La descarga está en progreso. Por favor, espere

La descarga está en progreso. Por favor, espere

Web Attacks Mauren Alies Maria Isabel Serrano Sergio Garcia Fabian Molina Juan Felipe Montoya.

Presentaciones similares


Presentación del tema: "Web Attacks Mauren Alies Maria Isabel Serrano Sergio Garcia Fabian Molina Juan Felipe Montoya."— Transcripción de la presentación:

1 Web Attacks Mauren Alies Maria Isabel Serrano Sergio Garcia Fabian Molina Juan Felipe Montoya

2 Agenda b Introducción b Cross Site Scripting b Unicode Hack b Ataques CGI b Conclusiones b Referencias

3 Introducción b Qué son? Ataques a Aplicaciones, Clientes y Servidores WebAtaques a Aplicaciones, Clientes y Servidores Web b Puertos Web: 80, 81, 443, 8000, 8001, 8010, , 81, 443, 8000, 8001, 8010, 8080 b Tipos de Ataques Usan Código Malévolo: vulneran usuarios domésticosUsan Código Malévolo: vulneran usuarios domésticos Canonización: atacan errores en el proceso de conversión (URL, direcciones IP, etc.)Canonización: atacan errores en el proceso de conversión (URL, direcciones IP, etc.)

4 Agenda b Introducción b Cross Site Scripting b Unicode Hack b Ataques CGI b Conclusiones b Referencias

5 Cross Site Scripting b Se aprovecha de la inserción de caracteres especiales en la comunicación cliente – servidor, de forma que introduce Scripts maliciosos b El Script se ejecuta en el contexto de seguridad del cliente, no del atacante b Ocurren en páginas dinámicamente generadas, cuando se confía en la validez de la fuente (cliente) b Utiliza programas applet de Java, ActiveX, JavaScript y VbScript que permiten crear páginas Web interactivas

6 Cross Site Scripting Comprometimiento de cookie de sesión

7 Cross Site Scripting Cómo se realiza? Selección del sitio Web por el atacante; usualmente un sitio de e-commerce. Análisis del sitio Web; desarrollo del Script malicioso y su método de inserción. Desarrollo de componentes receptores. Paso necesario si se esta interesado en recibir información (por ejemplo números de tarjetas de crédito). Atracción de la victima para que interactúe con el atacante, haciendo uso de contenido interesante. Redirección de la solicitud del Browser e inserción del Script malicioso. Puerta Abierta para el atacante.

8 Cross Site Scripting Impacto b Exposición de Conexiones SSL-encriptadas b Ataques persistentes con Cookies envenenadas b Acceso a sitios Web restringidos b Violación de políticas de seguridad basadas en dominio b Riesgos adicionales, por uso de caracteres poco comunes b Alteración del comportamiento de un Formulario

9 Cross Site Scripting Contramedidas USUARIOSERVIDOR Deshabilitar los lenguajes de Script en el Browser: mayor protección, pero deshabilita funcionalidades Selección explícita de la codificación de caracteres Identificación de caracteres especiales Ser selectivos al visitar sitios Web Codificación dinámica de los elementos de salida Filtrado de caracteres Examen de Cookies

10 Agenda b Introducción b Cross Site Scriting b Unicode Hack b Ataques CGI b Conclusiones b Referencias

11 Unicode Hack b Nace en a finales del año 2000 a partir del descubrimiento de un bug en IIS 4.0 publicado en un foro del sitio b Aprovecha debilidades durante el proceso de interpretación y ejecución de URLs que efectúa un servidor Web por cada petición b Es llamado UNICODE debido a que es ésta la codificación de caracteres empleada para efectuar accesos ilegales sobre el servidor Web

12 Unicode Hack Funcionamiento b El servidor Web efectúa una verificación de seguridad sobre cada URL ejecutado para asegurar que el requerimiento no use ninguna secuencia./ o \. b Una vez que el IIS efectúa la verificación, pasa el URL a través de una rutina de decodificación para transformar cualquier caracter Unicode extendido y luego ser ejecutado b Reemplazando los caracteres / y \ por su representación Unicode %2f y %5c, el URL sobrepasa la verificación de seguridad (parsing)

13 Unicode Hack Funcionamiento b A raíz de la publicación del primer parche que incluyo un proceso adicional de parsing después de la transformación, nació una variante en la cual se efectúa una codificación doble de caracteres b El caracter '\' es codificado como "%5c, el correspondiente código de estos tres caracteres es: b El caracter '\' es codificado como "%5c, el correspondiente código de estos tres caracteres es: '%' = %25 '5' = %35 'c' = %63 b Codificando estos tres caracteres nuevamente, se obtiene: %255c %35c %35%63 %25%35%63 b Ejemplo: dir+c:\

14 Unicode Hack Ejemplo

15 Unicode Hack Impacto b Permite a usuarios externos obtener altos niveles de acceso a máquinas ejecutando IIS 4.0 o IIS 5.0 a través de URLs especiales o malformadas b El atacante puede ganar privilegios que le permiten efectuar acciones como acceder, cambiar o borrar datos; ejecutar comandos o código existente en el servidor y/o cargar nuevos códigos o programas en el servidor y ejecutarlos b Utiliza los permisos de la cuenta anónima IUSR_ que utiliza el servidor para los accesos desde Internet

