Phenquestions
Inhaltsverzeichnis
- Datenbankinjektion
- Gebrochene Authentifizierung
- Offenlegung sensibler Daten
- Externe XML-Entitäten (XEE)
- Defekte Zugangskontrolle
- Sicherheitsfehlkonfiguration
- Cross-Site-Scripting (XSS)
- Unsichere Deserialisierung
- Verwenden von Komponenten mit bekannten Schwachstellen
- Unzureichende Protokollierung und Überwachung
Datenbankinjektion:
Im Falle des Sendens nicht vertrauenswürdiger Daten an den Interpreter als Teil eines Befehls über einen Bereich, der Benutzereingaben erfordert, i.Bei der Formulareingabe oder einem anderen Datenübermittlungsbereich treten Injektionsfehler auf. Die böswilligen Abfragen des Angreifers können den Interpreter dazu verleiten, Befehle auszuführen, die vertrauliche Daten anzeigen können, für die der Benutzer keine Berechtigung zum Einsehen hat. Wenn beispielsweise bei einem SQL-Injection-Angriff die Formulareingabe nicht ordnungsgemäß bereinigt wird, kann der Angreifer die SQL-Datenbank betreten und ohne Autorisierung auf deren Inhalt zugreifen, indem er einfach bösartigen SQL-Datenbankcode in ein Formular eingibt, das einen Klartext erwartet. Jede Art von Feld, das die Eingabe des Benutzers akzeptiert, ist injizierbar, i.e-Parameter, Umgebungsvariablen, alle Webdienste usw.
Die Anwendung ist anfällig für den Injection-Angriff, wenn die vom Benutzer bereitgestellten Daten nicht bereinigt und validiert werden. Injektionsfehler können durch die Untersuchung des Codes und durch den Einsatz automatisierter Tools wie Scanner und Fuzzer leicht entdeckt werden. Um Injection-Angriffe zu verhindern, können einige Maßnahmen ergriffen werden, z. Escape von Sonderzeichen mit einer bestimmten Escape-Syntax usw.
Ein Injection-Angriff kann zu einem massiven Datenverlust, der Offenlegung vertraulicher Informationen, der Verweigerung des Zugriffs und sogar zu einer vollständigen Anwendungsübernahme führen. Einige SQL-Steuerelemente wie LIMIT können verwendet werden, um große Datenverluste im Falle eines Angriffs zu kontrollieren. Einige Arten von Injection-Angriffen sind SQL-, OS-, NoSQL-, LDAP-Injection-Angriffe.
Gebrochene Authentifizierung:
Angreifer können auf Benutzerkonten zugreifen und sogar das gesamte Hostsystem über Administratorkonten kompromittieren, indem sie die Schwachstellen in Authentifizierungssystemen nutzen. Authentifizierungsfehler ermöglichen es dem Angreifer, Passwörter, Sitzungstoken und Authentifizierungsschlüssel zu kompromittieren und können mit anderen Angriffen verkettet werden, die vorübergehend und in einigen Fällen dauerhaft zu einem unbefugten Zugriff auf jedes andere Benutzerkonto oder eine andere Sitzung führen können. Nehmen wir an, ein Benutzer hat eine Wortliste oder ein Wörterbuch mit Millionen gültiger Benutzernamen und Passwörter, die er während einer Sicherheitsverletzung erhalten hat. Er kann sie in kürzester Zeit einzeln verwenden, indem er automatisierte Tools und Skripte im Anmeldesystem verwendet, um zu sehen, ob jemand funktioniert. Eine unzureichende Implementierung von Identitätsmanagement und Zugriffskontrollen führt zu Schwachstellen wie fehlerhafter Authentifizierung.
