Übungsblatt 2: Kommunikation und XSS

Transkript

1 Wintersemester 2016/2017 Verteilte Systeme Universität Paderborn Fachgebiet Rechnernetze Übungsblatt 2: Kommunikation und XSS Synchron vs. Asynchron Ausgehend vom Zeitpunkt 0 rechne ein Client 100 ms bevor er die Daten für eine Server-Anfrage ermittelt hat. Es sei angenommen, dass der Server 500 ms an der Anfrage rechnet bevor er die Antwort zurück sendet. Die Übertragung vom Client zum Server bzw. vom Server zum Client dauere jeweils 50 ms. Nachdem der Prozess auf dem Client insgesamt 500 ms gerechnet hat, werden die vom Server erhaltenen Daten gebraucht. Die Verarbeitung der Daten dauere weitere 100 ms. Zu welchem Zeitpunkt ist der Client frühestens mit der vollständigen Abarbeitung der erhaltenen Serverdaten fertig, wenn die folgenden Anfragemodi vorausgesetzt sind. Skizzieren Sie die Abarbeitung auch in Form eines Zeitdiagramms. (a) Synchrone Anfrage. (b) Asynchrone Anfrage. (a) Synchron: msc Synchron Client Server 100ms 50ms 500ms 50ms 400ms 100ms Result: 1200ms Verteilte Systeme WS 2016/17 Übungsblatt 2 1

2 (b) Asychron: msc Asynchron Client Server 100ms 400ms 50ms 500ms 50ms 100ms Result: 800ms 2 Gruppenkommunikation In der Vorlesung wurden die folgenden Begriffe eingeführt: Reliable Multicast, FIFO Multicast, Causal Multicast, Atomic Multicast und Total Multicast. (a) Erklären Sie die Semantik dieser Begriffe. (b) Geben Sie zu den in Abb. 1 abgebildeten Beispielen jeweils die passende Multicast-Semantik an. (c) Geben Sie jeweils ein Beispiel an, wo ein Atomic Multicast bzw. ein Causal Multicast Sinn macht. A B C A B C A B C A B C Beispiel 1 Beispiel 2 Beispiel 3 Beispiel 4 Abbildung 1: Multicast Beispiele. Bestimmen Sie hierzu die passende Semantik. (a) Siehe Vorlesungsfolien Verteilte Systeme WS 2016/17 Übungsblatt 2 2

3 (b) Lösung FIFO atomic causal Beispiel 1 No No No reliable Beispiel 2 No Yes No atomic Beispiel 3 Yes No Yes causal Beispiel 4 Yes No No FIFO (c) Atomic Multicast: Bankkonto, Befehle add 100 und multiply 1.01 (Zinsen), dürfen nicht vertauscht werden. Causal Multicast: Forum, Antwort auf eine Frage sollte nicht vor der Frage sichtbar werden. 3 Socket Programmierung mit ZeroMQ ZeroMQ ist eine leichtgewichtige Bibliothek, welche verschiedenste Kommunikations-Funktionen anbietet und für eine Vielzahl von Programmiersprachen zur verfügung steht. Informationen zur Installation von ZeroMQ und die zugehörige API Dokumentation finden Sie auf: (a) Machen Sie sich mit den grundlegenden Konzepten von ZeroMQ vertraut. Welche Art von ZeroMQ- Sockets bietet sich für die Implementation eines Client-Server Systems an? REQ-REP (b) Implementieren Sie nun einen Server, welcher mittels eines ZeroMQ-Sockets auf den TCP-Port 5678 horcht und eine Nachricht mit dem Inhalt Ping! erwartet. Immer, wenn Ihr Server eine solche Nachricht empfängt, wird die Nachricht ausgegeben und als Antwort eine Nachricht mit dem Inhalt Pong! zurückgeschickt. Sie können für diese, wie auch die folgenden Teilaufgaben, eine Programmiersprache Ihrer Wahl nutzen. import zmq d ef main ( ) : # c r e a t e ZMQ c o n t e x t c t x = zmq. C o n t e x t ( ) # our s e r v e r w i l l use a REPLY s o c k e t s o c k e t = c t x. s o c k e t ( zmq. REP ) # l e t s o c k e t l i s t e n t o a l l i n t e r f a c e s on TCP 5678 s o c k e t. bind ( " t c p : / / :5678 " ) # some i n f o p r i n t " S t a r t i n g ZMQ s e r v e r. P r e s s CTRL C t o e x i t. " # i n f i n i t e loop t o s e r v e r r e q u e s t s while True : # w a i t f o r message t o be r e c e i v e d msg = s o c k e t. r e c v ( ) p r i n t " Received : %s " % s t r ( msg ) # check i f we ve r e c e i v e d a Ping! message i f s t r ( msg ) == " Ping! " : # send r e p l y Verteilte Systeme WS 2016/17 Übungsblatt 2 3

