Phenquestions
Turinys
- Duomenų bazės injekcija
- Sugedęs autentifikavimas
- Jautrių duomenų poveikis
- XML išoriniai subjektai (XEE)
- Sugadinta prieigos kontrolė
- Neteisinga saugumo konfigūracija
- Skirtingų svetainių scenarijai (XSS)
- Nesaugi deserializacija
- Komponentų su žinomais pažeidžiamumais naudojimas
- Nepakankamas registravimas ir stebėjimas
Duomenų bazės injekcija:
Tuo atveju, kai vertėjui žodžiu kaip komandos dalis siunčiama nepatikimų duomenų, per bet kurią sritį, į kurią įeina vartotojo i.Formos įvestyje ar kitoje duomenų pateikimo srityje atsiranda injekcijos trūkumų. Užpuoliko kenkėjiškos užklausos gali apgauti vertėją vykdant komandas, kurios gali parodyti konfidencialius duomenis, į kuriuos vartotojas neturi leidimo žiūrėti. Pvz., Naudojant SQL injekcijos ataką, kai formos įvestis nėra tinkamai išvalyta, užpuolikas gali įeiti į SQL duomenų bazę ir pasiekti jos turinį be leidimo, tiesiog įvesdamas kenkėjišką SQL duomenų bazės kodą formoje, kuri tikisi paprasto teksto. Bet kokio tipo laukas, į kurį įeina vartotojo įvestis, yra injekcinis, t.parametrai, aplinkos kintamieji, visos žiniatinklio paslaugos ir kt.
Programa yra pažeidžiama injekcijos ataka, kai vartotojo pateikti duomenys nėra išvalomi ir nepatvirtinti, naudojant dinamines užklausas, neištrūkus iš konteksto ir tiesiogiai naudojant priešiškus duomenis. Įpurškimo trūkumus galima lengvai atrasti tikrinant kodą ir naudojant automatinius įrankius, tokius kaip skaitytuvai ir fuzzeriai. Siekiant užkirsti kelią injekcijos atakoms, galima imtis tam tikrų priemonių, pavyzdžiui, atskirti duomenis nuo komandų ir užklausų, naudoti saugią API, kuri suteikia parametruotą sąsają, „baltojo sąrašo“ serverio pusės įvesties patvirtinimas naudojant tokius įrankius kaip „Snort“, specialiųjų simbolių pabėgimas naudojant specifinę pabėgimo sintaksę ir kt.
Įpurškimo ataka gali sukelti didžiulį duomenų praradimą, konfidencialios informacijos atskleidimą, prieigos atsisakymą ir netgi visišką paraiškos perėmimą. Kai kurie SQL valdikliai, pvz., LIMIT, gali būti naudojami milžiniškam duomenų praradimui kontroliuoti užpuolimo atveju. Kai kurios injekcijos atakų rūšys yra SQL, OS, NoSQL, LDAP injekcijos atakos.
Sugadintas autentifikavimas:
Užpuolikai gali naudotis vartotojų abonementais ir netgi sugadinti visą prieglobos sistemą per administratoriaus paskyras, naudodamiesi autentifikavimo sistemų pažeidžiamumais. Autentifikavimo trūkumai leidžia užpuolikui sugadinti slaptažodžius, seanso žetonus, autentifikavimo raktus ir gali būti susieti su kitomis atakomis, dėl kurių laikinai ir kai kuriais atvejais visam laikui gali būti neteisėtai pasiekta bet kuri kita vartotojo paskyra ar seansas. Tarkime, kad vartotojas turi milijonų galiojančių vartotojo vardų ir slaptažodžių, gautų pažeidimo metu, žodžių sąrašą arba žodyną. Jis gali juos naudoti po vieną per labai trumpą laiką naudodamas automatizuotus įrankius ir scenarijus prisijungimo sistemoje, norėdamas sužinoti, ar kas nors dirba. Dėl netinkamo tapatybės valdymo ir prieigos kontrolės diegimo atsiranda pažeidžiamumas, pvz., Sugadintas autentifikavimas.
