$query = "SELECT username FROM login WHERE username=?"; $stmt = $conn->prepare($query); $stmt->execute(array($username)); $username = $stmt->fetchColumn(); if($username == FALSE) { die(" !"); } 

1. Zu lange Sitzungsdauer. Ein ganzes Jahr ist viel. Wenn das Cookie erfolgreich entführt wurde, kann der Angreifer lange auf das Benutzerkonto zugreifen.
2. Fehlende httpOnly-Flagge. Bei TRUE kann auf Cookies nur über das HTTP-Protokoll zugegriffen werden. Das heißt, Cookies sind in diesem Fall für Skriptsprachen wie JavaScript nicht verfügbar.
3. Kein Cookie-Hashing.
4. Fehlende Einstellung des sicheren Flags. Das sichere Flag gibt an, dass ein Cookie vom Client über eine sichere HTTPS-Verbindung gesendet werden soll. Bei TRUE wird das Cookie vom Client nur dann an den Server gesendet, wenn eine sichere Verbindung hergestellt wurde.

 $query = htmlentities($query, ENT_QUOTES, "UTF-8"); 

 header("Content-Type: text/html; charset=utf-8"); 

  $query = "SELECT sessions FROM login WHERE sessions=?"; $stmt = $conn->prepare($query); $stmt->execute(array($_COOKIE["user"])); $session = $stmt->fetchColumn(); if($session == TRUE) { do_login($_COOKIE["user"]); } 

Die erste Frage, mit der der Fragebogen zukünftige Praktikanten traf, betraf die wichtigsten und allgemein bekannten Web-Schwachstellen. Die einzige Schwierigkeit hierbei ist die Notwendigkeit, sie im Quellcode in PHP zu sehen. Niemand hat sich jedoch die Aufgabe gestellt, "Fehler zu verbergen".

Hier ist eine Liste der Schwachstellen, die in dieser Liste in der Reihenfolge ihrer Erkennungshäufigkeit erkannt werden können:

Das Hashing von Passwörtern mit dem MD5-Algorithmus wurde sogar von Kandidaten bemerkt, die weit vom Internet entfernt waren. Es gab jedoch auch interessante Nuancen, zum Beispiel verwendeten viele Kandidaten sehr falsche Begriffe und versuchten, die Probleme in eigenen Worten zu beschreiben. "Algorithmus-Schwachstellen", "Einwegfunktionen", "das Vorhandensein von Kollisionen" und andere seltsame Wendungen gingen in den Kampf. Bei näherer Betrachtung stellen sich heraus, dass sie nichts weiter als eine Reihe großer Wörter sind, die das Wesentliche nicht offenbaren. Natürlich gingen wir hier zu einem Treffen und fanden keine Schuld an den Menschen, die sich gerade darauf vorbereiten, den Weg zum Erlernen der Weisheit der Informationssicherheit einzuschlagen. Um eine "Aufrechnung" zu erhalten, hätte die Erwähnung der Bedrohung ausgereicht, dass im Falle einer Gefährdung der Datenbank die md5-Hashes vom Angreifer in einer akzeptablen Zeit aussortiert und die Passwörter (oder gleichwertige Zeichenfolgen) in klarer Form empfangen werden können. Und natürlich erwähnten viele den Mangel an Salz und roher Gewalt aufgrund der Verwendung von Regenbogentischen. Wir haben solche Kommentare auch positiv aufgenommen, insbesondere wenn der Befragte erklärte, warum dies eine Bedrohung darstellt.

Mögliche SQL-Injection. Es ist schwer, etwas hinzuzufügen. Beim Aufruf der Datenbank werden Benutzereingaben von Login und Passwort direkt mit der Anfrage verknüpft. Wenn es unwahrscheinlich ist, dass Sie den Kennwortwert zu diesem Zeitpunkt manipulieren können (ein Hash wird daraus entnommen), ist es für einen potenziellen Angreifer nicht schwierig, eine Injektion in den Benutzernamen einzuführen.

