Prístup na internet má viac ľudí ako kedykoľvek predtým. To podnietilo mnoho organizácií k vývoju webových aplikácií, ktoré môžu používatelia používať online na interakciu s organizáciou. Zle napísaný kód pre webové aplikácie je možné zneužiť na získanie neoprávneného prístupu k citlivým údajom a webovým serverom.
V tomto tutoriáli sa naučíte hackovať webové stránky. Predstavíme vám techniky hackovania webových aplikácií a protiopatrenia, ktoré môžete zaviesť na ochranu pred takýmito útokmi .
Témy obsiahnuté v tomto návode
- Čo je to webová aplikácia? Čo sú webové hrozby?
- Ako chrániť váš web pred hackermi?
- Triky hackovania webových stránok: Hackujte webové stránky online!
Čo je to webová aplikácia? Čo sú webové hrozby?
Webová aplikácia (alias webová stránka) je aplikácia založená na modeli klient-server. Server poskytuje prístup do databázy a obchodnú logiku. Je hostený na webovom serveri. Klientská aplikácia je spustená na klientskom webovom prehliadači. Webové aplikácie sú zvyčajne písané v jazykoch ako Java, C # a VB.Net, PHP, ColdFusion Markup Language atď., Databázové motory používané vo webových aplikáciách zahŕňajú MySQL, MS SQL Server, PostgreSQL, SQLite atď.
Väčšina webových aplikácií je hostená na verejných serveroch prístupných cez internet. Vďaka tomu sú zraniteľní voči útokom z dôvodu ľahkej dostupnosti. Nasledujú bežné hrozby webových aplikácií.
- SQL Injection - cieľom tejto hrozby by mohlo byť obísť prihlasovacie algoritmy, sabotovať údaje atď.
- Útoky odmietnutia služby - cieľom tejto hrozby by mohlo byť odmietnutie prístupu legitímnych používateľov k prostriedku
- Cross Site Scripting XSS - cieľom tejto hrozby by mohlo byť vloženie kódu, ktorý je možné spustiť v prehliadači na strane klienta.
- Otrava cookies / relácie - cieľom tejto hrozby je upraviť súbory cookie / údaje relácie útočníkom tak, aby získali neoprávnený prístup.
- Neoprávnená manipulácia s formulárom - cieľom tejto hrozby je upraviť údaje z formulárov, ako sú napríklad ceny v aplikáciách elektronického obchodu, aby útočník mohol získať položky za znížené ceny.
- Vloženie kódu - cieľom tejto hrozby je vloženie kódu ako PHP, Python atď., Ktorý je možné spustiť na serveri. Kód môže inštalovať zadné vrátka, odhaliť citlivé informácie atď.
- Defacement - cieľom tejto hrozby je upraviť stránku zobrazenú na webe a presmerovať všetky požiadavky na stránku na jednu stránku, ktorá obsahuje správu útočníka.
Ako chrániť váš web pred hackermi?
Organizácia môže prijať nasledujúce pravidlá na svoju ochranu pred útokmi webového servera.
- SQL Injection - dezinfekcia a validácia používateľských parametrov pred ich odoslaním do databázy na spracovanie môže pomôcť znížiť pravdepodobnosť, že k nim dôjde prostredníctvom nástroja SQL Injection. Databázové stroje ako MS SQL Server, MySQL atď. Podporujú parametre a pripravené výkazy. Sú oveľa bezpečnejšie ako tradičné príkazy SQL
- Útoky odmietnutia služby - brány firewall sa dajú použiť na zníženie prenosu z podozrivej adresy IP, ak je útokom jednoduchá DoS. Správna konfigurácia sietí a systému detekcie prienikov môže tiež pomôcť znížiť pravdepodobnosť, že útok DoS bude úspešný.
- Cross Site Scripting - validácia a dezinfekcia hlavičiek, parametre prechádzajúce cez URL, parametre formulára a skryté hodnoty môžu pomôcť znížiť XSS útoky.
- Otrava cookies / relácie - tomu sa dá zabrániť šifrovaním obsahu súborov cookie, časovým rozvrhnutím súborov cookie a priradením súborov cookie k adrese IP klienta, ktorá bola použitá na ich vytvorenie.
- Temperovanie formulára - tomu je možné zabrániť overením a overením vstupu používateľa pred jeho spracovaním.
- Vloženie kódu - tomu sa dá zabrániť tak, že sa so všetkými parametrami zaobchádza skôr ako s údajmi ako so spustiteľným kódom. Na implementáciu je možné použiť dezinfekciu a validáciu.
- Defacement - dobrá bezpečnostná politika pre vývoj webových aplikácií by mala zabezpečiť, aby zapečatila bežne používané chyby zabezpečenia pri prístupe na webový server. Môže to byť správna konfigurácia operačného systému, softvéru webového servera a osvedčené postupy zabezpečenia pri vývoji webových aplikácií.
Triky hackovania webových stránok: Hackujte webové stránky online
V tomto praktickom scenári hackovania tejto webovej stránky sa chystáme uniesť používateľskú reláciu webovej aplikácie umiestnenej na adrese www.techpanda.org. Na načítanie ID relácie cookie použijeme skriptovanie medzi stránkami, ktoré potom použijeme na vydávanie sa za legitímnu reláciu používateľa.