Programa yra neapsaugota nuo atpažinimo atakos, kai leidžia išbandyti skirtingus naudotojų vardus ir slaptažodžius, leidžia žodyno išpuolius ar žiaurios jėgos išpuolius be jokios gynybos strategijos, naudoja paprastus, numatytuosius slaptažodžius ar slaptažodžius, kurie nutekėjo per bet kokį pažeidimą, atskleidžia sesijos ID URL, naudoja prasta slaptažodžių atkūrimo schema, naudojama slapukų schema. Sugadintą autentifikavimą galima lengvai išnaudoti naudojant paprastus įrankius, skirtus žiauriai priversti veržtis, ir žodynų atakoms su geru žodynu. Šio tipo atakų galima išvengti naudojant daugiakomponentes autentifikavimo sistemas, atliekant silpnus slaptažodžių patikrinimus vykdant slaptažodį per blogų slaptažodžių duomenų bazę, nenaudojant numatytųjų kredencialų, suderinant slaptažodžių sudėtingumo politiką ir naudojant gerą serverio pusę sesijos valdytojas, kuris sugeneruoja naują atsitiktinį sesijos ID po prisijungimo ir kt.
Dėl sugedusio autentifikavimo pažeidžiamumo gali būti pažeistos kelios vartotojo abonementai ir administratoriaus abonementai, tai yra viskas, ko reikia, kad užpuolikas pažeistų sistemą. Tokio tipo išpuoliai veda prie tapatybės vagystės, sukčiavimo socialinės apsaugos srityje, pinigų plovimo ir labai slaptos informacijos atskleidimo. Atakos apima žodyno atakas, žiaurų prievartą, sesijų užgrobimą ir sesijų valdymo išpuolius.
Jautrių duomenų poveikis:
Kartais žiniatinklio programos neapsaugo neskelbtinų duomenų ir informacijos, tokios kaip slaptažodžiai, duomenų bazės duomenys ir kt. Užpuolikas gali lengvai pavogti ar pakeisti šiuos silpnai saugomus kredencialus ir naudoti juos neteisėtais tikslais. Delikatūs duomenys turėtų būti užšifruoti ramybės būsenoje ar gabenimo metu ir turėti papildomą apsaugą, kitaip užpuolikai gali juos pavogti. Užpuolikai gali gauti naudos iš neskelbtinų duomenų ir iš serverio ar žiniatinklio naršyklės pavogti maišos ar išvalyti teksto vartotojus ir duomenų bazės kredencialus. Pvz., Jei slaptažodžių duomenų bazėje slaptažodžiams laikyti naudojama nesūdyta arba paprasta maiša, failo įkėlimo trūkumas gali suteikti užpuolikui galimybę gauti slaptažodžių duomenų bazę, dėl kurios visi slaptažodžiai bus rodomi iš anksto apskaičiuotų maišų vaivorykštine lentele.
Pagrindinis trūkumas yra ne tik tai, kad duomenys nėra šifruojami, net jei jie yra užšifruoti, tačiau silpnas raktų generavimas, silpni maišos algoritmai, silpnas šifro naudojimas taip pat gali sukelti tokio tipo vienas iš dažniausiai pasitaikančių atakų. Norėdami užkirsti kelią tokio tipo atakoms, pirmiausia klasifikuokite, kurie duomenys pagal privatumo įstatymus gali būti laikomi neskelbtinais, ir pritaikykite kontrolę pagal klasifikaciją. Stenkitės nesaugoti įslaptintų duomenų, kurių jums nereikia, išplaukite juos iškart, kai juos panaudosite. Siunčiamus duomenis užšifruokite saugiais protokolais, t.e. TLS su PFS šifrais ir kt.
Tokio tipo pažeidžiamumas gali sukelti labai neskelbtiną informaciją, pvz., Kreditinių kortelių duomenis, sveikatos įrašus, slaptažodžius ir kitus asmeninius duomenis, kurie gali sukelti asmens tapatybės vagystes, sukčiavimą banke ir kt.
