Безопасная эксплуатация Apache, часть 7: атаки с использованием функций ОС сервера (продолжение)

Начало этой части смотрите здесь.

Раскрытие исходного кода

Уязвимости раскрытия исходного кода, являющиеся одним из вариантов уязвимостей обхода путей, широко распространены среди веб-приложений и позволяют взломщикам получить исходный код и файлы конфигурации. Данные уязвимости в большинстве случаев обнаруживаются на веб-сайтах, которые позволяют скачивать файлы, реализуя данную функцию с помощью динамических сценариев.

Взломщик использует технику раскрытия исходного кода для получения исходного кода серверных сценариев на языках ASP, JSP или PHP, исследования алгоритмов работы веб-приложений, включая структуру базы данных, комментариев в исходном коде, параметров и других потенциально эксплуатируемых уязвимостей в коде. Давайте рассмотрим простой сценарий атаки для лучшего понимания.

Сценарий атаки

<?php
if(isset($_GET[`file`]))
{
    $file = $_GET[`file`];
    readfile($file);
}
?>

Корректной строкой URL для данного сценария будет http://www.example.com/downloads.php?file=arpit.zip, но взломщик может сформировать вредоносную строку URL http://www.example.com/downloads.php?file=login.php, с помощью которой взломщику передается содержимое файла сценария login.php. Таким образом, взломщик узнает о фильтрах и проверках в сценарии login.php и даже о том, какие имена у других важных файлов исходного кода и конфигурации.

Для защиты от атак раскрытия исходного кода приложение должно использовать заданный список разрешенных типов файлов и отклонять любые запросы файлов других типов.

Утечка информации о списке файлов директории

Кроме перечисленных выше, существует множество файлов, которые не должны быть отображены, таких, как временные файлы, устаревшие переименованные файлы, файлы в домашних директориях пользователей, и.т.д.

После этого возникает вопрос о том, как взломщики могут получить доступ к списку содержимого директорий. Я не буду описывать способ подбора имен директорий с важными данными с помощью манипуляций с URI. Для этой цели взломщики могут просто использовать операторы расширенного поиска Google (очевидно, что этот метод может применяться при условии знания операторов расширенного поиска Google, таких, как site:, inurl:, intext:, intitle:, и.т.д.).

Поиск списков содержимого директорий в Google

Поиск с использованием выражения intitle:index.of site:example.com вернет вам список содержимого директории сайта example.com в том случае, если вывод списков содержимого директорий включен на сервере - а в большинстве случаев это именно так. Результат может содержать важные файлы из категорий, описанных выше. Аналогично, поиск с использованием выражения intitle:index.of ws_ftp.log или intitle: index.of 'parent directory' 'ws_ftp.ini' вернет списки содержимого директорий, содержащие файлы ws_ftp.log или ws_ftp.ini. Подобным образом взломщики могут искать файлы с расширениями .bak, .bkp, .swp, а также с другими расширениями.

Другим популярным среди взломщиков запросом является site:example.com AND intitle: 'index.of' 'backup', который возвращает список файлов в директории резервных копий (в случае, если данная директория присутствует на домене example.com). Аналогичный запрос site:example.com AND ext:log выведет все файлы журналов событий на данном домене.

Другим поисковым запросом является "robots.txt" + "Disallow:" ext:txt site:example.com. Этот запрос выводит содержимое файла robots.txt для домена example.com, из которого взломщик может узнать пути и директории, которые по усмотрению администратора веб-сайта не должны быть индексированы ботом Google.

Более опасный запрос "phpMyAdmin" "running on" inurl:"main.php" выводит взломщиков прямо на страницу phpMyAdmin на сервере - это один из ночных кошмаров администратора сайта. Если вы попробуете выполнить этот запрос, пожалуйста, не переходите по каким-либо ссылкам из множества доступных!

На этом история не заканчивается... существует множество других запросов, которые могут быть сгенерированы и протестированы.

Мероприятия по повышению безопасности

Инструменты

Раскрытие информации

Раскрытие информации происходит в тех случаях, когда веб-сайт предоставляет важные данные, которые могут помочь взломщикам в эксплуатации уязвимостей системы. Это поведение не должно обязательно являться результатом нарушения безопасной работы приложения, но благодаря ему взломщик получает необходимую для будущей атаки информацию. Существует множество путей для принуждения веб-приложения к раскрытию данного типа информации.

Комментарии в коде HTML

<TABLE border="0" cellPadding="0" cellSpacing="0" height="59" width="591">
<TBODY>
<TR>
<!--If the image files are missing, restart ZBEAST -->
<TD bgColor="#ffffff" colSpan="5" height="17" width="587"> </TD>

Здесь мы видим комментарий, оставленный разработчиком и говорящий о том, что нужно делать в том случае, если файлы изображений не отображаются. Ключевой информацией в данном случае является имя приложения, которое точно описано в коде, ZBEAST.

Код JavaScript

Части кода JavaScript, в особенности те, которые отвечают за проверку данных, могут раскрыть большой объем информации о работе приложения. Часто разработчики реализуют проверку данных на стороне клиента, считая, что таким образом они снизят нагрузку на сервер. Это мнение ошибочно.

Комментарии и метаданные в инструментах разработки

Инструменты, используемые для создания веб-страниц (на стороне сервера или на стороне клиента) также часто содержат комментарии в коде, которые могут в свою очередь содержать пути к файлам в файловой системе.

WebDAV

WebDAV (Web Distributed Authoring and Versioning) является расширением протокола HTTP. Оно добавляет несколько новых методов запросов к описанным в спецификации HTTP для реализации таких функций, как редактирование и управление файлами, хранящимися на веб-серверах, даже с удаленных систем. В том случае, если это расширение используется по умолчанию веб-сайтом, оно позволит любому пользователю получить список файлов сайта даже при наличии всех индексных файлов в директориях и отключенной функции вывода содержимого директорий.

$ telnet example.com 8080
Trying 217.160.182.153...
Connected to example.com.
Escape character is '^]'.
PROPFIND / HTTP/1.1
Depth: 1

В ходе описанного выше процесса будет раскрыто содержимое корневой директории веб-сервера. Пользователям, просматривающим сайт с помощью браузера, будет отправляться файл index.html, но при помощи WebDAV взломщик может обнаружить множество скрытых файлов.

Подробные сообщения об ошибках

В первой части сообщается о синтаксической ошибке. Сообщение об ошибке раскрывает параметры, использованные в SQL-запросе: username и password. Эта раскрытая информация является недостающим звеном, позволяющим взломщику начать реализацию атаки на основе SQL-инъекции против сайта.

Это сообщение об ошибке может генерироваться путем ввода строки URL для запроса несуществующего ресурса. После стандартного сообщения, указывающего на то, что страница не найдена, следует информация о версии веб-сервера, ОС, модулях и других используемых программных продуктах. Эта информация может быть очень полезна для взломщиков.

Другие методы включают в себя догадку о файлах без наличия прямой ссылки на них. Лучшим примером этого подхода может быть догадка о строке URL для интерфейса администрирования веб-приложения - например, достаточно просто предположить корректность строки URL www.example.com/wp-admin/ для любого веб-сайта на основе WordPress.

Мероприятия по повышению безопасности

Мы поговорим о других опасных атаках на веб-приложения и Apache в следующей статье.

Всегда помните: нужно знать все о взломе, но не заниматься им.

Дополнительные ресурсы

Продолжение серии: "Безопасная эксплуатация Apache, часть 8: атаки DoS и DDoS"