lin-learning,林的學習筆記: 常見資安漏洞

顯示具有 常見資安漏洞 標籤的文章。顯示所有文章

2016年9月7日星期三

[網站安全]從網站使用者認證細節談資安小知識

簡介
當網站與網際網路連上後，來自於各方面的網路攻擊，便如洪水般來襲，網路上的攻擊行為往往超乎你我的想像。最簡單的是只要查看伺服器的日誌檔案(Log)，便可知道各種攻擊的手法與攻擊路徑。其中最常被嘗試與攻擊的便是網頁上的管理者介面或有關於帳號密碼的輸入介面。

筆者整理了一下網站開發人員在設計的過程中，容易疏忽的認證方式，以網頁前端與資料庫進行使用者認證的回應文字內容的2種差異性，而這2種差異性對於駭客在測試網站帳號的過程中，代表何種意思：

第1種:當頁面輸入錯誤資料後，網頁會回應「密碼錯誤」，請重新輸入
第2種:當頁面輸入錯誤資料後，網頁會回應「帳號和密碼錯誤」，請重新輸入

那這2種的差異性在哪呢?

我們舉例來說，當駭客手中握有一份使用者(管理者)帳號、密碼清單時，遭駭客鎖定的目標網站若有提供帳號登入的功能或是重置密碼功能時，駭客便會開始測試帳號密碼是否正確，並以網站回應的內容，來推測並確認手中名單的資料是「帳號有用」或是「帳號密碼皆有用」

若是「帳號有用」的情況下
只要破解密碼即可，此時可用密碼檔來進行暴力破解的方式

而「帳號密碼皆有用」的情況下
即代表該組帳號、密碼是可以登入的，駭客即會登入後取得使用者個資，進而轉賣詐騙集團，謀取獲利

防範方式

當網站會員帳號、密碼疑似外洩後，除了應第1時間通知使用者外，網站設計人員應盡快進行相關的補救

網站設計人員或開發者，應思考使用者重置密碼時，網頁應如何回應才會符合資安機制，其中最簡易的方式，則是當使用者輸入錯誤資料後，網站的回應方式應顯示出模糊的錯誤訊息(例如帳號密碼輸入錯誤，請重新輸入)，而不是告知使用者是哪一部分出錯了，讓駭客利用該機制來逐步確認竊取的名單有效性，同時也能阻擋第1時間的有心人士進行資料的竊取，造成資料認證的困難性

如同上圖所示，當網站遭輸入錯誤的資料後

若使用第1種「密碼錯誤」的方式提示使用者，則會造成駭客認為該資料經由資料庫確認後，目前是存在該筆帳號資料，但密碼卻是失敗的情況(如同上述所說，容易遭暴力破解)，而此機制往往是造成初階駭客攻擊的主因

但使用第2種「帳號和密碼」錯誤的方式提示使用者時，只要使用者輸入的資料內容其中1項不正確時，便會出現帳號和密碼錯誤，則可讓駭客進行資料認證時，產生一定的困難程度，此時的效果會讓駭客在驗證竊取名單時，徒增困難度

結論
網站遭受到網路上的攻擊是無可避免的，但若能在網站開發的過程中，融入資安的機制，讓網頁的回應內容少出現機密或可推測的敏感性資料，都是可以阻擋駭客攻擊的一環

駭客的攻擊方式往往是千奇百怪的，若單純的使用一套防護基準是行不通的，資安是需要長期的抗戰準備，本文所提及的防護方式，也是最基礎的一環，可以降低因網站本身認證機制的不足而導致帳號、密碼外洩的情形發生

本文來源:http://linjsian.blogspot.tw/

2016年5月11日星期三

[日誌分析]從日誌分析了解webshell攻擊手法

簡介
網站遭受駭客攻擊的次數屢創新高，尤其是含有使用者個資或消費明細的電子商務網站更是駭客眼中的肥羊，因為這類型的網站大多以行銷購物為目的，資安機制並不完善，且內含有眾多消費者個資，導致駭客屢次攻擊成功後，竊取大量被害民眾的個資，且業者仍渾然不自覺。

因此，從管理日誌檔案機制與分析面的角度，企業應該導入日誌檔案備份、分析等相關的軟體與人力配置，以便網站問題發生時，才能有效找出癥結點進行排除，以防下次再度遭受駭客攻擊。

分析過程
本例以受害網站的日誌檔案作實務分析，以供了解駭客入侵的過程與手法。

分析軟體:Log Parser Lizard
分析方式:以SQL語法查詢網站日誌檔案，以祈找出被駭客攻擊的特徵模式。
分析要點:以OWASP TOP10攻擊模式為主要篩選條件。

