Эволюция Атак На Веб-Приложения

Атаки на веб-приложения открывают перед злоумышленниками широкие возможности: сюда входит кража критической или конфиденциальной информации; нарушение бизнес-логики ради финансовой выгоды; Также успешная атака на веб-приложение может стать предвестником взлома корпоративной сети компании.

В этой статье я расскажу об эволюции атак на веб-приложения.

ТОП-10 OWASP

• A1 Внедрение кода
• A2 Неправильная аутентификация и управление сеансом
• A3 Межсайтовый скриптинг
• A4 Небезопасные прямые ссылки на объекты
• A5 Небезопасная конфигурация
• A6 Утечка конфиденциальных данных
• A7 Отсутствие контроля доступа на функциональный уровень
• A8 Подделка межсайтового запроса
• A9 Использование компонентов с известными уязвимостями
• A10 Непроверенные редиректы

Хорошим примером выявления той или иной уязвимости можно считать неофициальный график раскрытия информации HackerOne: http://h1.nobbd.de/index.php .

Как мы видим, преобладают SQL-инъекции, атаки на стороне клиента и т.д.

Типы атак

Нецелевые «попадают в точку» и реализуют один-два вектора атаки, не всегда осознавая цель атаки.

Как правило, они примитивны.

Подобные атаки мы видим каждый день, представленные в виде эксплуатации той или иной уязвимости, попыток получить доступ к критически важным файлам и т. д. Целевые атаки отличаются множеством векторов, высоким профессионализмом злоумышленников и эффективностью.

Они составляют примерно 5% от общего количества атак, но они гораздо эффективнее нецелевых.

Нецелевые атаки обычно автоматизированы и осуществляются с использованием различных систем эксплуатации: от сканеров уязвимостей до самописных скриптов и утилит. Как правило, они различаются по нескольким характеристикам (User-Agent, вектор приложения, диапазон IP).

Например, попытка выявить /uploadify/uploadify.php — уязвимость в модуле MODX. Статистика по нецелевым атакам следующая: Самые популярные атаки:

• Попытки обнаружить SQL-инъекцию: - 85%.

• Попытки определить доступ к критически важным папкам и файлам: - 7%.

• Попытки использования известных (громких) эксплойтов — 5%.

• Попытки внедрить обнаружение межсайтового скриптинга — 3%.

Если сайт атакует злоумышленник, знающий веб-приложение и его уязвимые компоненты, атака становится более целенаправленной и эффективной.

Ээволюция атак

• увеличение сложности веб-приложений — как следствие, больше возможностей для ошибок;
• увеличение сложности архитектуры – как следствие, больше возможностей для ошибки;
• популяризация «крутого взлома» — как следствие, больше материала оказывается в открытом доступе, больше атак;
• очевидная безнаказанность.

Появление новых векторов связано с использованием новых технологий или выявлением уязвимостей в старых.

Кроме того, некоторые уязвимости могут быть «за бортом» и не использоваться в течение многих лет, например, внешние сущности XML: первые упоминания датируются 2002 годом , экземпляр вектора 2009 г.

, массовая эксплуатация началась в 2011-2012 практически повсеместно, например phpmyadmin .

XXE-уязвимости были обнаружены (в рамках программ BugBounty) на ресурсах Яндекса, ВКонтакте, Uber и многих других.

Еще одним важным фактором развития векторов атак является внедренное защитное оборудование.

Мы установили уязвимое веб-приложение, указав тип уязвимости и защитили веб-приложение сервисом защиты: http://vulns.XXXXXXXXXXXX.ru .

   http://vulns.XXXXXXXXXXXX.ru/wp-content/plugins/kittycatfish/base.css.phpЭkc_ad=31&ver=2.0 " 

columns%0awher%65%0atable_name=0x746c5f746f6b656e%0alimit%0a0,1)

Это преобразуется в следующие запросы: http://vulns.XXXXXXXXXXXX.ru/wp-content/plugins/kittycatfish-2.2/kittycatfish.js.php Parameter kc_ad=%27%2F%2A%2A%2FanD%2F%2A%2A%2F3083%2F%2A%2A%2FbEtWEEN%2F%2A%2A%2F3083%2F%2A%2A%2FanD%2F%2A%2A%2F3083--%2F%2A%2A%2FiGqe&ver=2.0 Таким образом, можно отметить, что на данный момент практически все известные уязвимости эксплуатируются с поправкой на реализацию механизмов защиты при разработке приложений и на используемые защитные средства.

Также это связано с большим количеством инструментов для проведения атак на веб-приложения.

Теги: #тестирование на проникновение #информационная безопасность

• Как Рисовать Животных

  19 Dec, 24

• Услуги Binlist — На Что Следует Обратить Внимание В Качественном Поставщике?

  19 Dec, 24

• Брюнель, Марк Изамбард

  19 Dec, 24

• Советы По Заработку Денег С Помощью Google Adwords

  19 Dec, 24

• Умные Наушники, Которые Отправляют Уведомления: Обзор Croise.r

  19 Dec, 24

• Всепогодная Камера – Актуальные Проблемы, Критерии Оценки И Выбора. Часть 1

  19 Dec, 24

• Привет Saas | Взаимодействие Клиники И Пациента В Dental Cloud

  19 Dec, 24

• Радости Жизни Часть 1.

  19 Dec, 24

• Какой Американский Боевик Обходится Без Погони? Тоби Галицкий И Его 60 Секунд

  19 Dec, 24

• Победа На Phdays 9. Делимся Лайфхаками В Трёх Частях. Часть 3

  19 Dec, 24