Τα 10 πιο κοινά τρωτά σημεία ασφαλείας στο Web

Με: Ο Oliver Jones Ο Oliver Jones
Hours Ενημερώθηκε

Το OWASP ή Open Web Security Project είναι ένας μη κερδοσκοπικός φιλανθρωπικός οργανισμός που επικεντρώνεται στη βελτίωση της ασφάλειας του λογισμικού και των εφαρμογών Ιστού.

Ο οργανισμός δημοσιεύει μια λίστα με τα κορυφαία τρωτά σημεία ασφάλειας ιστού με βάση τα δεδομένα από διάφορους οργανισμούς ασφαλείας.

Τα τρωτά σημεία ασφάλειας ιστού έχουν προτεραιότητα ανάλογα με την εκμεταλλευσιμότητα, την ανιχνευσιμότητα και τον αντίκτυπο στο λογισμικό.

  • εκμεταλλευσιμότητα -Τι χρειάζεται για την εκμετάλλευση της ευπάθειας ασφαλείας; Η υψηλότερη εκμεταλλευσιμότητα όταν η επίθεση χρειάζεται μόνο πρόγραμμα περιήγησης ιστού και η χαμηλότερη είναι προηγμένος προγραμματισμός και εργαλεία.
  • ανιχνευσιμότητα - Πόσο εύκολο είναι να εντοπιστεί η απειλή; Το υψηλότερο είναι οι πληροφορίες που εμφανίζονται στη διεύθυνση URL, η φόρμα ή το μήνυμα σφάλματος και το χαμηλότερο είναι ο πηγαίος κώδικας.
  • Επίπτωση ή Ζημιά –Πόση ζημιά θα προκληθεί εάν η ευπάθεια ασφαλείας εκτεθεί ή προσβληθεί; Το υψηλότερο είναι η πλήρης κατάρρευση του συστήματος και η χαμηλότερη δεν είναι απολύτως τίποτα.

Ο κύριος στόχος του OWASP Top 10 είναι να εκπαιδεύσει τους προγραμματιστές, τους σχεδιαστές, τους διαχειριστές, τους αρχιτέκτονες και τους οργανισμούς σχετικά με τα πιο σημαντικά τρωτά σημεία ασφαλείας.

Τα κορυφαία 10 τρωτά σημεία ασφαλείας σύμφωνα με το OWASP Top 10 είναι:

SQL Injection

SQL Injection

Τεχνικές Περιγραφές

Το Injection είναι μια ευπάθεια ασφαλείας που επιτρέπει σε έναν εισβολέα να αλλάξει το backend SQL δηλώσεις χειραγωγώντας τα δεδομένα που παρέχονται από τον χρήστη.

Η έγχυση πραγματοποιείται όταν η είσοδος χρήστη αποστέλλεται σε έναν διερμηνέα ως μέρος εντολής ή ερωτήματος και εξαπατά τον διερμηνέα να εκτελέσει ακούσιες εντολές και δίνει πρόσβαση σε μη εξουσιοδοτημένα δεδομένα.

Η εντολή SQL η οποία όταν εκτελείται από web εφαρμογή μπορεί επίσης να εκθέσει τη βάση δεδομένων του back-end.

ΕΠΙΠΤΩΣΕΙΣ

  • Ένας εισβολέας μπορεί να εισάγει κακόβουλο περιεχόμενο στα ευάλωτα πεδία.
  • Ευαίσθητα δεδομένα όπως ονόματα χρηστών, κωδικοί πρόσβασης κ.λπ. μπορούν να διαβαστούν από τη βάση δεδομένων.
  • Τα δεδομένα της βάσης δεδομένων μπορούν να τροποποιηθούν (Εισαγωγή/Ενημέρωση/Διαγραφή).
  • Διαχείριση Operaμπορούν να εκτελεστούν στη βάση δεδομένων

Ευάλωτα Αντικείμενα

  • Πεδία εισαγωγής
  • Διευθύνσεις URL που αλληλεπιδρούν με τη βάση δεδομένων.

Παραδείγματα:

Σύνδεση σε μια εφαρμογή χωρίς έγκυρα διαπιστευτήρια.

