Phenquestions
Satura rādītājs
- Datu bāzes injekcija
- Salauzta autentifikācija
- Sensitīva datu iedarbība
- XML ārējās entītijas (XEE)
- Lauzta piekļuves kontrole
- Drošības nepareiza konfigurēšana
- Starpvietu skriptēšana (XSS)
- Nedroša deserializācija
- Komponentu ar zināmām ievainojamībām izmantošana
- Nepietiekama reģistrēšana un uzraudzība
Datu bāzes injekcija:
Neuzticamu datu gabalu nosūtīšanas gadījumā tulkotājam kā komandas sastāvdaļai caur jebkuru apgabalu, kurā tiek ievadīta lietotāja i.Veidlapas ievadē vai kādā citā datu iesniegšanas apgabalā rodas injicēšanas kļūdas. Uzbrucēja ļaunprātīgi vaicājumi var maldināt tulku izpildīt komandas, kas var parādīt konfidenciālus datus, kurus lietotājam nav atļauts apskatīt. Piemēram, SQL injekcijas uzbrukumā, ja veidlapas ievade nav pareizi dezinficēta, uzbrucējs var ievadīt SQL datu bāzi un piekļūt tās saturam bez atļaujas, vienkārši ievadot ļaunprātīgu SQL datu bāzes kodu formā, kas gaida vienkāršu tekstu. Jebkura veida lauki, kas aizņem lietotāja ievadīto informāciju, ir injicējami, t.i.parametri, vides mainīgie, visi tīmekļa pakalpojumi utt.
Lietotājs ir neaizsargāts pret injekcijas uzbrukumu, ja lietotāja sniegtie dati netiek dezinficēti un apstiprināti, izmantojot dinamiskus vaicājumus, neizbēgot no konteksta, un tieši izmantojot naidīgus datus. Injekcijas kļūdas var viegli atklāt, pārbaudot kodu un izmantojot automatizētus rīkus, piemēram, skenerus un fuzzerus. Lai novērstu injekcijas uzbrukumus, var veikt dažus pasākumus, piemēram, datu atdalīšana no komandām un vaicājumiem, drošas API izmantošana, kas nodrošina parametru saskarni, “baltā saraksta” servera puses ievades validācija, izmantojot tādus rīkus kā Snort, izvairīšanās no īpašām rakstzīmēm, izmantojot īpašu evakuācijas sintaksi utt.
Injekcijas uzbrukums var izraisīt lielu datu zudumu, konfidenciālas informācijas izpaušanu, piekļuves liegšanu un pat pilnīgu lietojumprogrammu pārņemšanu. Dažas SQL vadīklas, piemēram, LIMIT, var izmantot, lai kontrolētu milzīgu datu zudumu uzbrukuma gadījumā. Daži injekcijas uzbrukumu veidi ir SQL, OS, NoSQL, LDAP injekcijas uzbrukumi.
Pārtraukta autentifikācija:
Uzbrucēji var piekļūt lietotāju kontiem un var pat apdraudēt visu resursdatora sistēmu, izmantojot administratora kontus, izmantojot autentifikācijas sistēmu ievainojamības. Autentifikācijas trūkumi ļauj uzbrucējam apdraudēt paroles, sesijas marķierus, autentifikācijas atslēgas, un tos var saistīt ar citiem uzbrukumiem, kas īslaicīgi un dažos gadījumos var neatgriezeniski piekļūt jebkuram citam lietotāja kontam vai sesijai. Pieņemsim, ka lietotājam ir vārdu saraksts vai vārdnīca ar miljoniem derīgu lietotāju vārdu un paroļu, kas iegūti pārkāpuma laikā. Viņš var tos izmantot pa vienam ārkārtīgi īsā laikā, izmantojot automātiskos rīkus un skriptus pieteikšanās sistēmā, lai redzētu, vai kāds strādā. Slikta identitātes pārvaldības un piekļuves kontroles ieviešana noved pie tādām ievainojamībām kā bojāta autentifikācija.