Die Anwendung ist anfällig für Authentifizierungsangriffe, wenn sie das Ausprobieren verschiedener Benutzernamen und Passwörter erlaubt, Wörterbuchangriffe oder Brute-Force-Angriffe ohne jegliche Verteidigungsstrategie zulässt, einfache Standardpasswörter oder Passwörter verwendet, die bei einer Verletzung durchgesickert sind, Sitzungs-IDs in URL offenlegt, verwendet schlechtes Passwort-Wiederherstellungsschema, verwendet ein Muster von Cookies. Gebrochene Authentifizierung kann mit einfachen Tools für Brute-Forcing und Wörterbuchangriffe mit einem guten Wörterbuch leicht ausgenutzt werden. Diese Arten von Angriffen können durch Multi-Faktor-Authentifizierungssysteme verhindert werden, indem schwache Passwortprüfungen implementiert werden, indem ein Passwort durch eine Datenbank mit ungültigen Passwörtern ausgeführt wird, indem keine Standardanmeldeinformationen verwendet werden, indem die Richtlinien für die Passwortkomplexität angepasst werden, durch die Verwendung guter serverseitiger Sitzungsmanager, der nach der Anmeldung eine neue zufällige Sitzungs-ID generiert usw.
Eine defekte Authentifizierungsschwachstelle kann dazu führen, dass einige Benutzerkonten und ein Administratorkonto kompromittiert werden. Das ist alles, was ein Angreifer braucht, um ein System zu kompromittieren. Diese Arten von Angriffen führen zu Identitätsdiebstahl, Sozialversicherungsbetrug, Geldwäsche und der Offenlegung streng geheimer Informationen. Zu den Angriffen gehören Wörterbuchangriffe, Brute-Forcing, Session-Hijacking und Session-Management-Angriffe.
Offenlegung sensibler Daten:
Manchmal schützen Webanwendungen sensible Daten und Informationen wie Passwörter, Datenbankanmeldeinformationen usw. nicht. Ein Angreifer kann diese schwach geschützten Zugangsdaten leicht stehlen oder ändern und sie für unrechtmäßige Zwecke verwenden. Sensible Daten sollten im Ruhezustand oder während der Übertragung verschlüsselt werden und über eine zusätzliche Sicherheitsebene verfügen, da sie sonst von Angreifern gestohlen werden können. Angreifer können sensible Daten in die Hände bekommen und Hash- oder Klartextbenutzer- und Datenbankanmeldeinformationen vom Server oder einem Webbrowser stehlen. Wenn beispielsweise eine Passwortdatenbank ungesalzene oder einfache Hashes zum Speichern von Passwörtern verwendet, kann ein Datei-Upload-Fehler einem Angreifer ermöglichen, die Passwortdatenbank abzurufen, was dazu führt, dass alle Passwörter mit einer Regenbogentabelle mit vorberechneten Hashes preisgegeben werden.
Der Hauptfehler besteht nicht nur darin, dass die Daten nicht verschlüsselt sind, selbst wenn sie verschlüsselt sind, sondern auch eine schwache Schlüsselgenerierung, schwache Hashing-Algorithmen und eine schwache Verschlüsselung können zu diesen Arten von einem der häufigsten Angriffe führen. Um diese Art von Angriffen zu verhindern, klassifizieren Sie zunächst, welche Art von Daten gemäß den Datenschutzgesetzen als sensibel eingestuft werden können, und wenden Sie Kontrollen gemäß der Klassifizierung an. Versuchen Sie keine geheimen Daten zu speichern, die Sie nicht benötigen, waschen Sie sie, sobald Sie sie verwenden use. Verschlüsseln Sie die übertragenen Daten mit sicheren Protokollen i.e TLS mit PFS-Chiffren usw.
Diese Art von Sicherheitslücken können zur Offenlegung hochsensibler Informationen wie Kreditkartendaten, Gesundheitsdaten, Passwörter und andere personenbezogene Daten führen, die zu Identitätsdiebstahl und Bankbetrug usw. führen können.
Externe XML-Entitäten (XEE):
Schlecht konfigurierte XML-Prozessoren verarbeiten externe Entitätsreferenzen in XML-Dokumenten. Diese externen Entitäten können verwendet werden, um die Daten interner Dateien abzurufen, wie z /etc/passwd Datei oder um andere bösartige Aufgaben auszuführen. Anfällige XML-Prozessoren können leicht ausgenutzt werden, wenn ein Angreifer ein XML-Dokument hochladen oder XML einbinden kann usw. Diese anfälligen XML-Entitäten können mithilfe von SAST- und DAST-Tools oder manuell durch Überprüfung von Abhängigkeiten und Konfigurationen erkannt werden.