Το έγκυρο όνομα χρήστη είναι διαθέσιμο και ο κωδικός πρόσβασης δεν είναι διαθέσιμος.

Δοκιμαστική διεύθυνση URL: http://demo.testfire.net/default.aspx

Όνομα χρήστη: sjones

Κωδικός πρόσβασης: 1=1′ ή pass123

Το ερώτημα SQL δημιουργήθηκε και στάλθηκε στον Διερμηνέα όπως παρακάτω

SELECT * FROM Users WHERE User_Name = sjones AND Password = 1=1′ ή pass123;

συστάσεις

  1. Λευκή λίστα με τα πεδία εισαγωγής
  2. Αποφύγετε την εμφάνιση λεπτομερών μηνυμάτων σφάλματος που είναι χρήσιμα σε έναν εισβολέα.

ΣΧΕΤΙΚΑ ΑΡΘΡΑ

Διαδικτυακή δέσμη ενεργειών

Τεχνικές Περιγραφές

Το Cross Site Scripting είναι επίσης σύντομα γνωστό ως XSS.

Τα τρωτά σημεία XSS στοχεύουν σε σενάρια που είναι ενσωματωμένα σε μια σελίδα που εκτελούνται από την πλευρά του πελάτη, δηλαδή το πρόγραμμα περιήγησης χρήστη και όχι από την πλευρά του διακομιστή. Αυτά τα ελαττώματα μπορεί να προκύψουν όταν η εφαρμογή λαμβάνει μη αξιόπιστα δεδομένα και τα στέλνει στο πρόγραμμα περιήγησης ιστού χωρίς την κατάλληλη επικύρωση.

Οι εισβολείς μπορούν να χρησιμοποιήσουν το XSS για να εκτελέσουν κακόβουλα σενάρια στους χρήστες σε αυτήν την περίπτωση τα προγράμματα περιήγησης-θύμα. Εφόσον το πρόγραμμα περιήγησης δεν μπορεί να γνωρίζει εάν το σενάριο είναι αξιόπιστο ή όχι, το σενάριο θα εκτελεστεί και ο εισβολέας μπορεί να παραβιάσει τα cookie περιόδου λειτουργίας, να παραμορφώσει ιστότοπους ή να ανακατευθύνει τον χρήστη σε ανεπιθύμητους και κακόβουλους ιστότοπους.

Το XSS είναι μια επίθεση που επιτρέπει στον εισβολέα να εκτελέσει τα σενάρια στο πρόγραμμα περιήγησης του θύματος.

ΕΠΙΠΤΩΣΕΙΣ:

  • Κάνοντας χρήση αυτής της ευπάθειας ασφαλείας, ένας εισβολέας μπορεί να εισάγει σενάρια στην εφαρμογή, μπορεί να κλέψει cookies συνεδρίας, να παραμορφώσει ιστότοπους και να εκτελέσει κακόβουλο λογισμικό στους υπολογιστές του θύματος.

Ευάλωτα Αντικείμενα

  • Πεδία εισαγωγής
  • URLs

Παραδείγματα

1. http://www.vulnerablesite.com/home?”<script>alert(“xss”)</script>

Το παραπάνω σενάριο όταν εκτελείται σε πρόγραμμα περιήγησης, θα εμφανιστεί ένα πλαίσιο μηνύματος εάν ο ιστότοπος είναι ευάλωτος σε XSS.

Η πιο σοβαρή επίθεση μπορεί να γίνει εάν ο εισβολέας θέλει να εμφανίσει ή να αποθηκεύσει το cookie περιόδου λειτουργίας.

2. http://demo.testfire.net/search.aspx?txtSearch <iframe> http://google.com πλάτος = 500 ύψος 500>

Το παραπάνω σενάριο όταν εκτελεστεί, το πρόγραμμα περιήγησης θα φορτώσει ένα αόρατο πλαίσιο που δείχνει προς http://google.com.

Η επίθεση μπορεί να γίνει σοβαρή εκτελώντας ένα κακόβουλο σενάριο στο πρόγραμμα περιήγησης.