XML išoriniai subjektai (XEE):
Blogai sukonfigūruoti XML procesoriai apdoroja išorinių objektų nuorodas XML dokumentuose. Šie išoriniai subjektai gali būti naudojami norint gauti vidinių failų duomenis, pvz., / etc / passwd failą arba atlikti kitas kenkėjiškas užduotis. Pažeidžiamus XML procesorius galima lengvai išnaudoti, jei užpuolikas gali įkelti XML dokumentą arba įtraukti XML ir kt. Šiuos pažeidžiamus XML objektus galima atrasti naudojant SAST ir DAST įrankius arba rankiniu būdu tikrinant priklausomybes ir konfigūracijas.
Žiniatinklio programa yra pažeidžiama XEE atakos dėl daugelio priežasčių, pavyzdžiui, jei programa priima tiesioginį XML įvestį iš nepatikimų šaltinių, programoje įgalinami dokumentų tipo apibrėžimai (DTD), programa naudoja SAML tapatybės apdorojimui, nes SAML naudoja XML tapatybei intarpai ir kt. XEE išpuolius galima sušvelninti vengiant neskelbtinų duomenų serizavimo, naudojant mažiau sudėtingus duomenų formatus, t.JSON, plečiant XML procesorius, programa naudojasi net ir bibliotekomis, išjungia DTD visuose XML analizatoriuose, patvirtina XML failų įkėlimo funkcijas, naudodama XSD patikrą ir kt.
Programa, pažeidžiama šio tipo atakoms, gali sukelti DOS ataką, milijardo juoko ataką, vidinių sistemų nuskaitymą, vidinių prievadų nuskaitymą, nuotolinės komandos vykdymą, kuris paveikia visus programos duomenis.
Sugadinta prieigos kontrolė:
Prieigos kontrolė suteikia vartotojams privilegijas atlikti konkrečias užduotis. Pažeistas prieigos kontrolės pažeidžiamumas įvyksta, kai vartotojams nėra tinkamai apribotos užduotys, kurias jie gali atlikti. Užpuolikai gali išnaudoti šią spragą, kuri gali baigtis prieiga prie neteisėtų funkcijų ar informacijos. Tarkime, kad žiniatinklio programa leidžia vartotojui pakeisti paskyrą, prie kurios jis prisijungęs, tiesiog pakeisdamas URL į kito vartotojo paskyrą be tolesnio patikrinimo. Prieigos kontrolės pažeidžiamumo naudojimas yra bet kurio užpuoliko ataka, kurią galima rasti rankiniu būdu, taip pat naudojant SAFT ir DAFT įrankius. Šie pažeidžiamumai egzistuoja dėl to, kad trūksta bandymų ir automatinio žiniatinklio programų aptikimo, nors geriausias būdas jas rasti yra tai padaryti rankiniu būdu.
Pažeidžiamosiose vietose yra privilegijų eskalavimas, t.elgdamiesi kaip vartotojas nesate arba esate administratorius, kol esate vartotojas, apeinant prieigos kontrolės patikrinimus tik pakeičiant URL arba pakeičiant programos būseną, manipuliuojant metaduomenimis, leidžiant pagrindinį raktą pakeisti kaip kito vartotojo pagrindinį raktą, ir pan. Norėdami užkirsti kelią tokio tipo atakoms, prieigos kontrolės mechanizmai turi būti įdiegti serverio kode, kur užpuolikai negali modifikuoti prieigos valdiklių. Unikalių programų verslo apribojimų vykdymas pagal domeno modelius, serverių katalogų sąrašų išjungimas, įspėjimo administratorius apie pakartotinius nepavykusius prisijungimo bandymus, JWT žetonų anuliavimas po atsijungimo, norint sušvelninti šių rūšių atakas.
Užpuolikai gali veikti kaip kitas vartotojas ar administratorius, naudodamas šį pažeidžiamumą kenkėjiškoms užduotims atlikti, pvz., Kurti, ištrinti ir modifikuoti įrašus ir kt. Didelis duomenų praradimas gali įvykti, jei duomenys nėra apsaugoti net ir po pažeidimo.