4 s o c k e t. send ( " Pong! " ) i f name == main : main ( ) (c) Implementieren Sie nun den passenden Client zu Ihrem Server. Der Client soll die vom Server erhaltene Antwort ebenfalls ausgeben. import zmq d ef main ( ) : # c r e a t e ZMQ c o n t e x t c t x = zmq. C o n t e x t ( ) # we w i l l use a REQUEST s o c k e t f o r our c l i e n t s o c k e t = c t x. s o c k e t ( zmq.req) # c o n n e c t t o t h e s e r v e r s o c k e t. c o n n e c t ( " t c p : / / : " ) # send a r e q u e s t r e q = " Ping! " p r i n t s o c k e t. send ( r e q ) # g e t t h e r e p l y. " Sending : %s " % r e q msg = s o c k e t. r e c v ( ) p r i n t " Received : %s " % msg i f name == main : main ( ) (d) Erweitern sie Ihren Client und Server nun dahingehend, dass der Client zwei ganzzahlige Kommandozeilenparameter entgegennimmt und diese, anstatt der Ping! Nachricht, an den Server sendet. Der Server soll die beiden empfangenen Zahlen addieren das Ergebnis an den Client zurückschicken. # S e r v e r import zmq import j s o n d ef main ( ) : # c r e a t e ZMQ c o n t e x t c t x = zmq. C o n t e x t ( ) # our s e r v e r w i l l use a REPLY s o c k e t s o c k e t = c t x. s o c k e t ( zmq. REP) # l e t s o c k e t l i s t e n t o a l l i n t e r f a c e s on TCP 5678 s o c k e t. bind ( " t c p : / / :5678 " ) # some i n f o p r i n t " S t a r t i n g ZMQ s e r v e r. P r e s s CTRL C t o e x i t. " # i n f i n i t e loop t o s e r v e r r e q u e s t s while True : # w a i t f o r message t o be r e c e i v e d msg = s o c k e t. r e c v ( ) Verteilte Systeme WS 2016/17 Übungsblatt 2 4