συστάσεις

  1. Πεδία εισαγωγής Λευκής Λίστας
  2. Κωδικοποίηση εισόδου εξόδου

Κατεστραμμένος έλεγχος ταυτότητας και διαχείριση περιόδου λειτουργίας

Τεχνικές Περιγραφές

Οι ιστότοποι συνήθως δημιουργούν ένα cookie περιόδου σύνδεσης και ένα αναγνωριστικό περιόδου σύνδεσης για κάθε έγκυρη περίοδο λειτουργίας και αυτά τα cookie περιέχουν ευαίσθητα δεδομένα όπως όνομα χρήστη, κωδικό πρόσβασης κ.λπ. θα πρέπει να υπάρχει ένα νέο cookie.

Εάν τα cookies δεν ακυρωθούν, τα ευαίσθητα δεδομένα θα υπάρχουν στο σύστημα. Για παράδειγμα, ένας χρήστης που χρησιμοποιεί έναν δημόσιο υπολογιστή (Cyber ​​Cafe), τα cookies του ευάλωτου ιστότοπου βρίσκονται στο σύστημα και εκτίθενται σε έναν εισβολέα. Ένας εισβολέας χρησιμοποιεί τον ίδιο δημόσιο υπολογιστή μετά από κάποιο χρονικό διάστημα, τα ευαίσθητα δεδομένα παραβιάζονται.

Με τον ίδιο τρόπο, ένας χρήστης που χρησιμοποιεί δημόσιο υπολογιστή, αντί να αποσυνδεθεί, κλείνει απότομα το πρόγραμμα περιήγησης. Ένας εισβολέας χρησιμοποιεί το ίδιο σύστημα, όταν περιηγείται στον ίδιο ευάλωτο ιστότοπο, θα ανοίξει η προηγούμενη περίοδος λειτουργίας του θύματος. Ο εισβολέας μπορεί να κάνει ό,τι θέλει από την κλοπή στοιχείων προφίλ, στοιχείων πιστωτικής κάρτας κ.λπ.

Θα πρέπει να γίνει έλεγχος για να βρεθεί η ισχύς του ελέγχου ταυτότητας και της διαχείρισης περιόδου λειτουργίας. Τα κλειδιά, τα διακριτικά συνεδρίας, τα cookies θα πρέπει να εφαρμόζονται σωστά χωρίς να τίθενται σε κίνδυνο οι κωδικοί πρόσβασης.

Ευάλωτα Αντικείμενα

  • Τα αναγνωριστικά περιόδου σύνδεσης που εκτίθενται στη διεύθυνση URL μπορεί να οδηγήσουν σε επίθεση επιδιόρθωσης περιόδου σύνδεσης.
  • Τα αναγνωριστικά περιόδου σύνδεσης είναι ίδια πριν και μετά την αποσύνδεση και τη σύνδεση.
  • Τα χρονικά όρια περιόδου λειτουργίας δεν εφαρμόζονται σωστά.
  • Η εφαρμογή εκχωρεί το ίδιο αναγνωριστικό περιόδου σύνδεσης για κάθε νέα συνεδρία.
  • Τα ελεγμένα μέρη της εφαρμογής προστατεύονται με χρήση SSL και οι κωδικοί πρόσβασης αποθηκεύονται σε κατακερματισμένη ή κρυπτογραφημένη μορφή.
  • Η συνεδρία μπορεί να επαναχρησιμοποιηθεί από έναν χρήστη με χαμηλά προνόμια.

ΕΠΙΠΤΩΣΕΙΣ

  • Κάνοντας χρήση αυτής της ευπάθειας, ένας εισβολέας μπορεί να παραβιάσει μια περίοδο λειτουργίας, να αποκτήσει μη εξουσιοδοτημένη πρόσβαση στο σύστημα που επιτρέπει την αποκάλυψη και την τροποποίηση μη εξουσιοδοτημένων πληροφοριών.
  • Οι περίοδοι σύνδεσης μπορούν να είναι υψηλής υποδοχής χρησιμοποιώντας κλεμμένα cookie ή συνεδρίες χρησιμοποιώντας XSS.

