise între browser si aplicatia web si se poate efectua în urmatoarele moduri:
- manipularea cookie-urilor: cookie-urile mentin un anumit statut în HTTP, prin stocarea preferintelor utilizatorilor si a informatiilor legate de updatarea sesiunilor, putând fi schimbate la terminalul clientului si apoi transmise serverului cu cererile URL. Astfel, un hacker poate manipula cu usurinta informatiile regasite într-un cookie.
- manipularea antetului HTTP: antetele HTTP constau în controlul informatiilor trimise de clientul web catre serverul web pe durata cererii HTTP, si apoi trimise de la serverele web catre clientii web pe durata raspunsurilor HTTP. Hackerii pot modifica cu usurinta aceste antete, pentru ca ele sunt formulate de client.
- manipularea câmpurilor HTML: câmpurile contin valori ale tuturor casutelor bifate, ale butoanelor de radio selectate, ale textelor inserate sau ale oricarei alte actiuni efectuate de un utilizator pe o anumita pagina web. Aceste informatii sunt trimise catre server. Mai mult, exista probabilitatea existentei unor câmpuri ascunse ce nu pot fi vazute de utilizator, iar aceste câmpuri sa fie trimise serverului. Un potential hacker poate manipula aceste câmpuri pentru a trimite orice valori. Un exemplu pentru acest tip de manipulare consta în efectuarea unui click-dreapta pe pagina web pentru a vedea codul sursa, apoi pentru a-l corupe, a salva schimbarile si ulterior pentru a reîncarca pagina pe browser.
- manipularea URL: formele HTML mentionate mai sus trec printr-un proces ce necesita afisarea unui anumit rezultat la utilizator înainte ca rezultatul respectiv sa fie afisat pe pagina web. URL-ul acestei pagini va contine toate numele câmpurilor si valorile lor respective care pot fi manipulate foarte usor.
Protectia optima: un scaner pentru aplicatiile web
Un scaner pentru aplicatiile web este un program automat de securitate care cauta puncte vulnerabile ale softului în aplicatiile web. Un astfel de program studiaza întregul site web, analizând în profunzime fiecare fisier pe care îl gaseste si afisând apoi toata structura site-ului. Dupa aceasta etapa, scanerul efectueaza un audit automat pentru punctele vulnerabile la nivel de securitate, lansând o serie de atacuri. Apoi cauta puncte vulnerabile pe serverul web si chiar la alte servicii web.
Cele mai importante trasaturi ale scanerelor pentru aplicatiile web sunt:
- abilitatea de a analiza diferite tehnologii web, cum ar fi PHP, ASP.NET, ASP etc.
- abilitatea de scalare: rapiditate în procesarea site-urilor web extraordinar de mari
- abilitatea de a realizează efecte citibile si asupra carora se poate interveni fara cunostinte solide în domeniul securitatii web.
Securizarea aplicatiilor web este imperativa
Atacurile asupra aplicatiilor web cresc în ritm alert. Conform unui raport al Computer Emergency Response Team (CERT), numarul atacurilor reusite este în crestere, de la circa 60% în 2002, la 80% în 2003. Daca nivelul de încalcare a aplicatiilor web va continua sa creasca în acelasi ritm, încrederea clientilor se va diminua. Dupa cum a observat si Gartner, aceste atacuri produc îngrijorare în rândurile clientilor, care nu vor mai efectua achizitii online de teama aparitiei scurgerilor de informatii privitoare la cartile de credit.
Daca organizatiile nu vor recunoaste vulnerabilitatile aplicatiilor web, hackerii vor avea frâu liber la atacarea breselor din sistemul de securitate. Ei pun accentul pe aplicatiile web pentru ca acestea le ofera câstiguri financiare, iar metodele lor de atac devin din ce în ce mai avansate si mai greu de prevenit.
Singura modalitate de a combate amenintarea securitatii aplicatiilor web este de a scana proactiv site-urile si aplicatiile web în cautarea punctelor vulnerabile, pentru a le putea remedia. Implementarea solutiei de scanare trebuie sa reprezinte o parte excepțional de importanta din strategia de ansamblu a oricarei companii. |
|
Timp liber