Lietojumprogramma ir neaizsargāta pret autentifikācijas uzbrukumiem, ja tā ļauj izmēģināt dažādus lietotājvārdus un paroles, atļauj vārdnīcu uzbrukumus vai brutālu spēku uzbrukumus bez jebkādas aizsardzības stratēģijas, izmantot vienkāršas, noklusējuma paroles vai paroles, kas noplūdušas jebkurā pārkāpumā, pakļauj sesijas ID vietrādī URL, izmanto slikta paroles atkopšanas shēma, izmanto sīkfailu modeli. Salauzto autentifikāciju var viegli izmantot, izmantojot vienkāršus rīkus brutālai piespiešanai un vārdnīcu uzbrukumiem ar labu vārdnīcu. Šāda veida uzbrukumus var novērst, izmantojot daudzfaktoru autentifikācijas sistēmas, ieviešot vājas paroļu pārbaudes, palaižot paroli sliktu paroļu datu bāzē, neizmantojot noklusējuma akreditācijas datus, saskaņojot paroļu sarežģītības politiku, izmantojot labas servera puses sesijas pārvaldnieks, kas ģenerē jaunu izlases sesijas ID pēc pieteikšanās utt.
Bojāta autentifikācijas ievainojamība var izraisīt dažu lietotāju kontu un administratora konta apdraudēšanu, tas ir, uzbrucējam viss ir nepieciešams, lai kompromitētu sistēmu. Šāda veida uzbrukumi izraisa identitātes zādzību, krāpšanos ar sociālo drošību, naudas atmazgāšanu un ļoti klasificētas informācijas izpaušanu. Uzbrukumi ietver vārdnīcas uzbrukumus, rupju piespiešanu, sesiju nolaupīšanu un sesiju pārvaldības uzbrukumus.
Sensitīva datu iedarbība:
Dažreiz tīmekļa lietojumprogrammas neaizsargā sensitīvus datus un informāciju, piemēram, paroles, datu bāzes akreditācijas datus utt. Uzbrucējs var viegli nozagt vai pārveidot šos vāji aizsargātos akreditācijas datus un izmantot tos nelikumīgiem mērķiem. Sensitīvie dati ir jāšifrē, atrodoties miera stāvoklī vai atrodoties tranzītā, un tiem ir jābūt papildu drošības slānim, pretējā gadījumā uzbrucēji tos var nozagt. Uzbrucēji var piekļūt konfidenciāliem datiem un nozagt vai notīrīt teksta lietotājus un datu bāzes akreditācijas datus no servera vai tīmekļa pārlūkprogrammas. Piemēram, ja paroļu datu bāzē paroļu glabāšanai tiek izmantoti nesālīti vai vienkārši jaukšanas gadījumi, failu augšupielādes kļūda var ļaut uzbrucējam izgūt paroļu datu bāzi, kas novedīs pie visu paroļu ekspozīcijas ar iepriekš aprēķinātu jauktu varavīksnes tabulu.
Galvenais trūkums ir ne tikai tas, ka dati netiek šifrēti, pat ja tie ir šifrēti, bet vāja atslēgu ģenerēšana, vāji jaukšanas algoritmi, vāja šifra izmantošana var izraisīt arī šāda veida vienu no visbiežāk sastopamajiem uzbrukumiem. Lai novērstu šāda veida uzbrukumus, vispirms klasificējiet, kādus datus saskaņā ar privātuma likumiem var uzskatīt par sensitīviem, un atbilstoši klasifikācijai izmantojiet kontroles. Centieties neglabāt nekādus klasificētus datus, kas jums nav vajadzīgi, nomazgājiet tos, tiklīdz tos lietojat. Tranzītajiem datiem šifrējiet tos ar drošiem protokoliem, t.e TLS ar PFS šifriem utt.
Šāda veida ievainojamība var radīt ļoti sensitīvu informāciju, piemēram, kredītkaršu akreditācijas datus, veselības ierakstus, paroles un visus citus personas datus, kas var izraisīt identitātes zādzību un krāpšanos bankās utt.
