int ConcatBuffers(char *buf1, char *buf2, size_t len1, size_t len2) {

Transkript

1 Universität Mannheim Lehrstuhl für Praktische Informatik 1 Prof. Dr. Felix C. Freiling Dipl.-Inform. Martin Mink Dipl.-Inform. Thorsten Holz Vorlesung Angewandte IT-Sicherheit Herbstsemester 2006 Übung 8 () Softwaresicherheit II (Übung) Aufgabe 1 Integer Overflow int ConcatBuffers(char *buf1, char *buf2, size_t len1, size_t len2) { char buf[0xff]; if ((len1 + len2) > 0xFF) return -1; memcpy(buf, buf1, len1); memcpy(buf + len1, buf2, len2); // do stuff with buf return 0; Hinweise: void *memcpy(void *dest, const void *src, size_t n) copies n bytes from memory area src to memory area dest. size_t-variable: größtmöglicher Integer auf dem System (z.b. 32 Bit) 1. Was bewirkt die Funktion? 2. In welchem Fall kommt es zu einem Integer Overflow? 1. Die Funktion verkettet den Inhalt zweier (String-)Puffer. Sie erhält vier Parameter: zwei Zeiger auf die Strings (eigentlich char-arrays), sowie die Längen der beiden Strings. Es wird der Puffer buf angelegt und überprüft, ob die Summe der Längen der beiden Strings größer ist als die Größe des Puffers in diesem Fall Abbruch mit Fehler. Andernfalls wird erst der erste String in den Puffer kopiert und dann der zweite darangehängt. 2. Ein Integer Overflow passiert, sobald die Summe der Längen der beiden Strings größer ist als der größtmögliche Integer. Beispiel (wir gehen von 32 Bit für die size_t-variable aus): Falls len1 = 0x103 und len2 = 0xfffffffc, dann ergibt die Summe 0x100 (Integer 1

2 Overflow). Die Überprüfung der Länge ist in diesem Fall erfolgreich und es werden erst 0x103 Byte in buf kopiert und dann nochmal 0xfffffffc Byte angehängt und damit außerhalb des Puffers liegende Speicherbereiche überschrieben. Aufgabe 2 Format Strings 1. Welcher C-Code bewirkt die folgende Ausgabe: Variable a hat den Wert: 5 (d.h. der Wert von a wird als Dezimalzahl ausgegeben). 2. Gegeben sei folgendes Codestück: int main(int argc, char argv[]) { if (argc > 1) printf(argv[1]); return 0; Wie können die obersten drei Einträge des Stacks ausgegeben werden (in hexadezimalem Format)? 3. Mit welcher Anweisung lässt sich auf den Stack schreiben? 1. prinft("variable a hat den Wert: %d", a) 2. Das dem Programm übergebene Argument (Benutzereingabe) wird direkt prinft als Parameter übergeben. Bei Aufruf des Programms mit dem Argument "%x %x %x" interpretiert printf die in dem Format-String enthaltenen Formatanweisungen und gibt drei Einträge des Stacks aus, obwohl vorher keine Daten auf dem Stack dafür abgelegt wurden (da printf keine weiteren Parameter übergeben wurden) 3. Mit der Formatanweisung%n wird die Anzahl der ausgegebenen Zeichen in einer Variable auf dem Stack abgelegt. Mit einer Ausgabefunktion wie printf ist es also möglich Daten zu schreiben. Aufgabe 3 SQL-Injection 1. Wodurch wird SQL-Injection prinzipiell ermöglicht? 2. Wie sieht ein erster Test aus, ob eine Webanwendung anfällig für SQL-Injection ist? 3. Wie lässt sich die Authentifizierung umgehen, wenn folgender SQL-Code von einer Webanwendung ausgeführt wird? $username und $password sind Benutzereingaben. SELECT id FROM logins WHERE username = $username AND password = $password ; 2

3 1. Verwendung von Benutzereingaben in SQL-Anfragen und fehlende Überprüfung dieser Benutzereingaben. 2. Eingaben mit Hochkommata, wie: hallo du" und Beobachten der Reaktion darauf (Fehlermeldung). 3. username: beliebig, password: <beliebiger Text> OR 1 = 1 Aufgabe 4 Cross Site Scripting (XSS) 1. Was geschieht bei XSS? 2. Wie wird XSS ermöglicht? 1. Von einem Angreifer in eine Webseite eingeschleuster Skript-Code wird im Internet- Browser des Benutzers so ausgeführt als stamme er von dem Webserver der Webseite. 2. Wenn Webseiten anfällig sind für das Einschleusen von Skript-Code. Dafür gibt es verschiedene Wege, ein Beispiel ist die Möglichkeit der Eingabe von HTML-Code (und damit z.b. auch JavaScript) in Webseiten (z.b. Forum). Softwaresicherheit II (Heimarbeit) Aufgabe 1 Finden Sie die Schwachstelle in dem gegebenen Code. bool func(char *s1, size_t len1, char *s2, size_t len2) { if (1 + len1 + len2 > 64) return false; // Berücksichtigung des abschließenden Null-Bytes char *buf = (char*)malloc(len1+len2+1); if (buf) { StringCchCopy(buf,len1,s1); StringCchCat(buf,len2,s2); // do other stuff with buf if (buf) free(buf); return true; 3

