A1: 2017 - इंजेक्शन (भाग 2)

पिछले लेख में, मैंने सुझाव दिया था कि पाठक जानता है कि SQL क्वेरी भाषा कैसे संरचित है, साथ ही साथ HTTP प्रोटोकॉल कैसे काम करता है। लेकिन आमतौर पर ऐसा नहीं होता है। और मुझे तुरंत रॉब ब्रेटन की मेरी पसंदीदा पुस्तकों में से एक "अनट्रस्टवर्ल्ड माइंड्स" में वर्णित कहानी याद आ गई। यह निम्नलिखित प्रयोग का वर्णन करता है। मनोवैज्ञानिक रेबेका लॉसन ने विषयों के एक समूह से पूछा कि क्या उन्होंने कभी अपने जीवन में साइकिल की सवारी की थी। ज्यादातर ने हां में जवाब दिया। उसने आगे पूछा कि क्या वे जानते हैं कि बाइक कैसे काम करती है। पहले से ही कम सकारात्मक जवाब थे, लेकिन फिर भी विशाल बहुमत। और फिर उसने निम्नलिखित छवि का सुझाव दिया और इसे पूरक करने के लिए कहा ताकि यह बाइक सवारी कर सके।


और फिर सबसे दिलचस्प बात हुई - आधे से ज्यादा लोग ऐसा नहीं कर सके। इस भ्रामक सरल कार्य से पता चलता है कि अधिकांश लोग बस कल्पना नहीं कर सकते कि एक साइकिल कैसे काम करती है। लेकिन सबसे दिलचस्प बात यह है कि वे यह नहीं समझते हैं कि वे यह नहीं जानते हैं, लेकिन इसे केवल उस समय समझना शुरू करते हैं जब उन्हें इस ज्ञान का प्रदर्शन करना होता है।

HTTP और SQL के साथ, एक ही बात होती है। आईटी विशेषज्ञों के 90% ने एसक्यूएल क्वेश्चन लिखा, कम से कम अपने शैक्षणिक संस्थानों में प्रयोगशाला प्रयोगशालाओं में, लोग हर दिन HTTP के साथ उपयोगकर्ताओं के रूप में काम करते हैं, और समान आईटी विशेषज्ञ समय-समय पर वेब सर्वर को कॉन्फ़िगर करते हैं जो वास्तव में HTTP के साथ काम करते हैं। लेकिन जब आपको किसी विशिष्ट प्रश्न का उत्तर देना होता है, तो एक स्तूप नियमित रूप से होता है।


एक सूचना सुरक्षा विश्लेषक को बारीकियों और सूक्ष्मताओं को जानते हुए, तकनीक को विस्तार से जानना चाहिए। अगर हमें नहीं पता कि यह या उस तकनीक को कैसे काम करना चाहिए, तो हम यह कैसे पता लगा सकते हैं कि इसमें क्या गलत है?

इसके अलावा एक "इंजेक्शन"

मैंने उल्लेख किया कि इनपुट का सत्यापन सर्वर पर होना चाहिए, लेकिन क्लाइंट पर नहीं। समय-समय पर, एक इनपुट रूपों का सामना कर सकता है जहां व्यक्तिगत तत्व निष्क्रिय हैं। और यह माना जाता है कि कुछ शर्तों के पूरा होने के बाद वे सक्रिय हो जाएंगे। या, उदाहरण के लिए, उपयोगकर्ता नाम इनपुट फ़ील्ड 7 वर्ण लंबा है, इस प्रकार उपयोगकर्ता नाम की अधिकतम लंबाई सीमित है। यह सब एक बहुत बुरा अभ्यास है और यही कारण है: पृष्ठ पर जो तत्व पहले से ही प्राप्त किए गए हैं, उन्हें भेजने से पहले मनमाने ढंग से संपादित किया जा सकता है, बिना किसी विशेष तकनीकी साधनों के। OWASP Mutillidae II में, इसे "अन्य"> "क्लाइंट-साइड" सुरक्षा "नियंत्रण" उदाहरण में देखा जा सकता है।


