Armadilhas comuns em desenvolvimento...

1. Development Pitfalls
11 de julho de 2014
Apresentação:
®

2. Development Pitfalls
2/ 34
®
Quem sou ?
Antonio Costa “Cooler_”
●
Experiência de 4 anos em desenvolvimento de sistemas web
e web spiders em geral, automações diversas, soluções
diversas para problemas em unix...
●
Desenvolvedor, pesquisador...
●
Faço parte do grupo de pesquisa BugSec.
●
Programador em ASM, C, C++,Common
Lisp(SBCL,Clisp),Perl,PHP,Python...
●
Trabalho na CONVISO.
https://github.com/CoolerVoid/
http://code.google.com/p/bugsec/
@Cooler_freenode

3. Development Pitfalls
3/ 34
®
Development Pitfalls

4. Development Pitfalls
4/ 34
®

5. Development Pitfalls
5/ 34
®
Versionamento
● CVS
● .cvsignore
● GIT
● .git/info/exclude
● .gitignore
● SVN
● .svnignore

6. Development Pitfalls
6/ 34
®
Qual é o problema ?
● Vazamento de informações

7. Development Pitfalls
7/ 34
®
Qual é o problema ?
● Atacante pode obter estes arquivos
● Arquivos de interesse...

8. Development Pitfalls
8/ 34
®
Qual é o problema ?
● Lista para gerar captcha
● Obviamente o atacante vai usar a lista
● Cada informação acaba sendo útil...

9. Development Pitfalls
9/ 34
®
● Acessando o arquivo “db_connector.yml”
Qual é o problema ?

10. Development Pitfalls
10/ 34
®
Qual é o problema ?
● Agora sim... OK!

11. Development Pitfalls
11/ 34
®
Tubarões em todos os lugares
● Bots,scanners... só procurando uma brecha...

12. Development Pitfalls
12/ 34
®
SQL-injection

13. Development Pitfalls
13/ 34
®
Buffer Overflow

14. Development Pitfalls
14/ 34
®
Senhas
● Dork: extension:yml password database

15. Development Pitfalls
15/ 34
®
Senhas
● Dork: extension:bak user= password=

16. Development Pitfalls
16/ 34
®
Difícil de achar ?
● Automação
convisoappsec/research_github_hack/

17. Development Pitfalls
17/ 34
®
Difícil de achar ?

18. Development Pitfalls
18/ 34
®
Difícil de achar ?

19. Development Pitfalls
19/ 34
®
● Automação

20. Development Pitfalls
20/ 34
®
Explorando tudo em massa

21. Development Pitfalls
21/ 34
®
Dicas para evitar o pior

22. Development Pitfalls
22/ 34
®
Boas práticas
● Leia documentação
● Não use funções “deprecated”
● Resolva os “Warnings”
● Faça validação de todas as entradas de dados
● Procure saber se foi feito “Hardening” no ambiente
● Use políticas para forçar complexidade nas senhas
● Não deixe a público informações desnecessárias
● Use SSL ao transportar dados
● Se necessário técnicas anti-tampering
● Teste o software de todas as formas possíveis
…
● Contrate um serviço para Pentest de tempos em tempos...

23. Development Pitfalls
23/ 34
®
Procure boas práticas...
Exemplo para evitar memory leaks
● Em “C”:
char *x=(char *)malloc(sizeof(char)*20);
...
free(x);
● Em “C++”:
int *x=(int *)new int;
…
● delete x;
● Use o “Valgrind” para auditar a memória...

24. Development Pitfalls
24/ 34
®
Exemplo evitar “command injection”
● 10 sprintf(buffer, "/bin/mail %s < /log/mail_loja.txt", input);
● 11
● 12 system(buffer);
Para mitigar faça validação:
● Posix Regex, Pcre... ^([a-zA-Z0-9.-])*([@])([a-z0-9]).([a-z]{2,3})
● Black list...
● Strncmp()...
● Faça sempre validação...
● execv(), execl(), system(), eval()...
Procure boas práticas

25. Development Pitfalls
25/ 34
®
Validação

26. Development Pitfalls
26/ 34
®
Validação
' or 2=2 --

27. Development Pitfalls
27/ 34
®
Validação
● Sanitização

28. Development Pitfalls
28/ 34
®

29. Development Pitfalls
29/ 34
®
Conheça a OWASP
● O que é Owasp?
● Open Web Application Security Project (OWASP)
● Uma entidade sem fins lucrativos e de reconhecimento
internacional.
● Reúne informações importantes para permitir
avaliar riscos de segurança e combater formas
de ataques através da internet.
● www.owasp.org

30. Development Pitfalls
30/ 34
®
Agora tudo OK ?

31. Development Pitfalls
31/ 34
®
Não falei tudo !

32. Development Pitfalls
32/ 34
®
● I'm trying to free your mind, Neo. But I can only
show you the door. You're the one that has to
walk through it.
● “Morpheus - The Matrix”

33. Development Pitfalls
33/ 34
®
Agradecimentos
● Pelos testes com git:
● Victor Ramos “m0nad”
● Pela pesquisa:
● Marcos Alvares
● Ulisses Castro
● Rodrigo Montoro
● CONVISO

34. Development Pitfalls
34/ 34
®