XML ārējās vienības (XEE):
Slikti konfigurēti XML procesori XML dokumentos apstrādā ārējo entītiju atsauces. Šīs ārējās entītijas var izmantot, lai izgūtu iekšējo failu datus, piemēram, / etc / passwd failu vai lai veiktu citus ļaunprātīgus uzdevumus. Neaizsargātos XML procesorus var viegli izmantot, ja uzbrucējs var augšupielādēt XML dokumentu vai iekļaut XML utt. Šīs neaizsargātās XML entītijas var atklāt, izmantojot SAST un DAST rīkus vai manuāli, pārbaudot atkarības un konfigurācijas.
Tīmekļa lietojumprogramma ir neaizsargāta pret XEE uzbrukumu daudzu iemeslu dēļ, piemēram, ja lietojumprogramma pieņem tiešu XML ievadi no neuzticamiem avotiem, lietojumprogrammā ir iespējotas dokumentu veida definīcijas (DTD), lietojumprogramma identitātes apstrādei izmanto SAML, jo SAML identitātei izmanto XML ievietojumi utt. XEE uzbrukumus var mazināt, izvairoties no sensitīvu datu sērijveidošanas, izmantojot mazāk sarežģītus datu formātus, t.e JSON, XML procesoru lāpīšana, lietojumprogramma izmanto korekti un pat bibliotēkas, atspējojot DTD visos XML parsētājos, XML failu augšupielādes funkcionalitātes validēšana, izmantojot XSD verifikāciju utt.
Lietojumprogramma, kas ir neaizsargāta pret šāda veida uzbrukumiem, var izraisīt DOS uzbrukumu, miljardu smieklu uzbrukumu, iekšējo sistēmu skenēšanu, iekšējo ostu skenēšanu, attālās komandas izpildi, kā rezultātā tiek ietekmēti visi lietojumprogrammas dati.
Pārtraukta piekļuves kontrole:
Piekļuves kontrole piešķir lietotājiem privilēģijas veikt noteiktus uzdevumus. Salauzta piekļuves kontroles ievainojamība notiek, ja lietotājiem nav atbilstoši ierobežoti uzdevumi, kurus viņi var veikt. Uzbrucēji var izmantot šo ievainojamību, kas var beigties ar piekļuvi neatļautai funkcionalitātei vai informācijai. Pieņemsim, ka tīmekļa lietojumprogramma ļauj lietotājam mainīt kontu, no kura viņš ir pieteicies, vienkārši mainot URL uz citu lietotāja kontu bez papildu verifikācijas. Piekļuves kontroles ievainojamības izmantošana ir jebkura uzbrucēja uzbrukums, šo ievainojamību var atrast manuāli, kā arī izmantojot SAFT un DAFT rīkus. Šīs ievainojamības pastāv testa trūkuma un tīmekļa lietojumprogrammu automātiskas noteikšanas trūkuma dēļ, lai gan labākais veids, kā tās atrast, ir darīt manuāli.
Neaizsargātības satur privilēģiju eskalāciju, t.i.darbojoties kā lietotājs, kas jūs neesat, vai rīkojaties kā administrators, kamēr esat lietotājs, apejot piekļuves kontroles pārbaudes, vienkārši mainot URL vai mainot lietojumprogrammas stāvokli, manipulējot ar metadatiem, ļaujot mainīt galveno atslēgu kā cita lietotāja primāro atslēgu, utt. Lai novērstu šāda veida uzbrukumus, piekļuves kontroles mehānismi jāievieš servera puses kodā, kur uzbrucēji nevar mainīt piekļuves vadīklas. Lai mazinātu šāda veida uzbrukumus, jānodrošina unikālu lietojumprogrammu biznesa ierobežojumu ieviešana ar domēna modeļiem, serveru direktoriju saraksta atspējošana, administratora brīdināšana par atkārtotiem neveiksmīgiem pieteikšanās mēģinājumiem, JWT marķieru anulēšana pēc atteikšanās.
Uzbrucēji var darboties kā cits lietotājs vai administrators, izmantojot šo ievainojamību, lai veiktu ļaunprātīgus uzdevumus, piemēram, ierakstu izveidi, dzēšanu un modificēšanu utt. Liels datu zudums var notikt, ja dati netiek aizsargāti pat pēc pārkāpuma.
