LINUXSOFT.cz Přeskoč levou lištu
Uživatel: Heslo:  
   CZUKPL

> Bezpečnosť webovej aplikácie I.

Bezpečnosť počítačov v dnešnej dobe je dosť podceňovaná a braná na veľmi malú váhu, čo je veľmi veľká chyba. Rozhodol som sa napísať malý tutoriál, v ktorom vás oboznámim s najčastejšími a najzakernejšími útokmi. V tomto jednom článku sa pokúsim stručne opísať a navrhnúť riešenie najzávažnej zraniteľnosti, tou je Injection.

9.3.2012 00:00 | Marek Beleščiak | Články autora | přečteno 4752×

Za pomoci tejto zraniteľnosti dokáže útočník donútiť program či skript niečo, čo jeho vývojár pôvodne nechcel aby vykonal. Táto zraniteľnosť sa hojne vyskytuje na celom internete vo velkom počte stránok. Je veľa miest, kde sa dá vykonať injektáž, ja sa ale budem venovať len dvom a tie sú SQL Injection a Log injection. Podstatou tohto útoku je nedostatočná kontrola vstupu a z pôvodného plánu vznikne upravený nebezpečný kód. Pozrite si nasledúci dopyt na databázu:

SELECT name, city FROM customers WHERE id = 1

Len málokedy je premenná id statická, takže musíte za id dosadiť vstup, aby ste dostali to, čo potrebujete. Obrovská časť php programátorov to robí veľmi zlým ale zato obľubeným spôsobom. Proste tam dosadia vstup spojením dvoch reťazcov:

$sql = "SELECT name, city FROM customers WHERE id = " . $_GET['id']

Pre neznalcov php poviem len, že $_GET je pole vygenerované z QUERY_STRING. Problém je, ale, že nevieme, čo sa skrýva za magickým $_GET['id']. Príklad: pokiaľ by $_GET['id'] sa rovnal "1 OR 1=1" náš dopyt by zmenil podobu na:

SELECT name, city FROM customers WHERE id = 1 OR 1=1

Tento kód namiesto zobrazenia jedného zákaznika zobrazí úplne všetkých. Tento dopyt je sám o sebe neškodný, ale po jeho úspechu si už útočník nájde cestu.

Riešenie ?

Problém je len v tom, že id má byť číslo a nemá sa interpretovať ako reťazec. Medzi jedno z riešení patrí veľmi obľubené a elegatné printf(), funkcia ktorá má veľa variantov (sprintf,snprintf,vprintf,...) stále ale vravíme v podstate o tom istom. Náš problém vyrieší aj nasledujúca funkcia:

sprintf("SELECT name, city FROM customers WHERE id = %u", $_GET['id']);

Podotýkam, že formátov je v printf veľa, tie najbežnejšie sú %f (float), %d,%i (číslo), %u (kladné číslo), %s (reťazec). S takýmto interpretovaním našho dopytu sme ošetrili vstup a môžme bezpečne odoslať dopyt databázovému serveru.

Ďalším, asi najhorším problémom je, keď máte odoslať na server nejaký reťazec, dáta. Uveďme si zasa nejaký príklad napr. s prihlasením používateľa:

SELECT id, name, email, ip FROM account WHERE name = '%s' AND password = '%s'

Zasa nemôžeme dôverovať dátam zo vstupu, pretože v nich môže byť absolutne hocičo. Príklad: pokiaľ by sme do mena dali "' OR 1=1 #" náš dopyt by sa zmenil na:

SELECT id, name, email, ip FROM account WHERE name = '' OR 1=1 #' AND password = (hash)

Ako vidíte, dopyt vráti absolutne všetky riadky v tabuľke pretože pre každy platí, že 1=1 a časť za # sa berie ako komentár takže ju server úplne ignoruje. Zvyčajne sa pracuje len s jedným, obyčajne prvým riadkom v tabuľke takže po tomto príklade sa prihlásite za prvého užívateľa, zvyčajne admina s vysokýmmi právami!

Existuje tu funkcia mysql_real_escape_string(), ktorá by mala danému problému predísť, escapnutím všetkých problémových znakov, takže náš dopyt by napokon vyzeral takto:

SELECT id, name, email, ip FROM account WHERE name = '\' OR 1=1' AND password = (hash)

V takejto podobe, už môžme bezpečne poslať dopyt na server, dôležité je aby ste reťazec uzatvorili do apostrofov príp. úvodzoviek.

Ultimátne riešenie

Asi rok dozadu som objavil jedno vynikajúce riešenie problému sql injection. Je ním prehodenie vstupu do hexadecimálnej reprezentácie a následne poslanie na server. Funkcia pre c/c++ mysql_hex_string(), php bin2hex(). Jediným obmedzením je asi to, že výsledný reťazec bude jeho pôvodná dĺžka * 2, ale myslím, že to není nejaký veľký problém pretože aj pre mysql_real_escape_string() musíte alokovať toľko isto miesta, otázna je len skutočná použitá časť, ktorá sa posiela na server.

Uveďme si malý príklad ako by vyzeral dopyt v hexadecimálnej reprezentácií:

Normál: SELECT id FROM users WHERE name = 'root'
Hex: SELECT id FROM users WHERE name = 0x726F6F74

Ako môžte sami vidieť, vstup je dokonale ošetrený tak, že znaky pôvodného reťazca sú zmenené na ich ascii hodnoty v hexe s 0x. Je tu ešte jeden spôsob a to namiesto 0xXX použiť mysql funkciu UNHEX().

Aby som nezabudol, pri písaní svojho programu nezabudnite dobre zvážiť používanie prepared statementov.