Vychádza sa z predpokladu, že útočník má prístup k webovej aplikácii a chcel by uniesť relácie ostatných používateľov, ktorí používajú tú istú aplikáciu. Cieľom tohto útoku by mohlo byť získanie prístupu správcu k webovej aplikácii za predpokladu, že prístupový účet útočníka je obmedzený.
Začíname
- Otvorte stránku http://www.techpanda.org/
- Z praktických dôvodov sa dôrazne odporúča získať prístup pomocou aplikácie SQL Injection. V tomto článku nájdete ďalšie informácie o tom, ako to urobiť.
- Prihlasovací e-mail je Táto e-mailová adresa je chránená pred spamovacími robotmi. Ak ju chcete vidieť, musíte mať povolený JavaScript., Heslo je Password2010
- Ak ste sa úspešne prihlásili, dostanete nasledujúci informačný panel
- Kliknite na Pridať nový kontakt
- Ako meno zadajte nasledujúce
TU,
Vyššie uvedený kód používa JavaScript . Pridáva hypertextový odkaz s udalosťou onclick . Keď nič netušiaci používateľ klikne na odkaz, udalosť načíta ID relácie cookie súboru PHP a odošle ho na stránku snatch_sess_id.php spolu s ID relácie v adrese URL
- Zadajte zvyšné podrobnosti, ako je uvedené nižšie
- Kliknite na Uložiť zmeny
- Váš informačný panel bude teraz vyzerať ako na nasledujúcej obrazovke
- Pretože je skriptový kód viacerých stránok uložený v databáze, bude načítaný zakaždým, keď sa prihlásia používatelia s prístupovými právami
- Predpokladajme, že sa administrátor prihlási a klikne na hypertextový odkaz, ktorý hovorí Dark
- Dostane okno s ID relácie, ktoré sa zobrazuje v adrese URL
Poznámka : skript mohol odosielať hodnotu na nejaký vzdialený server, kde je uložený PHPSESSID, a potom bol používateľ presmerovaný späť na web, akoby sa nič nestalo.
Poznámka : Hodnota, ktorú získate, sa môže líšiť od hodnoty v tomto výučbe hackovania webových stránok, ale koncept je rovnaký
Odcudzenie identity relácie pomocou doplnku Firefox a Tamper Data
Vývojový diagram uvedený nižšie ukazuje kroky, ktoré musíte podniknúť na dokončenie tohto cvičenia.
- Pre túto časť budete potrebovať webový prehliadač Firefox a doplnok Tamper Data
- Otvorte Firefox a nainštalujte doplnok tak, ako je to znázornené na obrázkoch nižšie
- Vyhľadajte údaje o neoprávnenej manipulácii a potom kliknite na inštaláciu, ako je uvedené vyššie
- Kliknite na Prijať a nainštalovať ...
- Po dokončení inštalácie kliknite na tlačidlo Reštartovať teraz
- Ak sa lišta ponuky v prehliadači Firefox nezobrazuje, povoľte ju
- Kliknite na ponuku nástrojov a potom vyberte položku Tamper Data, ako je to zobrazené nižšie
- Dostanete nasledujúce okno. Poznámka: Ak Windows nie sú prázdne, stlačte tlačidlo Vymazať
- Kliknite na ponuku Start Tamper
- Prejdite späť na webový prehliadač Firefox, zadajte adresu http://www.techpanda.org/dashboard.php a potom stránku načítajte stlačením klávesu Enter.
- Z Tamper Data sa zobrazí nasledujúce okno
- Vyskakovacie okno má tri (3) možnosti. Možnosť Tamper vám umožňuje upraviť informácie v hlavičke HTTP pred ich odoslaním na server .
- Kliknite na ňu
- Dostanete nasledujúce okno
- Skopírujte ID relácie PHP, ktoré ste skopírovali z adresy URL útoku, a prilepte ho za znamienko rovnosti. Vaša hodnota by teraz mala vyzerať takto
PHPSESSID = 2DVLTIPP2N8LDBN11B2RA76LM2
- Kliknite na tlačidlo OK
- Opäť sa zobrazí kontextové okno s údajmi o neoprávnenej manipulácii
- Zrušte začiarknutie políčka s výzvou Pokračovať v manipulácii?
- Po dokončení kliknite na tlačidlo Odoslať
- Mali by ste vidieť informačný panel, ako je uvedené nižšie
Poznámka : neprihlásili sme sa, zosobnili sme reláciu prihlásenia pomocou hodnoty PHPSESSID, ktorú sme načítali pomocou skriptovania medzi stránkami
Zhrnutie
- Webová aplikácia je založená na modeli server-klient. Strana klienta používa na prístup k prostriedkom na serveri webový prehľadávač.
- Webové aplikácie sú zvyčajne prístupné cez internet. To ich robí zraniteľnými voči útokom.
- Medzi hrozby webových aplikácií patrí SQL Injection, Code Injection, XSS, Defacement, Cookie otrava atď.
- Dobrá bezpečnostná politika pri vývoji webových aplikácií môže pomôcť zaistiť ich bezpečnosť.