Neteisinga saugos konfigūracija:
Dažniausias pažeidžiamumas yra neteisinga saugumo konfigūracija. Pagrindinė pažeidžiamumo priežastis yra numatytosios konfigūracijos naudojimas, neišsami konfigūracija, specialiosios konfigūracijos, blogai sukonfigūruotos HTTP antraštės ir išsamūs klaidos pranešimai, kuriuose yra daugiau informacijos, nei vartotojas iš tikrųjų turėjo žinoti. Bet kuriame žiniatinklio programos lygyje gali būti neteisingos saugos konfigūracijos, t.el. duomenų bazė, interneto serveris, programų serveris, tinklo paslaugos ir kt. Užpuolikai gali išnaudoti nepašalintas sistemas arba pasiekti neapsaugotus failus ir katalogus, kad sistemoje būtų neteisėtai sulaikyti. Pvz., Programoje yra pernelyg daug klaidų pranešimų, kurie padeda užpuolikui sužinoti programų sistemos spragas ir jos veikimo būdą. Šio tipo saugumo trūkumams aptikti gali būti naudojami automatiniai įrankiai ir skaitytuvai.
Žiniatinklio programoje yra šio tipo pažeidžiamumas, jei bet kurioje programos dalyje trūksta saugumo užtikrinimo priemonių, yra atidaryti nereikalingi prievadai arba ji įgalina nereikalingas funkcijas, naudojami numatytieji slaptažodžiai, klaidų tvarkymas užpuolikui atskleidžia per informacines klaidas. nepataisyta ar pasenusi saugos programinė įranga ir kt. To galima išvengti pašalinus nereikalingas kodo funkcijas, t.Minimali platforma be nereikalingų funkcijų, dokumentų ir kt., leidžianti užduotį atnaujinti ir užtaisyti saugos spragas kaip pleistro valdymo procesų dalį, proceso naudojimas siekiant patikrinti saugumo priemonių, kurių buvo imtasi, veiksmingumą, pakartotinio grūdinimo proceso naudojimas lengva įdiegti kitą tinkamai užrakintą aplinką.
Šio tipo pažeidžiamumas ar trūkumai leidžia užpuolikui gauti neteisėtą prieigą prie sistemos duomenų, o tai lemia visišką sistemos kompromitavimą.
Kelių svetainių scenarijai (XSS):
XSS pažeidžiamumas įvyksta tuo metu, kai žiniatinklio programa įtraukia nepatikimus duomenis į naują svetainės puslapį be teisėto patvirtinimo ar pabėgimo, arba atnaujina dabartinį svetainės puslapį kliento pateiktais duomenimis, naudodama naršyklės API, galinčią sukurti HTML ar „JavaScript“. XSS trūkumai atsiranda tuo atveju, jei svetainė leidžia vartotojui pridėti pasirinktinį kodą į URL kelią, kurį gali matyti kiti vartotojai. Šie trūkumai naudojami norint paleisti kenkėjišką „JavaScript“ kodą tikslo naršyklėje. Tarkime, užpuolikas gali nusiųsti aukai nuorodą, kurioje yra nuoroda į bet kurios įmonės svetainę. Šiame ryšyje gali būti įterptas tam tikras kenkėjiškas „JavaScript“ kodas. Tuo atveju, jei banko tinklalapis nėra tinkamai apsaugotas nuo XSS atakų, spustelėjus nuorodą, kenksmingas kodas bus paleistas aukos naršyklėje.
Kelių svetainių scenarijai yra saugos pažeidžiamumas, kuris yra beveik ⅔ žiniatinklio programų. Programa yra pažeidžiama XSS, jei programa saugo nesanizuotą vartotojo įvestį, kurią gali pamatyti kitas vartotojas, naudodamas „JavaScript“ struktūras, vieno puslapio programas ir API, galingai į puslapį įtraukiančias užpuoliko valdomą informaciją, yra bejėgiai prieš DOM XSS. XSS atakas galima sušvelninti naudojant sistemas, kurios iš prigimties išvengia ir dezinfekuoja XSS įvestį, pvz., „React JS“ ir kt., Išmokdami karkasų apribojimus ir juos aprėpdami naudodami savo atvejus, išvengdami nereikalingų ir nepatikimų HTML duomenų visur.HTML atributuose, URI, „Javascript“ ir kt., kontekstinio kodavimo naudojimas modifikuojant dokumentą kliento pusėje ir kt.