5 p r i n t " Received : %s " % msg # c o n v e r t from JSON t o Python l i s t t e r m s = j s o n. l o a d s ( msg ) # send sum r e s u l t s o c k e t. send ( s t r ( sum ( t e r m s ) ) ) i f name == main : main ( ) # C l i e n t import zmq import s y s import j s o n d ef main ( ) : # check and c o n v e r t i n p u t s t r y : t e r m s = [ i n t ( a ) f o r a in s y s. argv [ 1 : ] ] except : p r i n t " I n v a l i d i n p u t s. Stop. " e x i t ( 1 ) # c r e a t e ZMQ c o n t e x t c t x = zmq. C o n t e x t ( ) # we w i l l use a REQUEST s o c k e t f o r our c l i e n t s o c k e t = c t x. s o c k e t ( zmq.req) # c o n n e c t t o t h e s e r v e r s o c k e t. c o n n e c t ( " t c p : / / : " ) # send a r e q u e s t ( c o n v e r t Python l i s t t o JSON ( s e r i a l i z a t i o n ) ) p r i n t " Sending : %s " % s t r ( t e r m s ) s o c k e t. send ( j s o n. dumps ( t e r m s ) ) # g e t t h e r e p l y. msg = s o c k e t. r e c v ( ) p r i n t " Received : %s " % msg i f name == main : main ( ) (e) (Optional) Erweitern Sie die Lösung aus der vorhergingen Teilaufgabe dahingehend, dass eine beliebige Anzahl von ganzzahligen Parametern übergeben und addiert werden kann. 4 Java RMI Siehe Lösung der vorherigen Teilaufgabe (dort schon integriert). Betrachten Sie im Folgenden einen Server, welcher eine Funktion zur Addition zweier Zahlen bereitstellt. Ein Client rufe die Server-Funktion durch Übergabe zweier Parameter auf und erhalte nach erfolgreicher Berechnung das Ergebnis zurück. (a) Implementieren Sie Client und Server mithilfe des Java RMI-Konzepts. (b) Skizzieren Sie den Ablauf ihres RMI-Programms. Berücksichtigen Sie hierbei auch die Erstellung von Stubs und die versteckte Kommunikation zwischen Client und Server. Verteilte Systeme WS 2016/17 Übungsblatt 2 5

6 (a) SimpleRemoteMessage: p u b l i c i n t e r f a c e SimpleRemoteMessage extends j a v a. rmi. Remote { i n t add ( i n t a, i n t b ) throws j a v a. rmi. RemoteException ; Server import import import j a v a. rmi. ; j a v a. rmi. r e g i s t r y. ; j a v a. rmi. s e r v e r. ; p u b l i c c l a s s S i m p l e S e r v e r extends j a v a. rmi. s e r v e r. U n i c a s t R e m o t e O b j e c t implements SimpleRemoteMessage { / r e g i s t r y h o l d i n g t h e remote o b j e c t s / p r i v a t e j a v a. rmi. r e g i s t r y. R e g i s t r y o b j e c t R e g i s t r y ; p r o t e c t e d S i m p l e S e r v e r ( i n t p o r t ) throws j a v a. rmi. RemoteException { t r y { / / c o n n e c t t o t h e RMI r e g i s t r y o b j e c t R e g i s t r y = j a v a. rmi. r e g i s t r y. L o c a t e R e g i s t r y. c r e a t e R e g i s t r y ( p o r t ) ; / / a s s i g n t h i s c l a s s as " example " o b j e c t R e g i s t r y. bind ( " example ", t h i s ) ; System. o u t. p r i n t l n ( " S e r v e r r e a d y on p o r t " + j a v a. rmi. r e g i s t r y. R e g i s t r y. REGISTRY_PORT ) ; catch ( j a v a. rmi. RemoteException e ) { / / s e t t i n g up t h e r e g i s t r y f a i l e d throw e ; catch ( j a v a. rmi. AlreadyBoundException e ) { / / a l r e a d y bound ( s h o u l d n o t happen ) throw new RuntimeException ( e ) p u b l i c i n t add ( i n t a, i n t b ) { System. o u t. p r i n t l n ( " add ( ) g o t c a l l e d r e m o t e l y! " ) ; return a + b ; p u b l i c s t a t i c void main ( S t r i n g [ ] a r g s ) { t r y { new S i m p l e S e r v e r ( ) ; catch ( RemoteException e ) { System. e r r. p r i n t l n ( " F a i l u r e i n t h e RMI s e r v e r : " + e ) ; Verteilte Systeme WS 2016/17 Übungsblatt 2 6