Παραδείγματα

  1. Η εφαρμογή κρατήσεων αεροπορικών εταιρειών υποστηρίζει την επανεγγραφή URL, τοποθετώντας αναγνωριστικά περιόδου σύνδεσης στη διεύθυνση URL:http://Examples.com/sale/saleitems;jsessionid=2P0OC2oJM0DPXSNQPLME34SERTBG/dest=Maldives (Πώληση εισιτηρίων για Μαλδίβες)Ένας πιστοποιημένος χρήστης του ιστότοπου θέλει να ενημερώσει τους φίλους του για την πώληση και στέλνει ένα μήνυμα ηλεκτρονικού ταχυδρομείου. Οι φίλοι λαμβάνουν το αναγνωριστικό περιόδου σύνδεσης και μπορούν να χρησιμοποιηθούν για μη εξουσιοδοτημένες τροποποιήσεις ή κακή χρήση των αποθηκευμένων στοιχείων της πιστωτικής κάρτας.
  2. Μια εφαρμογή είναι ευάλωτη στο XSS, μέσω του οποίου ένας εισβολέας μπορεί να αποκτήσει πρόσβαση στο αναγνωριστικό περιόδου σύνδεσης και μπορεί να χρησιμοποιηθεί για να παραβιάσει τη συνεδρία.
  3. Τα χρονικά όρια εφαρμογών δεν έχουν ρυθμιστεί σωστά. Ο χρήστης χρησιμοποιεί έναν δημόσιο υπολογιστή και κλείνει το πρόγραμμα περιήγησης αντί να αποσυνδεθεί και απομακρύνεται. Ο εισβολέας χρησιμοποιεί το ίδιο πρόγραμμα περιήγησης λίγο αργότερα και η περίοδος λειτουργίας επαληθεύεται.

συστάσεις

  1. Όλες οι απαιτήσεις ελέγχου ταυτότητας και διαχείρισης συνεδρίας θα πρέπει να ορίζονται σύμφωνα με το Πρότυπο επαλήθευσης ασφάλειας εφαρμογών OWASP.
  2. Ποτέ μην εκθέτετε διαπιστευτήρια σε διευθύνσεις URL ή αρχεία καταγραφής.
  3. Θα πρέπει επίσης να καταβληθούν έντονες προσπάθειες για να αποφευχθούν ελαττώματα XSS που μπορούν να χρησιμοποιηθούν για την κλοπή αναγνωριστικών συνεδρίας.

Μη ασφαλείς αναφορές άμεσου αντικειμένου

Τεχνικές Περιγραφές

Εμφανίζεται όταν ένας προγραμματιστής εκθέτει μια αναφορά σε ένα εσωτερικό αντικείμενο υλοποίησης, όπως ένα αρχείο, κατάλογος ή κλειδί βάσης δεδομένων, όπως στη διεύθυνση URL ή ως παράμετρος FORM. Ο εισβολέας μπορεί να χρησιμοποιήσει αυτές τις πληροφορίες για πρόσβαση σε άλλα αντικείμενα και μπορεί να δημιουργήσει μια μελλοντική επίθεση για πρόσβαση στα μη εξουσιοδοτημένα δεδομένα.

ΕΠΙΠΤΩΣΕΙΣ

  • Χρησιμοποιώντας αυτήν την ευπάθεια, ένας εισβολέας μπορεί να αποκτήσει πρόσβαση σε μη εξουσιοδοτημένα εσωτερικά αντικείμενα, να τροποποιήσει δεδομένα ή να υπονομεύσει την εφαρμογή.

Ευάλωτα Αντικείμενα

  • Στη διεύθυνση URL.

Παραδείγματα:

Η αλλαγή του "userid" στην ακόλουθη διεύθυνση URL μπορεί να κάνει έναν εισβολέα να δει τις πληροφορίες άλλων χρηστών.

http://www.vulnerablesite.com/userid=123 Τροποποιήθηκε σε http://www.vulnerablesite.com/userid=124

Ένας εισβολέας μπορεί να δει πληροφορίες άλλων αλλάζοντας την τιμή αναγνωριστικού χρήστη.

Συστάσεις:

  1. Εφαρμογή ελέγχων ελέγχου πρόσβασης.
  2. Αποφύγετε την έκθεση αναφορών αντικειμένων σε διευθύνσεις URL.
  3. Επαληθεύστε την εξουσιοδότηση για όλα τα αντικείμενα αναφοράς.