Log Injection

Log Injection je zraniteľnosť logov vyzerať inač ako by mali. Stručne vám vysvetlím o čo vlastne ide. Pozrite si nasledujúcu funkciu:

	int Log(const char* file, const char* user) {
		FILE* fp = fopen("access.log", "a");
		fprintf(fp, "User %s: Requested  File %s\n", user, file);
		fclose(fp);
	}
	

Náš log vypadá takto:

	User John: Requested File music.ogg
	User Joe: Requested File project.tar.gz
	

Naša funkcia ale nijak nekontroluje nepovolené znaky to znamená, že ak by sme jej podstrčili napr. správu "article.txt\nUser Admin: Requested File secret.gpg" a systém užívateľa "Joe" náš záznam správ by sa zmenil na:

	User John: Requested File music.ogg
	User Joe: Requested File project.tar.gz
	User Joe: Requested File article.txt
	User Admin: Requested File secret.gpg
	

Záver

Dúfam, že som vám objasnil princípy a problematiku tejto zraniteľnosti. Jediné, čo musíte robiť je stále, stále, stále kontrolovať vstupné dáta a nikdy im neveriť.

Verze pro tisk

pridej.cz

 

DISKUZE

Nejsou žádné diskuzní příspěvky u dané položky.



Příspívat do diskuze mohou pouze registrovaní uživatelé.
> Vyhledávání software
> Vyhledávání článků

13.2.2018 0:41 /František Kučera
Únorový pražský sraz OpenAltu se koná 15. 2. 2018 a tentokrát se vydáme na návštěvu do jednoho pražského datacentra. Sejdeme se v 17:50 v severovýchodní části nástupiště tramvajové zastávky Koh-I-Noor. Po exkurzi se přesuneme do restaurace U Pštrosa (Moskevská 49), kde probereme tradiční témata (svobodný software a hardware, DIY, CNC, SDR, 3D tisk…) a tentokrát bude k vidění i IoT brána od The Things Network.
Přidat komentář

11.2.2018 23:11 /Petr Ježek
Hledáte lehký a rychlý prolížeč PDF souborů? Pokud vás již omrzelo čekat na načítání stránek či jiné nešvary, zkuste xreader.
Přidat komentář

11.2.2018 20:35 /Redakce Linuxsoft.cz
Třetí ročník odborné IT konference na téma Cloud computing v praxi proběhne ve čtvrtek 1. března 2018 v konferenčním centru Vavruška, v paláci Charitas, Karlovo náměstí 5, Praha 2 (u metra Karlovo náměstí) od 9:00 hod. dopoledne do cca 16 hod. odpoledne. Konference o trendech v oblasti cloud computingu nabídne i informace o konkrétních možnostech využívání cloudů a řešení vybraných otázek souvisejících s provozem IT infrastruktury.
Přidat komentář

15.1.2018 0:51 /František Kučera
První letošní pražský sraz se koná již tento čtvrtek 18. ledna od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Vítáni jsou všichni příznivci svobodného softwaru a hardwaru, ESP32, DIY, CNC, SDR nebo dobrého piva. Prvních deset účastníků srazu obdrží samolepku There Is No Cloud… just other people's computers. od Free Software Foundation.
Přidat komentář

14.11.2017 16:56 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Zajímá tě DIY, CNC, SDR nebo morseovka? Přijď na sraz spolku OpenAlt – tradičně první čtvrtek před třetím pátkem v měsíci: 16. listopadu od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5).
Přidat komentář

12.11.2017 11:06 /Redakce Linuxsoft.cz
PR: 4. ročník odborné IT konference na téma Datová centra pro business proběhne již ve čtvrtek 23. listopadu 2017 v konferenčním centru Vavruška, v paláci Charitas, Karlovo náměstí 5, Praha 2 (u metra Karlovo náměstí) od 9:00. Konference o návrhu, budování, správě a efektivním využívání datových center nabídne odpovědi na aktuální a často řešené otázky, např Jaké jsou aktuální trendy v oblasti datových center a jak je využít pro vlastní prospěch? Jak zajistit pro firmu či jinou organizaci odpovídající služby datových center? Podle jakých kritérií vybrat dodavatele služeb? Jak volit součásti infrastruktury při budování či rozšiřování vlastního datového centra? Jak efektivně spravovat datové centrum? Jak eliminovat možná rizika? apod.
Přidat komentář

13.9.2017 8:00 /František Kučera
Máš rád svobodný software a hardware nebo se o nich chceš něco dozvědět? Zajímá tě DIY, CNC, SDR nebo morseovka? Přijď na sraz spolku OpenAlt – tentokrát netradičně v pondělí: 18. září od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5).
Přidat komentář

3.9.2017 20:45 /Redakce Linuxsoft.cz
PR: Dne 21. září 2017 proběhne v Praze konference "Mobilní řešení pro business". Hlavní tématy konference budou: nejnovější trendy v oblasti mobilních řešení pro firmy, efektivní využití mobilních zařízení, bezpečnostní rizika a řešení pro jejich omezení, správa mobilních zařízení ve firmách a další.
Přidat komentář

   Více ...   Přidat zprávičku

> Poslední diskuze

16.1.2018 1:08 / Ivan Pittner
verejna ip od o2 ubuntu

15.1.2018 17:26 / Mira Harvalik
Re: Jak udělat HTML/Javascript swiping gallery do mobilu?

30.12.2017 20:16 / Michal Knoll
odmocnina

31.8.2017 12:11 / Jaromir Obr
Re: ukůládání dat ze souboru

30.7.2017 11:12 / Jaromir Obr
Národní znaky

Více ...

ISSN 1801-3805 | Provozovatel: Pavel Kysilka, IČ: 72868490 (2003-2018) | mail at linuxsoft dot cz | Design: www.megadesign.cz | Textová verze