Nepareiza drošības konfigurācija:
Visizplatītākā ievainojamība ir nepareiza drošības konfigurācija. Galvenais ievainojamības iemesls ir noklusējuma konfigurācijas, nepilnīgas konfigurācijas, adhoc konfigurāciju, slikti konfigurētu HTTP galvenju un daudzbalsīgu kļūdu ziņojumu izmantošana, kas satur vairāk informācijas nekā lietotājam faktiski būtu bijis jāzina. Jebkurā tīmekļa lietojumprogrammas līmenī var rasties nepareiza drošības konfigurācija, t.e datu bāze, tīmekļa serveris, lietojumprogrammu serveris, tīkla pakalpojumi utt. Uzbrucēji var izmantot nesalabotas sistēmas vai piekļūt neaizsargātiem failiem un direktorijiem, lai sistēmā neautorizēti aizturētu. Piemēram, lietojumprogramma pārmērīgi daudz kļūdu ziņojumus, kas palīdz uzbrucējam uzzināt lietojumprogrammu sistēmas ievainojamības un darbības veidu. Lai atklātu šāda veida drošības trūkumus, var izmantot automatizētus rīkus un skenerus.
Tīmekļa lietojumprogrammā ir šāda veida ievainojamība, ja tai trūkst drošības rūdīšanas pasākumu jebkurā lietojumprogrammas daļā, ir atvērtas nevajadzīgas ostas vai tā ļauj nevajadzīgas funkcijas, tiek izmantotas noklusējuma paroles, kļūdu apstrāde uzbrucējam atklāj vairāk nekā informatīvas kļūdas. nepabeigta vai novecojusi drošības programmatūra utt. To var novērst, noņemot nevajadzīgas koda funkcijas, t.minimāla platforma bez nevajadzīgām funkcijām, dokumentācijas utt., kas ļauj uzdevumam atjaunināt un aizlāpīt drošības caurumus kā daļu no ielāpu pārvaldības procesiem, izmantot procesu, lai pārbaudītu veikto drošības pasākumu efektivitāti, atkārtotu sacietēšanas procesu ir viegli izvietot citu pareizi bloķētu vidi.
Šāda veida ievainojamība vai trūkumi ļauj uzbrucējam iegūt nesankcionētu piekļuvi sistēmas datiem, kas noved pie pilnīgas sistēmas kompromitēšanas.
Starp vietņu skriptu izveidošana (XSS):
XSS ievainojamība notiek brīdī, kad tīmekļa lietojumprogramma iekļauj neuzticamus datus jaunā vietnes lapā bez likumīgas apstiprināšanas vai aizbēgšanas, vai atsvaidzina pašreizējo vietnes lapu ar klienta sniegtiem datiem, izmantojot pārlūkprogrammas API, kas var izveidot HTML vai JavaScript. XSS trūkumi rodas gadījumā, ja vietne ļauj lietotājam pievienot pielāgotu kodu URL ceļā, kuru var redzēt citi lietotāji. Šie trūkumi tiek izmantoti, lai palaistu ļaunprātīgu JavaScript kodu mērķa pārlūkprogrammā. Pieņemsim, ka uzbrucējs var nosūtīt upurim saiti ar saiti uz jebkura uzņēmuma vietni. Šajā savienojumā varētu būt iestrādāts kāds ļaunprātīgs JavaScript kods. Gadījumā, ja bankas vietne nav atbilstoši aizsargāta pret XSS uzbrukumiem, noklikšķinot uz saites, upura pārlūkprogrammā tiks palaists ļaunprātīgais kods.
Starp vietņu skriptu izveidošana ir drošības ievainojamība, kas ir sastopama gandrīz ⅔ tīmekļa lietojumprogrammās. Lietojumprogramma ir neaizsargāta pret XSS, ja lietojumprogramma saglabā nesanalizētu lietotāja ievadi, kuru var redzēt cits lietotājs, izmantojot JavaScript struktūras, vienas lapas lietojumprogrammas un API, kas lapā spēcīgi iekļauj uzbrucēja kontrolējamu informāciju, ir bezpalīdzīgi pret DOM XSS. XSS uzbrukumus var mazināt, izmantojot ietvarus, kas izvairās un dezinficē XSS ievadi pēc būtības, piemēram, React JS uc, uzzinot ietvaru ierobežojumus un tos aptverot, izmantojot savus gadījumus, izvairoties no nevajadzīgiem un neuzticamiem HTML datiem visur, kur es.e HTML atribūtos, URI, Javascript utt., kontekstjutīgas kodēšanas izmantošana dokumenta modificēšanas gadījumā klienta pusē utt.
