Често Задавани Въпроси

Презентация от Shmoocon 2011, описваща детайли от използването на мунтифункционалки при проникване, както и представяне на нов инструмент – PRAEDA, специализиран за извличане на информация от подобни устройства. Мен лично ме удиви ниското ниво на сигурност, което е заложено дори и в последните модели на големите производители – парола, сложена в HTML кода на страницата по дефиниция е #FAIL

Нов плъг-ин за Firefox позволява да се праща фалшив IP адрес към сайтовете, без това да влияе на браузването. Трикът е, че в една HTTP заявка вашият адрес се съдържа на няколко места – няколко в самата заявка ( тези могат да бъдат променени ) и един в TCP/IP пакета ( който няма как да бъде променен ). Плъг-ина има възможност да модифицира адресите в заявката и така да сее ужас и паника сред администраторите на сайтове и SEO специалистите.

Ако ви е интересно – инсталирайте от тук на собствена отговорност.

Стандартна атака – сканиране с nikto, експлойт с metasploit. Единственото интересно е тунелирането на атаките през SSH и SSL, за да може да се преодолее firewall пред уязвимият web сървър

Значими събития от последните седмици:

Може би най-сериозното е, че хакери са успели да проникнат във сървърите на RSA ( част от EMC ) и са задигнали сорс код, свързан със SecureID. SecureID е един от доста успешните продукти на RSA за двуфакторна аутентификация, масово използван от банки, корпорации и кой ли още не. Тъй като самите RSA нищо не казват по въпроса какво е откраднато и какви импликации има това, се надигна малка масова истерия, като хората почнаха да се оглеждат с какво да заменят SecureID токените. Новината е значима, защото RSA на практика са изобретили част от масовото използваната в момента криптография и бяха в челните класации, що се отнасяше за сигурност.

Малко след това сертификатният доставчик на удостоверителни услуги Comodo (( да, знам че звучи тъпо, но certificate vendor е криво… ) обяви, че някой е успял да генерира чрез него сертификати за следните сайтове:

• mail.google.com (Gmail)
• login.live.com (Hotmail)
• www.google.com
• login.yahoo.com (три различни сертификата)
• login.skype.com
• addons.mozilla.org (Firefox екстенжъни)
• "Global Trustee"

като заявките за регистрация са дошли от територията на Иран, като пробивът е станал като са откраднати потребителят и паролата на един от реселърите на Comodo – оттам нататък е била възможна генерацията на произволни сертификати.

Малко след като пробивът стана публичен, Mozilla обяви нови версии на FF 3.5, 3.5 и 4.0, които специално блокират въпросните сертификати. Microsoft ги последваха, а малко след това се появиха писания от ирански хакер, който твърди, че е действал сам и това е отмъщение за Stuxnet. Въпреки цялата дандания нито един от генерираните сертификати не е бил забелязан в действителна употреба.

За капак на всичко MySQL.com беше хакнат чрез… SQL injection. Същата дупка е имало и в Sun.com, който е предвиден за скорошно закриване, след като Oracle погълна Sun. Хак-а е дело на румънски хакер, който е постнал дъмп на хешираните пароли, като част от паролите са кракнати. В общият случай и тук е вярно, че масово се използват недостатъчно сигурни пароли.

За финал бих искал да споделя правилният според мен начин за реакция на хакната организация – в случая това е TripAdvisor, които загубиха част от списъка с мейли на клиентите си – http://yfrog.com/gy103wcj 

Ето така се прави – сайта вече е хакнат, информацията е изтекла, остава единствено да се намалят щетите и да се затвори дупката.

Демонстрация на SSLStrip –  с помощта на backtrack се вдига фалшив WiFi AP, върху който се пуска ettercap ( за дъмпене на паролите от трафика ) и sslstrip, който от своя страна блокира https протокол.

Замислете се следващият път, когато се закачате към отворено WiFi.

Презентация на OWASP DC 2010, която говори за нова форма на DoS атака срещу HTTP сървъри. Атаката е на база на коректни HTTP POST заявки, при които изпращаните данни нарочно се забавят, така че да се ангажират възможно най-много ресурси от страна на сървъра. Като атака, това е от същият клас като Slowloris – забива HTTP сървъра, без да насища канала или процесор/памет на операционната система, като по този начин много от мониторинг софтуерите ще го пропуснат.

H…t…t…p……p…o…s…t: Onn Chee, OWASP Singapore & Tom Brennan, OWASP Foundation from OWASP DC on Vimeo.

Presentation available at http://www.owasp.org/images/4/43/Layer_7_DDOS.pdf

Слайдове