4 Hinweise: Im Vergleich zur ursprünglichen Version der Aufgabe wurde im Quelltext in den beiden Zeilen mit den Stringkopierfunktionen jeweils das Längenargument geändert. HRESULT StringCchCopy(LPTSTR pszdest, size_t cchdest, LPCTSTR pszsrc) is a replacement for strcpy, it copies pszsrc, including the terminating null character, to the location specified by pszdest. The size, in characters, of the destination buffer is provided to the function to ensure that StringCchCopy does not write past the end of this buffer. HRESULT StringCchCat(LPTSTR pszdest, size_t cchdest, LPCTSTR pszsrc) is a replacement for strcat, it appends pszsrc to pszdest and terminates the resulting string with a null character. The size, in characters, of the destination buffer is provided to the function to ensure that StringCchCat does not write past the end of this buffer. Der Code ist anfällig für einen Integer Overflow. Was passiert, wenn len1 + len2 größer als 0xFFFFFFFF ist? Beispiel: len1 = 64 und len2 = 0xFFFFFFFF (unter der Annahme, dass die size_t-variable 32 Bit bietet). Die Anweisung, die das Einhalten der Puffergröße überprüft, erhält aufgrund des Integer Overflows 64 als Ergebnis. Dann wird ein Puffer mit einer Größe von lediglich 64 Byte angelegt, erst 64 Byte hineinkopiert und dann 0xFFFFFFFF Byte hinzugefügt. Damit wird in Speicherbereiche außerhalb des reservierten Puffers geschrieben und im günstigen Fall stürzt das Programm lediglich ab. Merke: Sichere Stringmanipulationsfunktionen (weil Längenüberprüfung) müssen auch korrekt angewendet werden. In dem Fall von StringCchCat und StringCchCat ist speziell darauf zu achten, dass die Länge in Zeichen angegeben wird (und nicht wie sonst meist üblich in Byte). Aufgabe 2 Für welche (nicht beabsichtigten Zwecke) kann das folgende Codestück ausgenutzt werden? 1 char tmpbuf[512]; 2 3 snprintf (tmpbuf, sizeof (tmpbuf), "foo: %s", user); 4 tmpbuf[sizeof (tmpbuf) - 1] = \0 ; 5 syslog (LOG_NOTICE, tmpbuf); Wie lassen sich Format String-Attacken verhindern? Hinweise: Der Inhalt der Variable user ist vom Benutzer eingegeben void syslog(int priority, const char *message,...) writes message to the system message logger....the message is identical to a printf format string,... 4

5 Der Code ist in Zeile 5 angreifbar: Der Inhalt von tmpbuf ist vom Benutzer eingegeben (Variable user), durch syslog werden enthaltene format strings intepretiert, sodass u.a. der Stack ausgelesen werden kann. Diese Form Code kam z.b. in Linux rpc.statd oder IRIX telnetd vor. Eine Format String-Attacke lässt sich verhindern, wenn die korrekte Syntax der Funktion angewendet wird: z.b. printf("%s", user) statt printf(user). Aus diesem Grund ist in Zeile 3 keine Format String-Attacke möglich. Aufgabe 3 Eine Webseite, deren Nutzung eine Authentifizierung mit Benutzername und Passwort erfordert, bietet den Nutzern im Fall eines vergessenen Passwortes die Möglichkeit, sich ein neues Passwort an die registrierte adresse zuschicken zu lassen. Dazu muss der Benutzername eingegeben werden, der als Eingabe für folgende SQL-Anfrage dient: SELECT FROM users WHERE name = $username ; Falls der angegebene Benutzername in der Datenbank gefunden wurde, wird dem Benutzer eine Ausgabe der folgenden Form angezeigt: Ihr neues Passwort wurde Ihnen an die adresse < -adresse> geschickt. 1. Wie lassen sich die adressen der in der Datenbank gespeicherten Nutzer auslesen? 2. Welche Gegenmaßnahmen gibt es gegen SQL-Injection? 1. Eingabe von beispielsweise john OR 1 = 1 als Benutzername führt zur Ausführung der SQL-AnfrageSELECT FROM users WHERE name = john OR 1 = 1 ;. Da 1 = 1 immer wahr ist, ist der gesamte ODER-Ausdruck wahr und es werden alle in der Datenbank gespeicherten adressen ausgegeben. 2. Benutzereingaben überprüfen (bzw. nicht zugelassene Zeichen ausfiltern/maskieren) Zugriff auf die Datenbank einschränken (dem Benutzers, mit dessen Rechten die Webanwendung läuft, nur das Lesen der Datenbank erlauben, aber kein Einfügen oder Löschen) die Datenbank auf mehrere Datenbanken aufteilen (kritische Daten nur in einer nicht durch die Webanwendung zugänglichen Datenbank speichern) Ausführlichkeit der Fehlermeldungen reduzieren (einem Angreifer weniger Informationen geben) 5

6 Weitere Aufgaben zu Softwaresicherheit Unter befindet sich eine Sammlung von Aufgaben. 6