Uz XSS balstīti uzbrukumi ir trīs veidu, t.i.e Reflected XSS, DOM XSS un Stored XSS. Visiem šo uzbrukumu veidiem ir ievērojama ietekme, taču Stored XSS gadījumā ietekme ir vēl lielāka, t.i.e pilnvaru zagšana, ļaunprātīgas programmatūras sūtīšana upurim utt.
Nedroša deserializācija:
Datu serializācija nozīmē objektu ņemšanu un pārveidošanu jebkurā formātā, lai vēlāk šos datus varētu izmantot citiem mērķiem, savukārt datu deserializācija nozīmē pretējo tam. Deserializācija izsaiņo šos sērijveida datus lietojumprogrammu lietošanai. Nedroša deserializācija nozīmē tādu datu atlaidināšanu, kuri ir seriālizēti tieši pirms tam, kad tos drīzumā paredzēts izpakot vai deserializēt. Nedroša deserializācija noved pie attālās koda izpildes, un to izmanto citu uzdevumu veikšanai ļaunprātīgiem mērķiem, piemēram, privilēģiju eskalācijai, injekcijas uzbrukumiem, atkārtotu uzbrukumu utt. Ir pieejami daži rīki šāda veida trūkumu atklāšanai, taču problēmas apstiprināšanai bieži nepieciešama cilvēku palīdzība. Deserializācijas izmantošana ir nedaudz sarežģīta, jo ekspluatācija nedarbosies bez dažām manuālām izmaiņām.
Kad lietojumprogramma deserializē ļaunprātīgos objektus, kurus piegādā uzbrūkošā entītija. Tas var izraisīt divu veidu uzbrukumus, t.i.Uzbrukumi, kas saistīti ar datu struktūru un objektiem, kuros uzbrucējs modificē lietojumprogrammas loģiku vai izpilda attālo kodu, un tipiski datu sagrozīšanas uzbrukumi, kuros esošās datu struktūras tiek izmantotas ar modificētu saturu, piemēram, ar piekļuves kontroli saistīti uzbrukumi. Serializāciju var izmantot attālajā komunikācijā (RPC) vai starpprocesu komunikācijā (IPC), datu kešatmiņā, tīmekļa pakalpojumos, datu bāzēs kešatmiņas serverī, failu sistēmās, API autentifikācijas marķieros, HTML sīkfailos, HTML formas parametros utt. Deserializācijas uzbrukumus var mazināt, neizmantojot sērijveida objektus no neuzticamiem avotiem, ieviešot integritātes pārbaudes, izolējot zemu priviliģētā vidē darbojošos kodu, uzraugot ienākošos un izejošos tīkla savienojumus no serveriem, kas bieži deserializējas.
Komponentu ar zināmu ievainojamību izmantošana:
Lielākā daļa izstrādātāju tīmekļa lietojumprogrammā izmanto dažādas sastāvdaļas, piemēram, bibliotēkas, ietvarus un programmatūras moduļus. Šīs bibliotēkas palīdz izstrādātājam izvairīties no nevajadzīga darba un nodrošina nepieciešamo funkcionalitāti. Uzbrucēji meklē šo komponentu trūkumus un ievainojamību, lai koordinētu uzbrukumu. Ja kādā komponentā tiek atrasta drošības nepilnība, visas vietnes, kurās tiek izmantots viens un tas pats komponents, var kļūt neaizsargātas. Šo ievainojamību izmantošana jau ir pieejama, savukārt, lai izveidotu pielāgotu izmantošanu no nulles, ir jāpieliek daudz pūļu. Tas ir ļoti izplatīts un plaši izplatīts jautājums. Liela komponentu daudzuma izmantošana tīmekļa lietojumprogrammas izstrādē var izraisīt visu izmantoto komponentu pat nezināšanu un izpratni, visu komponentu lāpīšana un atjaunināšana ir tāls ceļš.