Παραχάραξη αιτήματος διασταυρούμενης τοποθεσίας

Τεχνικές Περιγραφές

Cross Site Request Forgery είναι ένα πλαστό αίτημα που προήλθε από το cross site.

Η επίθεση CSRF είναι μια επίθεση που συμβαίνει όταν ένας κακόβουλος ιστότοπος, ηλεκτρονικό ταχυδρομείο ή πρόγραμμα αναγκάζει το πρόγραμμα περιήγησης ενός χρήστη να εκτελέσει μια ανεπιθύμητη ενέργεια σε έναν αξιόπιστο ιστότοπο για τον οποίο ο χρήστης είναι επί του παρόντος πιστοποιημένος έλεγχος ταυτότητας.

Μια επίθεση CSRF αναγκάζει ένα συνδεδεμένο πρόγραμμα περιήγησης θύματος να στείλει ένα πλαστό αίτημα HTTP, συμπεριλαμβανομένου του cookie περιόδου λειτουργίας του θύματος και οποιασδήποτε άλλης αυτόματα περιλαμβανόμενης πληροφορίας ελέγχου ταυτότητας, σε μια ευάλωτη εφαρμογή Ιστού.

Ένας σύνδεσμος θα σταλεί από τον εισβολέα στο θύμα όταν ο χρήστης κάνει κλικ στη διεύθυνση URL όταν συνδεθεί στον αρχικό ιστότοπο, τα δεδομένα θα κλαπούν από τον ιστότοπο.

ΕΠΙΠΤΩΣΕΙΣ

  • Η χρήση αυτής της ευπάθειας ως εισβολέας μπορεί να αλλάξει τις πληροφορίες προφίλ χρήστη, να αλλάξει κατάσταση, να δημιουργήσει έναν νέο χρήστη για λογαριασμό διαχειριστή κ.λπ.

Ευάλωτα Αντικείμενα

  • Σελίδα προφίλ χρήστη
  • Φόρμες λογαριασμού χρήστη
  • Σελίδα επιχειρηματικών συναλλαγών

Παραδείγματα

Το θύμα είναι συνδεδεμένο σε έναν ιστότοπο τράπεζας χρησιμοποιώντας έγκυρα διαπιστευτήρια. Λαμβάνει αλληλογραφία από έναν εισβολέα που λέει "Παρακαλώ κάντε κλικ εδώ για να δωρίσετε $1 για να προκαλέσετε".

Όταν το θύμα κάνει κλικ σε αυτό, θα δημιουργηθεί ένα έγκυρο αίτημα για δωρεά 1 $ σε έναν συγκεκριμένο λογαριασμό.

http://www.vulnerablebank.com/transfer.do?account=cause&amount=1

Ο εισβολέας καταγράφει αυτό το αίτημα και δημιουργεί το παρακάτω αίτημα και ενσωματώνει ένα κουμπί που λέει "Υποστηρίζω την αιτία".

http://www.vulnerablebank.com/transfer.do?account=Attacker&amount=1000

Εφόσον η συνεδρία έχει πιστοποιηθεί και το αίτημα έρχεται μέσω του ιστότοπου της τράπεζας, ο διακομιστής θα μεταφέρει $1000 δολάρια στον εισβολέα.

Σύσταση

  1. Εξουσιοδοτήστε την παρουσία του χρήστη κατά την εκτέλεση ευαίσθητων ενεργειών.
  2. Εφαρμόστε μηχανισμούς όπως η ΑΠPTCHA, Re-Authentication και Unique Request Tokens.

Λανθασμένη διαμόρφωση ασφαλείας

Τεχνικές Περιγραφές

Η ρύθμιση παραμέτρων ασφαλείας πρέπει να οριστεί και να αναπτυχθεί για την εφαρμογή, τα πλαίσια, τον διακομιστή εφαρμογών, τον διακομιστή web, τον διακομιστή βάσης δεδομένων και την πλατφόρμα. Εάν έχουν ρυθμιστεί σωστά, ένας εισβολέας μπορεί να έχει μη εξουσιοδοτημένη πρόσβαση σε ευαίσθητα δεδομένα ή λειτουργίες.

