Nghiên cứu Trường hợp Hacking các Ứng dụng Web - núm vú

Trong trường hợp nghiên cứu này, Caleb Sima, một chuyên gia bảo mật ứng dụng nổi tiếng, ứng dụng web của khách hàng. Ví dụ về phát hiện nguy cơ bảo mật là một câu chuyện cảnh báo tốt để giúp bảo vệ thông tin cá nhân của bạn.

Tình huống

Ông. Sima đã được thuê để thực hiện một bài kiểm tra thâm nhập ứng dụng web để đánh giá mức độ an toàn của một trang web tài chính nổi tiếng. Được trang bị không có gì nhiều hơn URL của trang tài chính chính, ông Sima đã tìm ra những trang khác tồn tại cho tổ chức và bắt đầu bằng cách sử dụng Google để tìm kiếm các khả năng.

Mr. Sima ban đầu chạy quét tự động trên các máy chủ chính để phát hiện ra bất kỳ quả treo thấp nào. Quét này cung cấp thông tin về phiên bản máy chủ web và một số thông tin cơ bản khác nhưng không có gì chứng tỏ hữu ích mà không cần nghiên cứu thêm. Trong khi ông Sima thực hiện việc quét, cả IDS lẫn tường lửa đều không nhận thấy bất kỳ hoạt động nào của ông.

Sau đó, ông Sima đã đưa ra yêu cầu tới máy chủ trên trang web ban đầu, điều này đã trả lại một số thông tin thú vị. Các ứng dụng web dường như chấp nhận nhiều tham số, nhưng khi ông Sima tiếp tục duyệt qua các trang web, ông nhận thấy rằng các tham số trong URL vẫn giữ nguyên.

Ông. Sima đã quyết định xóa tất cả các tham số trong URL để xem thông tin nào server sẽ quay lại khi được hỏi. Máy chủ trả lời thông báo lỗi mô tả loại môi trường ứng dụng.

Tiếp theo, ông Sima đã thực hiện tìm kiếm của Google trên ứng dụng dẫn đến một số tài liệu chi tiết. Ông Sima đã tìm thấy một số bài viết và ghi chú về công nghệ trong thông tin này cho thấy ông làm thế nào ứng dụng này hoạt động và những tệp tin mặc định có thể tồn tại. Trên thực tế, máy chủ đã có một số tệp tin mặc định.

Ông. Sima đã sử dụng thông tin này để thăm dò thêm. Ông nhanh chóng phát hiện ra các địa chỉ IP nội bộ và các dịch vụ mà ứng dụng đã cung cấp. Ngay khi ông Sima biết chính xác phiên bản người quản trị đang chạy, ông muốn thấy những gì ông ta có thể tìm thấy.

Mr. Sima tiếp tục vận dụng URL từ ứng dụng bằng cách thêm & các ký tự bên trong câu lệnh để kiểm soát kịch bản tùy chỉnh. Kỹ thuật này cho phép anh ta nắm bắt tất cả các tập tin mã nguồn. Ông Sima đã lưu ý một số tên tập tin thú vị, bao gồm cả VerifyLogin. htm, ApplicationDetail. htm, CreditReport. htm và ChangePassword. htm.

Sau đó, ông Sima đã cố gắng kết nối với từng tệp bằng cách phát hành URL định dạng đặc biệt cho máy chủ.Máy chủ trả lại một User không đăng nhập tin nhắn cho mỗi yêu cầu và nói rằng kết nối phải được thực hiện từ mạng nội bộ.

Kết quả

Ông. Sima biết nơi tập tin được đặt và có thể đánh hơi kết nối và xác định rằng các ApplicationDetail. tập tin htm đặt một chuỗi cookie. Với ít thao tác của URL, ông Sima nhấn jackpot. Tệp này trả lại thông tin khách hàng và thẻ tín dụng khi một ứng dụng khách hàng mới đang được xử lý. Báo cáo tín dụng. htm cho phép ông Sima xem trạng thái báo cáo tín dụng của khách hàng, thông tin gian lận, trạng thái từ chối ứng dụng và các thông tin nhạy cảm khác.

Bài học: Các hacker có thể sử dụng nhiều loại thông tin để vượt qua các ứng dụng web. Các cá nhân khai thác trong nghiên cứu này là nhỏ, nhưng khi kết hợp, chúng đã dẫn đến các lỗ hổng nghiêm trọng.

Caleb Sima là thành viên của đội X-Force tại Internet Security Systems và là thành viên đầu tiên của nhóm thử nghiệm thâm nhập. Ông Sima đã cùng hợp tác phát triển SPI Dynamics (sau đó là HP) và trở thành CTO, cũng như giám đốc của SPI Labs, nhóm nghiên cứu và phát triển an ninh ứng dụng trong SPI Dynamics.