XSS pagrįstos atakos yra trijų tipų, t.e Atspindėtas XSS, DOM XSS ir saugomas XSS. Visos šių atakų rūšys turi didelį poveikį, tačiau „Stored XSS“ atveju poveikis yra dar didesnis, t.elektroninių dokumentų vagystė, kenkėjiškos programos siuntimas aukai ir kt.
Nesaugi deserializacija:
Duomenų serijavimas reiškia objektų paėmimą ir pavertimą bet kokiu formatu, kad vėliau šiuos duomenis būtų galima naudoti kitiems tikslams, o duomenų deserializavimas reiškia priešingai. Dezerializavimas išpakuoja šiuos serijinius duomenis, kad būtų galima naudoti programas. Nesaugus dezerializavimas reiškia duomenų, kurie buvo supakuoti prieš tai, kurie bus išpakuoti ar deserializuoti, grūdinimą. Dėl nesaugaus deserializavimo vykdomas nuotolinis kodo vykdymas ir jis naudojamas kitoms užduotims atlikti kenksmingais tikslais, pvz., Privilegijų eskalavimui, injekcijos atakoms, pakartojimų atakoms ir kt. Yra keletas įrankių, leidžiančių nustatyti tokio pobūdžio trūkumus, tačiau norint patvirtinti problemą, dažnai reikalinga žmogaus pagalba. Išnaudoti deserializaciją yra šiek tiek sunku, nes išnaudojimai neveiks be tam tikrų rankinių pakeitimų.
Kai programa deserializuoja kenkėjiškus objektus, kuriuos pateikia užpuolęs subjektas. Tai gali sukelti dviejų rūšių atakas, t.Su duomenų struktūra ir objektais susijusios atakos, kuriose užpuolikas modifikuoja programos logiką arba vykdo nuotolinį kodą, ir tipiškos duomenų klastojimo atakos, kai esamos duomenų struktūros naudojamos su modifikuotu turiniu, pavyzdžiui, su prieigos valdymu susijusios atakos. Serializavimas gali būti naudojamas nuotoliniame procesų ryšyje (RPC) arba tarpprocesiniame ryšyje (IPC), duomenų talpykloje, žiniatinklio tarnybose, duomenų bazių talpyklos serveryje, failų sistemose, API autentifikavimo žetonuose, HTML slapukuose, HTML formos parametruose ir kt. Dezerializacijos išpuolius galima sušvelninti nenaudojant serijinių objektų iš nepatikimų šaltinių, vykdant vientisumo patikrinimus, išskiriant žemai privilegijuotoje aplinkoje veikiantį kodą, stebint gaunamus ir išeinančius tinklo ryšius iš serverių, kurie dažnai deserializuojasi.
Komponentų su žinomais pažeidimais naudojimas:
Skirtingus komponentus, pvz., Bibliotekas, sistemas ir programinės įrangos modulius, dauguma programinės įrangos kūrėjų naudoja. Šios bibliotekos padeda kūrėjui išvengti nereikalingo darbo ir suteikia reikalingą funkciją. Užpuolikai koordinuoja ataką ieškodami šių komponentų trūkumų ir pažeidžiamumų. Radus saugos spragą komponente, visos svetainės, naudojančios tą patį komponentą, gali būti pažeidžiamos. Šių pažeidžiamumų išnaudojimas jau yra prieinamas, o parašyti pasirinktinį išnaudojimą nuo nulio reikalauja daug pastangų. Tai yra labai dažna ir plačiai paplitusi problema. Didelio komponentų kiekio naudojimas kuriant žiniatinklio programą gali net nežinoti ir nesuprasti visų naudojamų komponentų, visų komponentų pataisymas ir atnaujinimas yra ilgas žingsnis.