Μερικές φορές τέτοια ελαττώματα οδηγούν σε πλήρη συμβιβασμό του συστήματος. Το να διατηρείτε το λογισμικό ενημερωμένο είναι επίσης καλή ασφάλεια.

ΕΠΙΠΤΩΣΕΙΣ

  • Κάνοντας χρήση αυτής της ευπάθειας, ο εισβολέας μπορεί να απαριθμήσει τις υποκείμενες πληροφορίες για την τεχνολογία και την έκδοση διακομιστή εφαρμογών, τις πληροφορίες της βάσης δεδομένων και να αποκτήσει πληροφορίες σχετικά με την εφαρμογή για να πραγματοποιήσει μερικές ακόμη επιθέσεις.

Ευάλωτα αντικείμενα

  • URL
  • Πεδία φόρμας
  • Πεδία εισαγωγής

Παραδείγματα

  1. Η κονσόλα διαχειριστή διακομιστή εφαρμογών εγκαθίσταται αυτόματα και δεν αφαιρείται. Οι προεπιλεγμένοι λογαριασμοί δεν αλλάζουν. Ο εισβολέας μπορεί να συνδεθεί με προεπιλεγμένους κωδικούς πρόσβασης και μπορεί να αποκτήσει μη εξουσιοδοτημένη πρόσβαση.
  2. Η καταχώριση καταλόγου δεν είναι απενεργοποιημένη στον διακομιστή σας. Ο εισβολέας ανακαλύπτει και μπορεί απλώς να απαριθμήσει καταλόγους για να βρει οποιοδήποτε αρχείο.

συστάσεις

  1. Μια ισχυρή αρχιτεκτονική εφαρμογών που παρέχει καλό διαχωρισμό και ασφάλεια μεταξύ των στοιχείων.
  2. Αλλάξτε τα προεπιλεγμένα ονόματα χρήστη και κωδικούς πρόσβασης.
  3. Απενεργοποιήστε τις λίστες καταλόγων και εφαρμόστε ελέγχους ελέγχου πρόσβασης.

Μη ασφαλής κρυπτογραφική αποθήκευση

Τεχνικές Περιγραφές

Η μη ασφαλής κρυπτογραφική αποθήκευση είναι μια κοινή ευπάθεια που υπάρχει όταν τα ευαίσθητα δεδομένα δεν αποθηκεύονται με ασφάλεια.

Τα διαπιστευτήρια χρήστη, τα στοιχεία προφίλ, τα στοιχεία υγείας, τα στοιχεία πιστωτικής κάρτας κ.λπ. εμπίπτουν στις ευαίσθητες πληροφορίες δεδομένων σε έναν ιστότοπο.

Αυτά τα δεδομένα θα αποθηκευτούν στη βάση δεδομένων της εφαρμογής. Όταν αυτά τα δεδομένα αποθηκεύονται ακατάλληλα με μη χρήση κρυπτογράφησης ή κατακερματισμού*, θα είναι ευάλωτα στους εισβολείς.

(* Κατακερματισμός είναι ο μετασχηματισμός των χαρακτήρων της συμβολοσειράς σε μικρότερες συμβολοσειρές σταθερού μήκους ή κλειδί. Για την αποκρυπτογράφηση της συμβολοσειράς, θα πρέπει να είναι διαθέσιμος ο αλγόριθμος που χρησιμοποιείται για το σχηματισμό του κλειδιού)

ΕΠΙΠΤΩΣΕΙΣ

  • Χρησιμοποιώντας αυτήν την ευπάθεια, ένας εισβολέας μπορεί να κλέψει, να τροποποιήσει τέτοια ασθενώς προστατευμένα δεδομένα για να διαπράξει κλοπή ταυτότητας, απάτη πιστωτικών καρτών ή άλλα εγκλήματα.

Ευάλωτα αντικείμενα

  • Βάση δεδομένων εφαρμογών.