Ausgabe unnötiger Debug-Informationen, die zu einem XSS-Angriff führen. Durch sorgfältiges Lesen der Liste könnte man auf den Echoaufruf achten, der die generierte Anforderung an die Datenbank in HTML-Kommentaren auf der Seite anzeigt. Natürlich ist eine solche Schlussfolgerung zusätzlicher Informationen auf der Seite völlig optional und wird vom Entwickler nach Durchführung der Tests höchstwahrscheinlich einfach vergessen. Solche zusätzlichen Informationen sind für den Angreifer sehr nützlich und ermöglichen ein viel besseres Verständnis der Funktionsweise der Anwendung. Dies ist jedoch leider nur die halbe Miete. Tatsache ist, dass ein Angreifer den Inhalt der Abfragevariablen manipulieren kann und sein Inhalt nicht gefiltert oder maskiert werden kann, bevor er dem Benutzer angezeigt wird - es liegt ein potenzieller XSS-Angriff vor. Es kann sich jedoch herausstellen, dass seine Ausnutzung aufgrund der schlecht lokalisierten Strtoupper-Funktion immer noch Kopfschmerzen bereitet. Der vom Angreifer injizierte Vektor wird in Großbuchstaben geschrieben. Wenn dies für HTML-Tags kein Problem darstellt, ist Javascript durch einen solchen Aufruf sehr beleidigt. Dies kann einfach über die Browserkonsole überprüft werden.



Zumindest muss sich der Angreifer anscheinend den sogenannten "skriptlosen Angriffen" oder ausgefeilten Techniken zuwenden, um die Filterung zu umgehen (in diesem Fall würde JSFUCK dies tun), sodass die Tatsache eines Sicherheitsrisikos dies nicht aufhebt.

Ein Fehler in der Logik des Sitzungsverwaltungsmechanismus war der interessanteste Teil der Aufgabe. Seine Entdeckung erforderte nicht nur das zeilenweise Lesen der Quelle, sondern auch das Verstehen der Logik der gesamten Auflistung. Man konnte fühlen, dass etwas nicht stimmte, wenn man die Einstellung eines Cookies bemerkte, das die base64-codierte Benutzer-ID im Remember-Me-Block enthielt. Eine weitere Analyse der Logik dieses Mechanismus führt uns zu dem Gedanken: "Es stellt sich heraus, dass sich ein Angreifer, der die ID kennt oder durchläuft, bei jedem Konto anmelden kann, ohne einen Benutzernamen und ein Passwort einzugeben ?!". Ja, tatsächlich kann ein Angreifer unabhängig einen Cookie-Benutzer auf seiner Seite generieren und ihm einen beliebigen ID-Wert zuweisen, der von base64 codiert wird. Das Senden einer Anfrage mit einem solchen Cookie ohne Benutzername und Passwort würde die Funktion do_login auslösen und sich bei einem anderen Konto anmelden.

Die Erwähnung dieser 4 Schwachstellen in der Antwort der Kandidaten hatte direkten Einfluss auf ihre Punktzahl.

Viel hing jedoch von der Qualität der Antwort ab. Erwähnung von Möglichkeiten zur Behebung der Situation, Anmerkungen zu zusätzlichen Faktoren, die die Durchführbarkeit eines Angriffs beeinflussen, die Verwendung der richtigen Begriffe und die Fähigkeit, Ihre Gedanken zu strukturieren, Kommentare zu zusätzlichen Schwächen oder potenziellen Bedrohungen - all dies hat unser Herz erwärmt und zu einer Erhöhung der endgültigen Bewertung geführt.

In der Arbeit des Auditors muss er sich häufig mit neuen Technologien auseinandersetzen, und die Fähigkeit, diese zu verstehen, ist sehr wichtig. Wir haben diese Frage in den Fragebogen aufgenommen und sind davon ausgegangen, dass die meisten Kandidaten bis auf den Namen kaum von der Technologie der JWT-Token gehört haben. Daher zielte diese Frage zunächst auf die Fähigkeit ab, Informationen aus öffentlichen Quellen zu suchen und zu analysieren. Infolgedessen könnte eine Person, die auf Anfrage von "JWT" ​​und "JWT-Schwachstelle" die Herausgabe von Google verpasst hat, zu folgenden Schlussfolgerungen kommen:

1. Dieses Token verfügt nicht über einen Signaturalgorithmus, sodass ein Angreifer alle Felder innerhalb des Tokens ändern kann, was vom Konzept der JWT-Token nicht angenommen wird.