Programa yra pažeidžiama, jei kūrėjas nežino naudojamo komponento versijos, programinė įranga yra pasenusi, t.Operacinė sistema, DBVS, veikia programinė įranga, vykdymo trukmės aplinka ir bibliotekos, pažeidžiamumas nėra reguliariai tikrinamas, kūrėjai netikrina pataisytos programinės įrangos suderinamumo. To galima išvengti pašalinant nepanaudotas priklausomybes, failus, dokumentus ir bibliotekas, reguliariai tikrinant kliento ir serverio komponentų versiją, gaunant komponentus ir bibliotekas iš oficialių ir patikimų saugių šaltinių, stebint nepriimtas bibliotekas ir komponentus, užtikrinant planą reguliariai atnaujinti ir pataisyti pažeidžiamus komponentus.
Šie pažeidžiamumai sukelia nedidelį poveikį, tačiau taip pat gali pakenkti serveriui ir sistemai. Daug didelių pažeidimų buvo pagrįsti žinomais komponentų pažeidžiamumais. Pažeidžiamų komponentų naudojimas kenkia apsaugos priemonėms ir gali būti atspirties taškas dideliam išpuoliui.
Nepakankamas registravimas ir stebėjimas:
Dauguma sistemų nesiima pakankamai priemonių ir veiksmų duomenų pažeidimams nustatyti. Vidutinis įvykio atsakymo laikas yra 200 dienų nuo įvykio, tai yra daug laiko, kad padarytum visus nemalonius dalykus puolančiam subjektui. Nepakankamas registravimas ir stebėjimas leidžia užpuolikui toliau atakuoti sistemą, palaikyti sistemos sulaikymą, klastoti, laikyti ir išgauti duomenis pagal poreikį. Užpuolikai naudojasi stebėjimo ir reagavimo trūkumu savo naudai, kad atakuotų interneto programą.
Nepakankamas registravimas ir stebėjimas atsiranda bet kuriuo metu, t.Programų, kurios nėra stebimos dėl neįprastos veiklos, žurnalai nėra tinkamai užregistruojami, įspėjimai ir klaidos generuoja neaiškius klaidų pranešimus, nėra įspėjimo apie pentestavimą naudojant automatinius DAST įrankius, nesugebama aptikti arba greitai įspėti apie aktyvias atakas ir pan. Tai gali būti sušvelninta užtikrinant, kad visi prisijungimo, prieigos kontrolės gedimai ir serverio pusės įvesties patvirtinimas gali būti užregistruoti, kad būtų galima identifikuoti kenkėjišką vartotojo abonementą ir laikyti pakankamai laiko, kad būtų galima atlikti uždelstą teismo ekspertizę, užtikrinant, kad sugeneruoti žurnalai būtų formato. suderinamas su centralizuotais žurnalo valdymo sprendimais užtikrinant didelės vertės operacijų vientisumo patikrinimus, sukuriant savalaikių įspėjimų apie įtartiną veiklą sistemą ir kt.
Dauguma sėkmingų išpuolių prasideda tikrinant ir tiriant sistemos pažeidžiamumą, leidžiant atlikti šiuos pažeidžiamumus, gali būti pažeista visa sistema.
Išvada:
Žiniatinklio programos saugos pažeidžiamumas veikia visus su ta programa susijusius subjektus. Norint užtikrinti saugią ir saugią aplinką vartotojams, reikia pasirūpinti šiais pažeidžiamumais. Užpuolikai gali naudoti šias spragas, norėdami pakenkti sistemai, pasinaudoti ja ir išplėsti privilegijas. Pažeistos žiniatinklio programos poveikį galima pavaizduoti nuo pavogtų kredito kortelių duomenų ir tapatybės vagystės iki labai konfidencialios informacijos nutekinimo ir kt. priklausomai nuo kenkėjiškų subjektų poreikių ir atakų pernešėjų.