7 Client import j a v a. rmi. NotBoundException ; import j a v a. rmi. RemoteException ; p u b l i c c l a s s S i m p l e C l i e n t { p u b l i c s t a t i c void main ( S t r i n g [ ] a r g s ) { SimpleRemoteMessage myserver ; j a v a. rmi. r e g i s t r y. R e g i s t r y s e r v e r R e g i s t r y ; S t r i n g s e r v e r A d d r e s s = " " ; / / args [ 0 ] ; S t r i n g s e r v e r P o r t = " 7620 " ; / / args [ 1 ] ; i n t p o r t = I n t e g e r. valueof ( s e r v e r P o r t ) ; t r y { / / a t t a c h t o t h e remote r e g i s t r y s e r v e r R e g i s t r y = j a v a. rmi. r e g i s t r y. L o c a t e R e g i s t r y. g e t R e g i s t r y ( s e r v e r A d d r e s s, p o r t ) ; / / f e t c h t h e s e r v e r o b j e c t myserver = ( SimpleRemoteMessage ) s e r v e r R e g i s t r y. lookup ( " example " ) ; / / perform t h e a c t u a l RMI c a l l System. o u t. p r i n t l n ( " = " + myserver. add ( 4 2, 5 8 ) ) ; catch ( RemoteException e ) { System. e r r. p r i n t l n ( " Got an remote e x c e p t i o n : " + e. getmessage ( ) ) ; e. p r i n t S t a c k T r a c e ( ) ; catch ( NotBoundException e ) { System. e r r. p r i n t l n ( " Remote r e g i s t r y doesn t know example. " ) ; e. p r i n t S t a c k T r a c e ( ) ; (b) Message Sequence Chart: Verteilte Systeme WS 2016/17 Übungsblatt 2 7

8 msc Ablauf Server Object Server RMI Client RMI Client Object bind(...) lookup(...) connect OK create Stub return Stub looks like local Forward add(...) Forward add(...) sum Forward Forward sum 5 Cross Site Scripting (XSS) XSS bezeichnet das Einschleusen von HTML Code auf fremden Internetseiten. Dieser HTML Code wird dazu verwendet, um einen Angriff auf einen Client, der die Internetseite besucht, durchzuführen. Für diese Übung benötigen Sie ein Linux System (z.b. Ubuntu LTS), mit einem installierten Apache 2 Webserver mit aktiviertem PHP. Sie können eine Virtualisierungslösung, wie z.b. das frei erhältliche VirtualBox, verwenden um eine frische Linux Installation auf Ihrem Computer aufzusetzen ohne Ihr Produktivsystem verändern zu müssen. 1. Laden Sie die Datei xss.html von unser Internetseite (bzw. PAUL) und speichern Sie diese in Ihrer virtuellen Maschine unter /var/www/xss.php (Bitte beachten Sie hierbei die Dateiendung!). Führen Sie den Befehl chown -R www-data:www-data /var/www aus, um der Datei die benötigten Rechte zuzuweisen. 2. Suchen Sie Sicherheitslücken in dem php Script und zeigen Sie, wie Sie diese ausnutzen können, um einen XSS Angriff auf einen anderen Client zu starten. (Hinweis: Es reicht aus, sich den von dem php Script erzeugten HTML Code anzuschauen.) 3. Moderne Browser (wie z.b. Google Chrome 39.x) erkennen das Einschleusen von JavaScript Code über Parameter in der URL. Erläutern Sie, wie Sie die XSS Abwehrmaßnahmen moderner Browser umgangen haben. Verteilte Systeme WS 2016/17 Übungsblatt 2 8

9 4. Nutzen Sie XSS um das Passwort eines Benutzers abzugreifen. 5. Sie wollen die erbeuteten Zugangsdaten nun automatisch durch das eingeschleuste Java-Script an einen weiteren Server senden, damit dieser die Daten speichert. Dies soll geschehen, ohne, dass der Benutzer dies bemerkt. Welche Methoden können hierbei zum Einsatz kommen? Entscheiden Sie sich für eine Methode und setzen Sie diese um. 6. Die Links, die bei dem reflexiven XSS eingesetzt werden, sind sehr auffällig. Diskutieren Sie Methoden, um den Inhalt dieser Links zu verschleiern. Verteilte Systeme WS 2016/17 Übungsblatt 2 9