Alexandro Silva

1. 12 e 13 de agosto 2011 – Rio de janeiro/RJ

2. Proteja sua Hovercraft:
Mantendo sua nave livre dos
sentinelas
Alexandro Silva
alexos@alexos.org
http://alexos.org
@alexandrosilva

3. • Analista de segurança;
• Professor na Pós-graduação
em Segurança da
Informação;
• Consultor independente em
Segurança da Informação
com expertise em tecnologias
Open-Source.

4. Porque proteger seus sistemas
disponibilizados na Web?
• Para manter a integridade e disponibilidade
dos dados da sua organização;
• Para evitar que ataques como SQLi ,XSS entre
outros* afetem seus sistemas e a
imagem/produto da sua empresa.
* OWASP Top Ten - http://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

6. E agora?!?! O que fazer??

7. Segurança coorporativa:
✔ Política de segurança:
● Normatização, Conscientização.
✔ Proteção de borda:
● Firewall ( IPS, Webanalyzer, AV, Antispam, etc).
✔ Proteção em profundidade:
● Antivírus, HIDS.
● E…

8. … Mão de obra especializada!!

9. Metodologia PDHM
• Plan - Planejar
• Deploy - Implantar
• Harden - Fortalecer
• Monitor - Monitorar

10. Implantar ( Deploy )
O dilema da atualização:
●
● “Requisitos” da aplicação;
● Confiança na plataforma:
● Ex: FreeBSD, OpenBSD, Solaris
● MEDO!!!

11. Fortalecer ( Harden )
• Hardening
• Remoção dos serviços desnecessários;
• Política de senhas;
• Antivírus;
• Camadas extras de segurança ( e.g. SELinux ).

12. Fortalecer ( Harden )
Checklist Linux
● Hntool - http://migre.me/3SQHQ
● Linux Sec. Checklist Tool -
http://migre.me/3SQFY
● Bastille Linux - http://migre.me/3SRm3

13. Fortalecer ( Harden )
Checklist Windows
• Security Configuration Wizard - Incluído no
W2k3 e W2k8
• Harden-It - http://migre.me/3SQJR

14. Hands On
● Vulnerabilidades na infraestrutura:
● Falhas na configuração dos serviços ( Apache
e PHP )
● Vulnerabilidades no desenvolvimento:
● SQLi, XSS, RFI, LFI

15. Exploração - Hands On
• Vulnerabilidades no Apache e PHP
o nikto -h hackme
– Infos do Apache e PHP;
» Apache/2.2.9 (Debian) PHP/5.2.6-1+lenny9
– Vulnerabilidade do Xmlrpc;
» /xmlrpc.php: xmlrpc.php was found.

16. Exploração - Hands On
● Remote Code Execution Exploitation PoC
● php wpx.php -h http://hackme -c 'system("id;uname -a");
● php wpx.php -h http://hackme -c 'system("cat wp-config.php");

17. Harden - Hands On
• Ajustes no servidor Web
o Editar o /etc/apache2/conf.d/security
ServerTokens Prod
ServerSignature Off
TraceEnable Off

18. Harden - Hands On
• Ajustes no PHP
allow_url_fopen = Off # Impede RFI e LFI
display_errors = Off # Impede a exibição das mensagens de erros
magic_quotes_gpc = Off # Impede a execução de caracteres especiais Protege
contra ataques de SQLi
allow_url_include = Off # Impede o acesso a arquivos remotos, evitando injeção de
código malicioso.
expose_php = Off # Impede a exibição das informações sobre o PHP
register_globals = Off # Impede a execução de string maliciosas devido a falhas no
desenvolvimento.

19. Exploração - Hands On
● Testando:
● nikto -h hackme
● Remote Code Execution Exploitation PoC
● php wpx.php -h http://hackme -c 'system("id;uname -a");

20. Exploração - Hands On
●
Vulnerabilidades no desenvolvimento:
●
Vitima: http://hackme
●
SQLi teste: http://hackme/index.php?cat=1'

21. Harden - Hands On
• Camada extra de segurança
o Ossec Hids
Projeto do brasileiro Daniel Cid que integra
análise de log, checagem de integridade de
arquivos, monitoramento do registro do Windows,
politica centralizada, detecção de rootkit, alerta
em tempo real e resposta automática.

23. Monitorar
• Acompanhar desempenho e a
segurança é muito importante.
• Ferramentas:
o Munin
o Zabbix ou Nagios
o Ossec HIDS

25. Contatos
Email: alexos@alexos.org
Site: http://alexos.org
Twitter:@alexandrosilva