16 Unicode Hack Contramedidas b Deshabilitar los privilegios de la cuenta IUSR_ sobre el cmd.exe, command.com, tftp.exe o attrib.exe b Instalar los directorios Web en un drive lógico distinto a donde se encuentra la carpeta Winnt b Configurar adecuadamente IIS (no por defecto) habilitando sólo los directorios Web necesarios b Asegurar el servidor IIS aplicando los parches de Microsoft para corregir esta vulnerabilidad

17 Agenda b Introducción b Cross Site Scriting b Unicode Hack b Ataques CGI b Conclusiones b Referencias

18 Ataques CGI Common Gateway Interface (CGI) b CGI es un estándar que permite comunicar programas del lado del cliente con servidores de información, como servidores Web o HTTP b Los programas en CGI proporcionan interactividad a las páginas Web en el servidor Formularios,Formularios, Consultas a Bases de Datos,Consultas a Bases de Datos, Permite ejecutar líneas de comandos,Permite ejecutar líneas de comandos, Etc.Etc. b Ampliamente utilizado en el desarrollo de las aplicaciones Web b Pueden generar problemas de seguridad

19 Ataques CGI Modelo de Comunicación CGI Solicitud HTTP Llamada al CGI, datos de entrada pasados para procesar Respuesta del CGI Respuesta del CGI retornada al usuario por el Browser

20 Ataques CGI Vulnerabilidades b Llamada de CGIs directamente desde la línea de URL en el browser b Programas CGI mal diseñados: Entrada de datos del usuario no validadas. Evitar caracteres como:Entrada de datos del usuario no validadas. Evitar caracteres como: `, $, |, ;, >, *,, *,<, &, [, ', \, ], ", (, ~, ?, ), \n, \r, entre otros. Revelar información de la configuración del sistema y del servidorRevelar información de la configuración del sistema y del servidor Permitir acceso parcial o total al servidorPermitir acceso parcial o total al servidor b Serve-Side Includes, pueden ejecutar cualquier comando: b Llamadas a otros programas a través del uso de funciones que abren shells

21 Ataques CGI Contramedidas b Los programas solamente deben ejecutar aquellas acciones para las que ha sido concebido b Suministrar sólo la información necesaria al cliente y evitar revelar información del sistema y del servidor b Verificar la configuración del Servidor: ActualizacionesActualizaciones Usuarios y PermisosUsuarios y Permisos Ubicación de CGIsUbicación de CGIs b Validar los datos introducidos por el cliente. NUNCA confiar en el usuario

22 Ataques CGI Contramedidas b Evitar o deshabilitar el uso de funciones que abren un shell en la máquina (exec, eval, system, eval, etc) b Preferir los lenguajes compilados (Lenguaje C) a los interpretados (Perl, AppleScript, TCL ) b Eliminar o mover ejemplos instalados por defecto con el servidor Web b Deshabilitar Server Side Include o tener el debido cuidado b Prever posibles ataques y tomar medidas que minimicen los daños en el sistema en caso de un ataque exitoso

23 Agenda b Introducción b Cross Site Scriting b Unicode Hack b Ataques CGI b Conclusiones b Referencias

24 Conclusiones b Usar frecuentemente herramientas que permitan evaluar las vulnerabilidades de los servidores Web b Aplicar los correctivos necesarios como configuraciones adicionales o parches de seguridad para minimizar las vulnerabilidades de los servidores b Deshabilitar todos los servicios, aplicaciones y accesos a directorios no utilizados b Analizar frecuentemente los logs para detectar y prevenir ataques b Al navegar por Internet se debe ser cuidadoso y verificar la posible ejecución de código malicioso. Se pueden usar firmas digitales para validar código escrito por otros b Efectuar constantemente procesos de verificación y monitoreo de las aplicaciones Web

25 Agenda b Introducción b Cross Site Scripting b Ataques Unicode b Ataques CGI b Conclusiones b Referencias

26 Referencias b Microsoft TechNet, Cross-Site Security Exposure Executive Summary rity/topics/exsumcs.asp (Febrero de 2000) rity/topics/exsumcs.asp rity/topics/exsumcs.asp b CERT Coordination Center, Frequently Asked Questions About Malicious Web Scripts Redirected by Web Sites (Febrero de 2000) b CERT Coordination Center, CERT Advisory CA Malicious HTML Tags Embedded in Client Web Requests 02.html (Febrero de 2000) 02.htmlHttp://www.cert.org/advisories/CA html b William E. Weinman El Libro de CGI. Prentice Hall, 1996, pags b Joel Scambray, Stuart McClure, George Kurtz. Hackers 2. Osborne Mc-Graw Hill, 2001, pags b Antonio Caravantes, Código Malicioso en los mensajes HTML (Enero de 2001) b SANS Institute, Unicode Vulnerability – How & Why (Agosto de 2001) b NSFOCUS, Microsoft IIS CGI Filename Decode Error Vulnerability (SA ), (Mayo de 2001)


Descargar ppt "Web Attacks Mauren Alies Maria Isabel Serrano Sergio Garcia Fabian Molina Juan Felipe Montoya."

Presentaciones similares


Anuncios Google