Παραδείγματα

Σε μία από τις τραπεζικές εφαρμογές, η βάση δεδομένων κωδικών πρόσβασης χρησιμοποιεί μη αλατισμένους κατακερματισμούς * για την αποθήκευση των κωδικών πρόσβασης όλων. Ένα ελάττωμα ένεσης SQL επιτρέπει στον εισβολέα να ανακτήσει το αρχείο κωδικού πρόσβασης. Όλοι οι ανάλατοι κατακερματισμοί μπορούν να εξαναγκαστούν σε χρόνο μηδέν, ενώ οι αλατισμένοι κωδικοί πρόσβασης θα χρειαστούν χιλιάδες χρόνια.

(* Unsalted Hashes – Το Salt είναι τυχαία δεδομένα που προσαρτώνται στα αρχικά δεδομένα. Το Salt προστίθεται στον κωδικό πρόσβασης πριν από τον κατακερματισμό)

συστάσεις

  1. Εξασφαλίστε κατάλληλους ισχυρούς τυπικούς αλγόριθμους. Μην δημιουργείτε δικούς σας κρυπτογραφικούς αλγόριθμους. Χρησιμοποιήστε μόνο εγκεκριμένους δημόσιους αλγόριθμους όπως AES, κρυπτογραφία δημόσιου κλειδιού RSA και SHA-256 κ.λπ.
  2. Βεβαιωθείτε ότι τα αντίγραφα ασφαλείας εκτός τοποθεσίας είναι κρυπτογραφημένα, αλλά η διαχείριση και η δημιουργία αντιγράφων ασφαλείας των κλειδιών γίνεται ξεχωριστά.

Αποτυχία περιορισμού της πρόσβασης URL

Τεχνικές Περιγραφές

Οι εφαρμογές Ιστού ελέγχουν τα δικαιώματα πρόσβασης στη διεύθυνση URL πριν αποδώσουν προστατευμένους συνδέσμους και κουμπιά. Οι εφαρμογές πρέπει να εκτελούν παρόμοιους ελέγχους πρόσβασης κάθε φορά που γίνεται πρόσβαση σε αυτές τις σελίδες.

Στις περισσότερες από τις εφαρμογές, οι προνομιακές σελίδες, τοποθεσίες και πόροι δεν παρουσιάζονται στους προνομιούχους χρήστες.

Με μια έξυπνη εικασία, ένας εισβολέας μπορεί να έχει πρόσβαση σε σελίδες προνομίων. Ένας εισβολέας μπορεί να έχει πρόσβαση σε ευαίσθητες σελίδες, να επικαλείται λειτουργίες και να βλέπει εμπιστευτικές πληροφορίες.

ΕΠΙΠΤΩΣΕΙΣ

  • Η χρήση αυτού του εισβολέα ευπάθειας μπορεί να αποκτήσει πρόσβαση στις μη εξουσιοδοτημένες διευθύνσεις URL, χωρίς να συνδεθεί στην εφαρμογή και να εκμεταλλευτεί την ευπάθεια. Ένας εισβολέας μπορεί να έχει πρόσβαση σε ευαίσθητες σελίδες, να επικαλείται λειτουργίες και να βλέπει εμπιστευτικές πληροφορίες.

Ευπαθή αντικείμενα:

  • URLs

Παραδείγματα

  1. Ο εισβολέας παρατηρεί ότι η διεύθυνση URL υποδεικνύει τον ρόλο ως "/user/getaccounts". Τροποποιεί ως "/admin/getaccounts".
  2. Ένας εισβολέας μπορεί να προσαρτήσει ρόλο στη διεύθυνση URL.

http://www.vulnerablsite.com μπορεί να τροποποιηθεί ως http://www.vulnerablesite.com/admin

συστάσεις

  1. Εφαρμόστε ισχυρούς ελέγχους ελέγχου πρόσβασης.
  2. Οι πολιτικές ελέγχου ταυτότητας και εξουσιοδότησης θα πρέπει να βασίζονται σε ρόλους.
  3. Περιορίστε την πρόσβαση σε ανεπιθύμητες διευθύνσεις URL.