यहां उन फ़ील्ड्स का एक रूप है, जिनमें आपको एक यादृच्छिक संख्या दर्ज करने की आवश्यकता है, इस बार यह 2056694312 है। यहां "कठिनाई" यह है कि फ़ील्ड की सीमाएँ हैं। एक "रीड-ओनली" फ़ील्ड है जहाँ संख्या 42 को प्रतिस्थापित नहीं किया जा सकता है, वहाँ एक बहुत छोटा "छोटा टेक्स्ट बॉक्स" फ़ील्ड है जहाँ हमारा नंबर बस फिट नहीं हो सकता है, एक निष्क्रिय "अक्षम पाठ बॉक्स" फ़ील्ड है जो निष्क्रिय है, और इसी तरह।

वास्तव में, कार्य बहुत सरलता से हल हो गया है। ब्राउज़र में (मेरे मामले में यह मोज़िला फ़ायरफ़ॉक्स), डेवलपर के कंसोल (F12) पर जाएं और फ़ॉर्म तत्वों का निरीक्षण करना शुरू करें।

उदाहरण के लिए, केवल पढ़ने के लिए फ़ील्ड इस तरह दिखता है:

<input HTMLandXSSInjectionPoint="1" type="text" name="readonly_textbox" id="id_readonly_textbox" size="15" maxlength="15" required="required" autofocus="autofocus" readonly="readonly" value="42" /> 

आसानी से हटाएं = "आसानी से पढ़ें" और ध्वनि: प्रपत्र लेखन योग्य है, हम अपना नंबर दर्ज कर सकते हैं।
हमारा मूल्य बस अगले क्षेत्र में फिट नहीं होता है, आइए इस तत्व को देखें:

 <input HTMLandXSSInjectionPoint="1" type="text" name="short_textbox" id="id_short_textbox" size="3" maxlength="3" required="required" /> 

यहाँ हम अधिकतम "= 3" नोटिस करते हैं। 3 को 333 के साथ बदलें, अब हम बिना किसी डर के अपना नंबर दर्ज कर सकते हैं कि यह फिट नहीं होगा।

और वैसे, यह केवल इनपुट फ़ील्ड के बारे में नहीं है। इसी तरह, आप किसी भी तत्व को बदल सकते हैं, जैसे चेक बॉक्स। पेज कोड इस तरह दिखता है:

 <input type="checkbox" name="checkbox" id="id_checkbox" value="2056694312" required="required" disabled="disabled" /> 

यह यहां काफी सरल है, हम अपने नंबर के साथ मूल्य को बदल देंगे, और अब यह तब भेजा जाएगा जब उपयोगकर्ता बटन पर क्लिक करेगा।


कुल मिलाकर, यदि आप जानते हैं कि HTML कैसे संरचित है, तो आपके लिए इस फ़ॉर्म को ठीक करना मुश्किल नहीं होगा, ताकि आप वहां सभी आवश्यक डेटा दर्ज करें। बस साइकिल सिंड्रोम पर अनुभाग फिर से पढ़ें =)

एसक्यूएल ही नहीं

इंजेक्शन हमेशा डेटाबेस के बारे में नहीं है। किसी भी रूप से, बड़े और आने वाले डेटा को फ़िल्टर नहीं करने से, आप कुछ अतिरिक्त जानकारी प्राप्त कर सकते हैं। उदाहरण के लिए "एप्लिकेशन लॉग इंजेक्शन"> "डीएनएस लुकअप" डीएनएस प्रश्नों के लिए एक सुविधाजनक रूप है:


दरअसल, अगर आप वहां पता दर्ज करते हैं, उदाहरण के लिए, google.com, तो हमें सभी आवश्यक जानकारी मिलती है:


हालाँकि, भेद्यता यह है कि पहले मान्य कमांड के अलावा, हम कुछ और दर्ज कर सकते हैं। उदाहरण के लिए, निर्दिष्ट करें:

 google.com && dir 

और अब कमांड का आउटपुट अधिक दिलचस्प है:


हमने DNS सर्वर से अनुरोध किया था, लेकिन इसके अलावा, हमने dir कमांड को निष्पादित किया और हमारी साइट के साथ फ़ोल्डर में क्या देखा। वेब सर्वर की हार्ड ड्राइव के चारों ओर घूमने और क्या बुरा है, इसके लिए अलग-अलग कमांड का संयोजन करना मुश्किल नहीं है।

अगली बार हम और उदाहरणों का विश्लेषण करेंगे, और यह भी देखेंगे कि आप अपने काम को कैसे स्वचालित कर सकते हैं।

इस लिंक पर लेखक का ब्लॉग पढ़ें।