2. Felder im Token enthalten das Kennwort des Benutzers im Klartext. Das Speichern solcher Informationen im Token ist mindestens eine schlechte Praxis. In den meisten Fällen können Sie eine solche Entscheidung ablehnen und dadurch Ihr Sicherheitsniveau erhöhen.

3. Angesichts des Fehlens einer Signatur und unserer Fähigkeit, die Felder im Token zu ändern, ist es logisch anzunehmen, dass das Ändern des Werts von isAdmin unsere Berechtigungen auf Administratorrechte erhöhen kann.

4. Eine weitere interessante Idee, die nur wenige in ihrer Antwort erwähnt haben, betrifft die Tatsache, dass Benutzereingaben in die Felder eines JWT-Tokens übertragen werden können. In einer normalen Situation kann ein Angreifer die Daten im Token in keiner Weise beeinflussen, was bedeutet, dass Entwickler die Einführung zusätzlicher Überprüfungen im Code der Handler häufig vernachlässigen können. Dies bringt die einfache Idee auf den Punkt: Versuchen wir jedoch, klassische Angriffe nicht über GET / POST-Parameter, sondern über Token-Felder durchzuführen. Dies kann zu einem unerwartet guten Ergebnis führen. Ein solch kreativer Ansatz mit der richtigen Begründung unseres Handelns wurde von uns bei der Bewertung dieses und anderer Probleme sehr geschätzt.

Viele Kandidaten haben in ihren Antworten kurz nacherzählt, wie das JWT-Token aufgebaut ist und wo es verwendet wird. Es war für uns interessant zu lesen, und dennoch haben wir zunächst die Aspekte der Antwort in Bezug auf die Sicherheit bewertet.

 <ifmodule mod_headers.c> Header always set Access-Control-Allow-Origin: "https://whitelist.domain.ru" Header always set Access-Control-Allow-Methods "PUT" </ifmodule> 

 <?php header('Access-Control-Allow-Origin: “https://whitelist.domain.ru”); header('Access-Control-Allow-Methods: PUT'); ?> 

Betrachten wir der Reihe nach die Hauptprobleme, die bei den gegebenen Abfragen sichtbar sind:

1) Da die numerische Kennung des Benutzers "10012" in der Anforderung beobachtet wird, besteht der erste Schritt darin, zu überprüfen, ob es möglich ist, das Kennwort für einen anderen Benutzer zu ändern. Kann es ausreichen , die ID eines anderen anzugeben ?
Sicherheitslücken der IDOR-Klasse sind relativ einfach auszunutzen und weisen häufig eine hohe Kritikalität auf.

2) Die Anforderung zum Ändern des Kennworts erfolgt über die POST-Methode, das CSRF-Token wird nicht beachtet und der Inhaltstyp lautet "text / plain". Es besteht die Möglichkeit , eine solche Anfrage vorzutäuschen.

Um das Passwort des Opfers zu ändern, reicht es daher aus, dass der Angreifer ihn davon überzeugt, nur den "böswilligen" Link zu besuchen.

3) In den Antwortheadern zeigt der Server die Version der verwendeten Software an . Dies kann auf einmal als Sicherheitslücke bezeichnet werden. Es ist jedoch besser, solche Banner auszublenden. Angreifer können leicht bekannte 1-Tages-Exploits finden, und der Wert der verwendeten Software vereinfacht die Planung weiterer Angriffe erheblich.

4) Wir würden uns sehr über den Satz "Was passiert, wenn wir das Datenformat von JSON auf XML ändern ?"

Tatsache ist, dass moderne Frameworks intelligent und alles fressend sind und Daten in verschiedenen Formaten verarbeiten können. Und beim Parsen von XML ist häufig eine gefährliche XXE-Sicherheitsanfälligkeit zulässig. Mit seiner Hilfe kann der Eindringling in das interne Netzwerk "gehen", Konfigurationsdateien vom Server lesen und gelegentlich RCE ausführen.

5) Ich wollte auch eine Bemerkung wie "Warum wird das Wissen des Alten beim Ändern des Passworts nicht überprüft ?"

Für "Variante Nr. 2" gibt es eine "Falle" - hier werden CORS-Header verwendet, und der Inhaltstyp der Anforderung ist bereits auf "application / json" gesetzt.