Ανεπαρκής προστασία στρώματος μεταφοράς

Τεχνικές Περιγραφές

Ασχολείται με την ανταλλαγή πληροφοριών μεταξύ του χρήστη (πελάτη) και του διακομιστή (εφαρμογή). Οι εφαρμογές συχνά μεταδίδουν ευαίσθητες πληροφορίες, όπως στοιχεία ελέγχου ταυτότητας, πληροφορίες πιστωτικών καρτών και διακριτικά περιόδου λειτουργίας μέσω ενός δικτύου.

Η χρήση αδύναμων αλγορίθμων ή η χρήση ληγμένων ή μη έγκυρων πιστοποιητικών ή η μη χρήση SSL μπορεί να επιτρέψει την έκθεση της επικοινωνίας σε μη αξιόπιστους χρήστες, γεγονός που μπορεί να θέσει σε κίνδυνο μια εφαρμογή Ιστού και ή να κλέψει ευαίσθητες πληροφορίες.

ΕΠΙΠΤΩΣΕΙΣ

  • Κάνοντας χρήση αυτής της ευπάθειας ασφάλειας ιστού, ένας εισβολέας μπορεί να μυρίσει τα διαπιστευτήρια νόμιμων χρηστών και να αποκτήσει πρόσβαση στην εφαρμογή.
  • Μπορεί να κλέψει στοιχεία πιστωτικής κάρτας.

Ευάλωτα αντικείμενα

  • Δεδομένα που αποστέλλονται μέσω του δικτύου.

συστάσεις

  1. Ενεργοποίηση ασφαλούς HTTP και επιβολή μεταφοράς διαπιστευτηρίων μόνο μέσω HTTPS.
  2. Βεβαιωθείτε ότι το πιστοποιητικό σας είναι έγκυρο και ότι δεν έχει λήξει.

Παραδείγματα:

1. Μια εφαρμογή που δεν χρησιμοποιεί SSL, ένας εισβολέας θα παρακολουθεί απλώς την κυκλοφορία του δικτύου και θα παρατηρεί ένα πιστοποιημένο cookie περιόδου λειτουργίας θύματος. Ένας εισβολέας μπορεί να κλέψει αυτό το cookie και να εκτελέσει επίθεση Man-in-the-Middle.

Μη επικυρωμένες ανακατευθύνσεις και προωθήσεις

Τεχνικές Περιγραφές

Η εφαρμογή Ιστού χρησιμοποιεί λίγες μεθόδους για να ανακατευθύνει και να προωθήσει τους χρήστες σε άλλες σελίδες για τον επιδιωκόμενο σκοπό.

Εάν δεν υπάρχει σωστή επικύρωση κατά την ανακατεύθυνση σε άλλες σελίδες, οι εισβολείς μπορούν να το χρησιμοποιήσουν και να ανακατευθύνουν τα θύματα σε ιστότοπους ηλεκτρονικού ψαρέματος ή κακόβουλου λογισμικού ή να χρησιμοποιήσουν την προώθηση για πρόσβαση σε μη εξουσιοδοτημένες σελίδες.

ΕΠΙΠΤΩΣΕΙΣ

  • Ένας εισβολέας μπορεί να στείλει μια διεύθυνση URL στον χρήστη που περιέχει μια γνήσια διεύθυνση URL επισυναπτόμενη με κωδικοποιημένη κακόβουλη διεύθυνση URL. Ένας χρήστης βλέποντας απλώς το γνήσιο τμήμα της διεύθυνσης URL που απεστάλη από τον εισβολέα μπορεί να περιηγηθεί σε αυτό και μπορεί να γίνει θύμα.

Παραδείγματα

1.http://www.vulnerablesite.com/login.aspx?redirectURL=ownsite.com

Τροποποιήθηκε σε

http://www.vulnerablesite.com/login.aspx?redirectURL=evilsite.com

συστάσεις

  1. Απλώς αποφύγετε τη χρήση ανακατευθύνσεων και προωθήσεων στην εφαρμογή. Εάν χρησιμοποιείται, μην χρησιμοποιείτε τη χρήση παραμέτρων χρήστη στον υπολογισμό του προορισμού.
  2. Εάν οι παράμετροι προορισμού δεν μπορούν να αποφευχθούν, βεβαιωθείτε ότι η παρεχόμενη τιμή είναι έγκυρη και εξουσιοδοτημένη για τον χρήστη.