資料隱碼攻擊(SQL injection)

根據OWASP TOP10報告指出，資料隱碼攻擊(SQL injection)一直是高風險且常見的漏洞。因此，在日誌檔案的分析中，先以SQL injection攻擊樣態作分析要點。

使用Log Parser Lizard進行分析

1.資料匯入

在查詢框中，我們先針對SQL injection輸入篩選的條件式後執行。

2.找到異常部分

找到符合條件的結果，但發現有內部錯誤(500)的情況，若為內部IP所造成的，有可能是因為程式的問題而導致，但找出來源IP則發現是外部IP，因為推斷為外部IP攻擊而造成內部資料庫錯誤的情況，列為重大疑點之紀錄。

3.確認網站入侵點
進一步分析外部IP整體的攻擊過程，發現網路某個頁面一直被攻擊利用，應是「遭攻擊注入點」所在。接下來查看一下惡意字串的代碼為何、以及伺服器成功回應的數值(200)。
這表示，駭客已經攻擊成功，而伺服器都會正常回應駭客的任何請求，換言之，此時駭客取得管理者權限(administrator)。

我們試著找出駭客攻擊的過程，並試圖還原駭客攻擊成功後所操作的一切。可以看出在特定的頁面下，駭客已偷偷植入了一個webshell後，該webshell又提供檔案上傳的功能，此時駭客可以把更多的惡意程式透過webshell頁面，一直上傳至被害網站的頁面中。

檢視駭客所創造的webshell頁面，發現疑似在測試用的資料夾名稱「test」。

點入test資料夾後，發現一個字串與日誌檔案分析紀錄中，雷同的字串代碼，因此可以推斷駭客整體攻擊流程並與日誌檔案紀錄作一個吻合的比對。

結論
由於網站業者對於防範資安機制的不足，使得網路攻擊事件發生後，遭受駭客入侵竊取個資的成功率逐漸提高，使得被害人數升高，我們也可以從警政署防詐騙165網站上了解，電商平台的網站一直是駭客所鎖定的主要目標，也使得民眾一直遭受詐騙。

凡是有在網站有提供消費並搜集民眾個資的平台，應該慎重把關消費者的個資，以避免網站遭駭客入侵後，倒楣的民眾去承擔遭受詐騙集團的風險。

本文連結:http://linjsian.blogspot.tw/2016/05/analysis-log-hacker-webshell.html

本文歡迎轉載，請註明出處

2016年3月18日星期五

[常見資安漏洞]google hacking自動架站軟體index of目錄揭露問題

google hacking自動架站軟體index of目錄揭露問題

簡介:
電子商務的盛行，使得人人可利用現成的架站軟體建構屬於自已的網站平台，且可以減輕初學者在架置網站時所遇到的門檻，以輕輕鬆鬆達到架置網站行銷的目的。不過若對於網站運作流程不熟悉，不懂的伺服器安全性的問題，極有可能導致網站的漏洞產生，進而變成駭客手中的目標。

我們從下列中是為典型利用自動架站軟體(如wordpress、joomla等)所建置而成的網站，在安全性控管的不足所造成的漏洞，而恐怖的是，利用google的特殊語法(index、inurl、filetype、admin)所組成的搜尋內容(俗稱為google hacking)，可達到查詢網站漏洞的目的。

案例:
在google hacking中，利用index of的漏洞，可以找出整個網站的索引目錄，使得整體的網站內容一覽無疑的秀在使用者面前，更恐怖的是，只要點選每一檔案或熟悉資料庫連線方式的人，就可以看到該網站的連線數據，進一步取得資料庫的權限進行連線，以達到竊取個資的目的性。

而index of的漏洞，往往是因為網站伺服器安全性不足所導致，通常是appserv佔居多數，而windows作業系統也有可能發生的。

分析方式
當營運的網站發現有google hacking或index of問題時，應注意連線的資料頁面(wp-config.php)是否有遭存取的情況。

可從伺服器的日誌檔案中，找出相關的存取IP與頁面樣式來進行判斷。

小結
當網站發現在index of的漏洞，或是可使用google hacking(index of inurl /admin)之類的語法找出相關的漏洞，應該特別注意網站伺服器的設定方式，是否有將檔案存取的權限打開，造成網站不安全的主要因素。

不過當index of漏洞產生時，通常也代表整體網站架構被看光光了。應盡速更改相關管理者帳號密碼，並且通知會員資料進行修改才是。