Der Fehler, den die überwiegende Mehrheit der Kandidaten gemacht hat, ist die Antwort auf das Formular "- Das ist das Sternchen in Allow-Origin, was bedeutet, dass Sie Anfragen von jeder Site aus senden können!"

Nein, geht nicht. Erstens fehlt der Header Allow-Credentials: True. Dies bedeutet, dass der Browser die Anforderung "mit Cookies" ausführen sollte, damit die Anforderung ohne Sitzung anonym bleibt. Und zweitens würde der Browser selbst dann, wenn ein solcher Header vorhanden wäre, das Senden von Cookies verbieten - nur wegen des "Sternchens". Ihre Kombination ist verboten und der Browser wird ignoriert.

Ziel der Frage war es, die Vertrautheit des Auszubildenden mit modernen (und nicht so) Techniken zur Durchführung von MitM-Angriffen zu ermitteln. Schauen wir uns mögliche Szenarien an, die auf einem vorhandenen Verkehrsdump basieren:

1) ARP-Spoofing
ARP-Spoofing ist der älteste und einfachste Weg, MitM-Angriffe zu implementieren. Es besteht darin, eine kostenlose ARP-Anfrage an Host A zu senden.

Die IP-Adresse von Host B ist die IP-Adresse, und unsere MAC-Adresse ist die MAC-Adresse. Mit einer solchen Anforderung können Sie die ARP-Tabelle auf Host A ändern und sie dazu zwingen, Anforderungen an unser Gerät zu senden, wenn Sie versuchen, Host B zu kontaktieren. Host B ist normalerweise das Standard-Gateway.

Empfohlene Tools: Bettercap, Arpspoof

2) LLMNR, NBNS-Spoofing
Link-Local Multicast Name Resolution und NetBIOS Name Service sind die Protokolle, die zum Auflösen von Hostnamen im lokalen Netzwerk verwendet werden. Im Gegensatz zum DNS-Protokoll gibt es keinen dedizierten Server, auf dem alle Informationen gespeichert sind. Stattdessen wird die Anforderung an alle Hosts im Netzwerk gesendet. Wenn der Hostname in der Anforderung mit dem Hostnamen des Geräts übereinstimmt, wird eine Antwort gesendet.

Wie in der Antwort richtig vermerkt, kann der Angreifer auf solche Anfragen antworten, indem er seine IP-Adresse in der Antwort sendet. Dies führt dazu, dass das Opfer in Zukunft das Gerät des Angreifers anstelle des Geräts kontaktiert, dessen Hostname in der Anfrage enthalten ist. Darüber hinaus kann der Angreifer vom Opfer eine NTLM-Authentifizierung anfordern, wodurch das Gerät des Opfers einen NTLM-Hash sendet, der für Brute Force weiter verwendet werden kann.

Empfohlene Tools: Responder

3) WPAD-Spoofing
WPAD-Spoofing kann auf einen Sonderfall von LLMNR- und NBNS-Spoofing zurückgeführt werden. Das Auto Proxy Auto Discovery-Protokoll wird verwendet, um einen HTTP-Proxyserver automatisch zu konfigurieren.

Das Gerät sendet eine LLMNR / NBNS-Anforderung mit dem wpad-Hostnamen, empfängt die entsprechende IP-Adresse und versucht, über HTTP auf die Datei wpad.dat zuzugreifen, in der Informationen zu den Proxyeinstellungen gespeichert sind.

Infolgedessen kann der Angreifer LLMNR / NBNS-Spoofing durchführen und dem Opfer seine Datei wpad.dat zur Verfügung stellen. Infolgedessen wird der gesamte HTTP- und HTTPS-Verkehr durch den Angreifer geleitet.

Empfohlene Tools: Responder, mitm6

4) Router-Werbung
Wie Sie dem Speicherauszug entnehmen können, gibt es im Netzwerk Geräte mit aktiviertem IPv6. Während Sie sich im Netzwerk befinden, können Sie versuchen, Nachrichten an die IPv6-Router-Ankündigung des Opfers zu senden, um das Standard-Gateway oder den DNS-Server zu ändern.