Lietojumprogramma ir neaizsargāta, ja izstrādātājs nezina izmantotā komponenta versiju, programmatūra ir novecojusi, t.Operētājsistēma, DBVS, darbojas programmatūra, izpildlaika vide un bibliotēkas, ievainojamības skenēšana netiek veikta regulāri, izstrādātāji nepārbauda ielāpītās programmatūras saderību. To var novērst, noņemot neizmantotās atkarības, failus, dokumentāciju un bibliotēkas, regulāri pārbaudot klienta un servera puses komponentu versiju, iegūstot komponentus un bibliotēkas no oficiāliem un uzticamiem drošiem avotiem, pārraugot nenosūtītās bibliotēkas un komponentus, nodrošinot plānu par neaizsargātu komponentu regulāru atjaunināšanu un lāpīšanu.
Šīs ievainojamības rada nelielu ietekmi, bet var izraisīt arī servera un sistēmas kompromitēšanu. Daudzi lieli pārkāpumi balstījās uz zināmām sastāvdaļu ievainojamībām. Neaizsargātu komponentu izmantošana grauj lietojumprogrammu aizsardzību un var būt sākumpunkts lielam uzbrukumam.
Nepietiekama reģistrēšana un uzraudzība:
Lielākā daļa sistēmu neveic pietiekami daudz pasākumu un darbību, lai atklātu datu pārkāpumus. Vidējais incidenta reakcijas laiks ir 200 dienas pēc tam, kad tas noticis, tas ir daudz laika, lai veiktu visu nepatīkamo lietu uzbrūkošajai vienībai. Nepietiekama reģistrēšana un uzraudzība ļauj uzbrucējam turpināt uzbrukt sistēmai, saglabāt sistēmas turēšanu, manipulēt, turēt un iegūt datus atbilstoši nepieciešamībai. Uzbrucēji tīmekļa lietošanai uzbrucēji izmanto sev par labu uzraudzības un reaģēšanas trūkumu.
Nepietiekama reģistrēšana un uzraudzība notiek jebkurā laikā, t.i.Lietojumprogrammu žurnāli netiek uzraudzīti neparastu darbību dēļ, pārbaudāmie notikumi, piemēram, neveiksmīgi pieteikšanās mēģinājumi un augstas darījumu vērtības, netiek pareizi reģistrēti, brīdinājumi un kļūdas rada neskaidrus kļūdu ziņojumus, nav sprūda brīdinājuma pentēšanas gadījumā, izmantojot automatizētus DAST rīkus, nespējot noteikt vai ātri brīdināt aktīvos uzbrukumus utt. Tos var mazināt, nodrošinot visu pieteikšanās, piekļuves kontroles kļūmju un servera puses ievades validācijas reģistrēšanu, lai identificētu ļaunprātīgu lietotāja kontu, un pietiekami ilgu laiku turēt aizkavētai tiesu ekspertīzei, nodrošinot, ka ģenerētie žurnāli ir formātā. savietojams ar centralizētiem žurnālu pārvaldības risinājumiem, nodrošinot integritātes pārbaudes pie lielvērtīgiem darījumiem, izveidojot sistēmu savlaicīgiem brīdinājumiem par aizdomīgām darbībām utt.
Lielākā daļa veiksmīgo uzbrukumu sākas ar sistēmas ievainojamību pārbaudi un pārbaudi, ļaujot šīm ievainojamības pārbaudēm var tikt apdraudēta visa sistēma.
Secinājums:
Tīmekļa lietojumprogrammas drošības ievainojamība ietekmē visas entītijas, kas saistītas ar šo lietojumprogrammu. Lai lietotājiem nodrošinātu drošu vidi, ir jārūpējas par šīm ievainojamībām. Uzbrucēji var izmantot šīs ievainojamības, lai kompromitētu sistēmu, to iegūtu un palielinātu privilēģijas. Bojātas tīmekļa lietojumprogrammas ietekmi var vizualizēt no nozagtiem kredītkaršu akreditācijas datiem un identitātes zādzībām līdz ļoti konfidenciālas informācijas noplūdei utt. atkarībā no ļaunprātīgu entītiju vajadzībām un uzbrukumu izplatītājiem.
