PT MIFI Labxss

Лабораторная работа по теме «Межсайтовое выполнение сценариев» Дмитрий Евтеев Positive Technologies

План лабораторной работы ,[object Object],[object Object],[object Object],[object Object],[object Object]

Введение в тему безопасности Web-приложений …

Опасный мир Web- приложений ,[object Object],[object Object],[object Object],[object Object],[object Object],Данные основываются на проведении 6239 автоматических сканирований, детальном анализе 77 Web-приложений, преимущественно с использованием методики «черного ящика».

Распределение вероятности обнаружения уязвимостей по степени риска ( данные за 2009 год ) ,[object Object]

Классификация уязвимостей в web- приложениях ,[object Object],[object Object],[object Object],[object Object],http://projects.webappsec.org/Threat-Classification http://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project http://cwe.mitre.org/top25/archive/2010/2010_cwe_sans_top25.pdf

Опасный мир Web- приложений : статистика за 2009 г. Наиболее часто встречающиеся уязвимости веб-приложений при проведении анализа методом «черного ящика»

Часть 1 : Межсайтовое выполнение сценариев ,[object Object]

Cross-Site Scripting – Базовые знания ,[object Object],[object Object]

[object Object],[object Object],[object Object],[object Object],[object Object],Cross-Site Scripting – Базовые знания

Наглядный пример уязвимости типа «Межсайтовое выполнение сценариев» Web- сервер http://web/?search=WhatIsWebSecurity ... <tr> <td valign="center"><input class="inputtext" type="text" name="q“ value="What Is Web Security"></td> <td valign="center"><input type="submit" class="inputbutton" value=" Искать"></ td> </tr> ...

Наглядный пример уязвимости типа «Межсайтовое выполнение сценариев» Web- сервер http://web/?search="><script>alert('XSS')</script> ... <tr> <td valign="center"><input class="inputtext" type="text" name="q“ value=" "><script>alert('XSS')</script> "></td> <td valign="center"><input type="submit" class="inputbutton" value=" Искать"></ td> </tr> ...

Cross-Site Scripting – Базовые знания ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Cross-Site Scripting – Классическая эксплуатация ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Cross-Site Scripting – Классическая эксплуатация ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Cross-Site Scripting – Различия браузеров ,[object Object]

Cross-Site Scripting – Классическая эксплуатация ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Cross-Site Scripting – Безопасность Cookie ,[object Object],[object Object],[object Object],[object Object]

Наглядный пример атаки с использованием уязвимости типа «Межсайтовое выполнение сценариев» Web- сервер 1. fuzzing, поиск уязвимости 2. Передача «заряженной» ссылки : http://web/?search="><script>...</script> 3. Переход по ссылке 4. Выполнение исполняемого кода в браузере пользователя 5. Например, передача Web-сессии (cookies) 6. Работа с Web-приложением от имени атакованного пользователя

Практическое занятие (1) ,[object Object],[object Object],[object Object],[object Object],[object Object]

Часть 2: Межсайтовое выполнение сценариев в Java/Flash ,[object Object]

XSS && CSRF – Базовые знания ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Наглядный пример атаки с использованием уязвимости типа« Подделка HTTP- запросов » Интернет - форум 1. Публикация сообщения : <img src=http://ibanking/action?account=12345&amount=500&for=54321 > Интернет-банк ( ibanking ) 2. Пользователь посещает форум 3. Браузер загружает картинку по адресу : http://ibanking/action?... 4 . Если сессия пользователя существует, то…

[object Object],[object Object],Ограничения политики доступа ( Same origin policy ) URL Результат Причины http://www.example.com/dir/page.html Разрешено Одинаковый протокол и узел http://www.example.com/dir2/other.html Разрешено Одинаковый протокол и узел http://www.example.com:81/dir2/other.html Запрещено Одинаковый протокол и узел, но различающийся порт https://www.example.com/dir2/other.html Запрещено Различающиеся протоколы http://en.example.com/dir2/other.html Запрещено Различающиеся узлы http://example.com/dir2/other.html Запрещено Различающиеся узлы (необходимы точные соответствия) http://v2.www.example.com/dir2/other.html Запрещено Различающиеся узлы (необходимы точные соответствия)

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Cross-Site Scripting ( Java/Flash ) – Базовые знания

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Cross-Site Scripting ( Java/Flash ) – Базовые знания

[object Object],Cross-Site Scripting ( Java/Flash ) – Базовые знания

Практическое занятие ( 2 ) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Часть 3: Обход фильтров безопасности и WAF ,[object Object]

Что такое WAF http:// server /?id=6329&print=Y Нас атакуют! Ахтунг!!! WAF Webserver http:// server /?id=5351 http:// server /?id=8234 http:// server /? id="><script>... http:// server /?id=1+union+select... http:// server /? id=/../../../etc/passwd Нормализация данных Decode HTML entities (e.g. c, ", ª) Escaped characters (e.g. , 01, AA, AABB) Null byte string termination ... Поиск сигнатуры /(sel)(ect.+fr)(om)/is /(uni)(on.+sel)(ect)/is ...

Какие они бывают ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Методы обхода WAF ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],Методы обхода WAF – Cross-Site Scripting

Методы обхода WAF: Возможные способы кодирования JavaScript ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Методы обхода WAF: Возможные способы кодирования JavaScript ,[object Object],[object Object],[object Object],[object Object],[object Object]

Методы обхода WAF: Возможные способы кодирования JavaScript ,[object Object]

Практика обхода WAF: Cross-Site Scripting ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Практическое занятие ( 3 ) ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Резюме лабораторной работы

[object Object],Cross-Site Scripting в «живой природе»

Резюме ,[object Object],[object Object],[object Object],[object Object]

Дополнительные материалы и ссылки ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

Спасибо за внимание! [email_address] http://devteev.blogspot.com/ http://ptresearch.blogspot.com/ http://www.ptsecurity.ru/

PT MIFI Labxss

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (19)

Andere mochten auch

Andere mochten auch (7)

Ähnlich wie PT MIFI Labxss

Ähnlich wie PT MIFI Labxss (20)

Mehr von Dmitry Evteev

Mehr von Dmitry Evteev (19)

PT MIFI Labxss