RA-Nachrichten (Router Advertisement) sind Teil des SLAAC-Mechanismus (Stateless Address Autoconfiguration), der erforderlich ist, um IPv6-Adressen in einem Netzwerk automatisch zu erhalten, ohne einen DHCPv6-Server zu verwenden oder in Verbindung damit. Dies wird erreicht, indem regelmäßig Multicast-RA-Nachrichten an den Router gesendet werden, die die Standard-Gateway-Adresse, das Netzwerkpräfix, die DNS-Serveradresse und das Domänenpräfix enthalten.

Empfohlene Tools: Rohpaket

5) DHCP-Spoofing
In einem Speicherauszug werden DHCP-Erkennungsanforderungen von demselben Gerät in einigen Intervallen wiederholt. Sie können Schlussfolgerungen zum Fehlen eines DHCP-Servers in diesem Netzwerk ziehen und auf die nächste Erkennungsanforderung antworten, indem Sie das Opfer als Standard-Gateway zum Gerät angeben.

Empfohlene Werkzeuge: Yersinia

6) HSRP-Spoofing
Außerdem können HSRP-Pakete im Speicherauszug angezeigt werden. Das Hot Standby Router Protocol kann die Verfügbarkeit von Routern erhöhen, die als Standardgateway fungieren. IP-, -. Hello - , . HSRP, , , HSRP .

: Yersinia

7) STP-
Spanning Tree Protocol L2- . BPDU-, , . BPDU-, , , , , , , , STP, , .

: Yersinia

, . nginx , web-, nginx web- /. nginx , , , .

, , , . , . , , .

gixy .

Gixy 4 :

1) Alias travesal:

80 :

 location /static { alias /prod_static/; } 

- , . : //host/static../etc/passwd. - alias: , /static, /prod_static/, : /prod_static/../etc/passwd, /etc/passwd. alias traversal

2) Http Splitting (CRLF injection)
nginx , , . HTTP-.
: github.com/yandex/gixy/blob/master/docs/ru/plugins/httpsplitting.md

3) -
75 «rigin» . , - , , production.host.evil.com .
: github.com/yandex/gixy/blob/master/docs/ru/plugins/origins.md

4) add_header
nginx : add_header, , , , . CSP .
: github.com/yandex/gixy/blob/master/docs/ru/plugins/addheaderredefinition.md

---

, gixy, . :

1) 17 default_type text/html. : , , nginx Content-Type, default_type. , Content-Type: text/html. HTML- , , , XSS- .

2) POST-
29-30 , . , “” POST-. . ! SSRF , , , , .

3) php-fpm
48 , FastCGI- unix , 9000. , , . , PHP-.

4) “” CSP
production.host Content-Security-Policy, Javascript, .

5) “” CORS
76-77 CORS, , cookie .

6) , 86 . secured /managed.

7) , , , -. , , , /user/{userid} IDOR.

, , , .

, :

• ACL
• capabilities

, , :
“ , root” .

, Linux/Unix .
, “ ” — .
, , funky_test.txt

 -rwxrw-rx 1 alice interns 12  4 13:00 funky_test.txt 

, Linux/Unix :

• - — “rwx” alice
• — “rw” interns
• — “rx” others

read, write, execute .

, — , :

• , read
• , read
• read

, read . , execute .

, .

, , . :

1. , ls.

2. — POSIX Access Control Lists .

c .

1

, alice interns . funny_test.txt :

 $ whoami alice $ id uid=1001(alice) gid=1001(alice) groups=1001(alice),1002(interns) $ ls -la ----rwx--- 1 alice interns 12  4 13:00 funky_test.txt $ cat funky_test.txt cat: funky_test.txt: Permission denied $ 

2

— funky_test.txt 604. bob , interns :

 $ whoami bob $ id uid=1002(bob) gid=1003(bob) groups=1003(bob),1002(interns) $ ls -la funky_test.txt -rw----r-- 1 alice interns 12  4 13:00 funky_test.txt $ cat funky_test.txt cat: funky_test.txt: Permission denied 

alice , . , permission_denied :

 $ id uid=1001(alice) gid=1001(alice) groups=1001(alice),1002(interns) $ ls -la ----rwx--- 1 alice interns 12  4 13:00 funky_test.txt $ chmod 777 funky_test.txt $ ls -la funky_test.txt -rwxrwxrwx 1 alice interns 12  4 13:00 funky_test.txt $ cat funky_test.txt secret_pass 

bob .

Warum so

, « », :

• ID effective UID —
• GID effective GID —
• others.

, — , “” , , , :

• , , others
• , , others

.

POSIX Access Control Lists

— /. , ACL, , “ + ”

POSIX ACLs, — , . ACL, .

Beispiel

. alice funky_test.txt ,

 -rwxrw-rx 1 alice interns 12  4 13:00 funky_test.txt 

ACL. getfacl , , ACL, , ls .

 $ getfacl funky_test.txt # file: funky_test.txt # owner: alice # group: interns user::rwx group::rw- other::rx 

, ACL . , bob :

 setfacl -mu:bob:rwx funky_test.txt 

“ + ”

 ls -l funky_test.txt -rwxrwxr-x+ 1 alice interns 12  4 13:00 funky_test.txt 

:

 getfacl funky_test.txt # file: funky_test.txt # owner: alice # group: interns user::rwx user:bob:rwx group::rw- mask::rwx other::rx 

ACL . :

1. . effective UID effective GID — . , ACL, . , , , , , .
2. ACL mask , ACL owner, group, others

, , , — .

, ACL, , :

• ACL, ;
• , ACL, .

 1)User - 1 Account: IEUser Domain: WIN7 Host: WIN7 hex dump session key - 49 0c 38 3e f8 eb 63 88 79 0f 62 84 09 84 d2 dc 2) User - 2 Account: winwin Domain: WIN7 Host: WIN7 hex dump session key - 8d f6 1b 35 79 a3 78 d3 2e 81 09 f1 95 4f 71 0a 3) User - 3 Account: 192.192.192.29 Domain: WIN7 Host: WIN7 hex dump session key - c3 19 e0 21 1b e2 63 c6 03 9e e7 38 1b 56 f0 d1 

, , :

1. ( )
2. — /
3. ,

, :

Wireshark, Protocol Hierarchy Statistics Conversations .

Protocol Hierarchy Statistics — .



Conversations — , .





:

1. (60%) — TCP, , , SMB. Protocol hierarchy SMB 40%, TCP, , 20% SMB.
2. 192.192.192.128 192.192.192.129. SMB .

.

— SMB.

, — wireshark — ExportObject .
tcp stream . , , tcp stream , . , .

, , , , . , .

.
SMB .

NTLM- “ntlmssp”. info , 3 :



, .







Net-NTLMv2-, :

• challenge
• response

Net-NTLMv2 hashcat .

, WIN7\winwin WIN7\192.192.192.129 — , . WIN7\IEUser — , , , , , SMB.

Net-NTLM , , Wireshark. , PCredz (https://github.com/lgandx/PCredz)



IEUser ( ) hashcat.



, .

6, , SMB/NTLM , DNS .

, , NT LM NTLMv1 (Net-NTLMv1) , NTLMv2 (Net-NTLMv2) ( ).

- NT LM NTLM , NTLM NTLMv1 NTLMv2 . , . .

, NTLMv1/NTLMv2 — challenge-response . , .

NT LM — “ ” — .

:

• PassTheHash — , , . Aber. , NT . PassTheHash NTLMv2 — . , “” , , .
• NTLM Relay — , , NTLM. , .
• Spoofing, Windows: LLMNR, NetBios
• : MS17-010, / , .

:

• ( )
• ,
• eternalBlue
• NTLM relay
• NTLM relay — SMB
• , (ARP-spoofing, DNS )

, , , Pivoting. , , , , , .

, ping , ARP- (arp -a), (route). , netcat (nc -h), , (nc -vnz 10.0.20.3 0-1000). , , , , , , - bash, python .

— SSH-, SOCKS- SSH, .
ssh -D 1337 user@10.0.20.5 -f -N

. nmap SOCKS- proxychains .

proxychains nmap 10.0.20.0/24
nmap 10.0.20.0/24 --proxy socks4://10.0.20.5:1337

nmap - SOCKS-. SYN- ( nmap ) SOCKS-, SOCKS- TCP- , SYN- , SYN, SYN ACK. CONNECT- (-sT), nmap SOCKS-.

nmap -sT 10.0.20.0/24 --proxy socks4://10.0.20.5:1337

, - , , . , Linux-, nmap -sT , , , , , , .

, MITM HTTPS .

, Proxy WiFi. ProxyDroid, iptables .

, Root , , ?

SSL-Pinning, , , “Frida+Objection”. , :)