Eine Webanwendung ist aus vielen Gründen für XEE-Angriffe anfällig, z. B. wenn die Anwendung direkte XML-Eingaben von nicht vertrauenswürdigen Quellen akzeptiert, Dokumenttypdefinitionen (DTDs) für die Anwendung aktiviert sind, die Anwendung SAML für die Identitätsverarbeitung verwendet, da SAML XML für die Identität verwendet Einfügungen usw. XEE-Angriffe können abgeschwächt werden, indem die Serialisierung sensibler Daten vermieden und weniger komplizierte Datenformate verwendet werden.e JSON, Patchen von XML-Prozessoren, die die Anwendung derzeit verwendet, und sogar der Bibliotheken, Deaktivieren von DTDs in allen XML-Parsern, Validierung der XML-Datei-Upload-Funktionalität mit XSD-Überprüfung usw.
Die Anwendung, die für diese Art von Angriffen anfällig ist, kann zu DOS-Angriffen, Billion-Laughs-Angriffen, Scans interner Systeme, interner Port-Scans und der Ausführung eines Remote-Befehls führen, der sich auf alle Anwendungsdaten auswirkt.
Defekte Zugangskontrolle:
Die Zugriffssteuerung gibt Benutzern Berechtigungen zum Ausführen bestimmter Aufgaben. Eine gebrochene Zugriffskontrollanfälligkeit tritt auf, wenn die Benutzer nicht ordnungsgemäß auf die Aufgaben beschränkt sind, die sie ausführen können. Angreifer können diese Sicherheitsanfälligkeit ausnutzen, die am Ende auf nicht autorisierte Funktionen oder Informationen zugreifen kann. Nehmen wir an, eine Webanwendung ermöglicht es dem Benutzer, das Konto zu ändern, von dem aus er angemeldet ist, indem er einfach die URL ohne weitere Überprüfung in das Konto eines anderen Benutzers ändert. Das Ausnutzen der Sicherheitsanfälligkeit in der Zugriffssteuerung ist ein Angriffspunkt für jeden Angreifer. Diese Sicherheitsanfälligkeit kann sowohl manuell als auch mithilfe von SAFT- und DAFT-Tools gefunden werden. Diese Schwachstellen bestehen aufgrund fehlender Tests und automatisierter Erkennung von Webanwendungen, obwohl der beste Weg, sie zu finden, darin besteht, dies manuell zu tun.
Schwachstellen enthalten Privilegieneskalation i.e als Benutzer agieren, der Sie nicht sind oder als Admin fungieren, während Sie ein Benutzer sind, Umgehen von Zugriffskontrollprüfungen, indem Sie einfach die URL ändern oder den Status der Anwendung ändern, Metadaten-Manipulation, Ermöglichen, dass der Primärschlüssel als Primärschlüssel eines anderen Benutzers geändert wird, usw. Um diese Art von Angriffen zu verhindern, müssen Zugriffskontrollmechanismen in serverseitigen Code implementiert werden, bei denen Angreifer die Zugriffskontrollen nicht ändern können. Durchsetzung eindeutiger Anwendungsgeschäftslimits durch Domänenmodelle, Deaktivierung der Auflistung von Serververzeichnissen, Warnung des Administrators bei wiederholten fehlgeschlagenen Anmeldeversuchen, Ungültigkeit von JWT-Token nach dem Logout muss sichergestellt werden, um diese Art von Angriffen abzuwehren.
Angreifer können als andere Benutzer oder Administratoren fungieren, die diese Sicherheitsanfälligkeit nutzen, um bösartige Aufgaben wie das Erstellen, Löschen und Ändern von Datensätzen usw. auszuführen. Es kann zu massiven Datenverlusten kommen, wenn die Daten auch nach einer Sicherheitsverletzung nicht gesichert sind.
Sicherheitsfehlkonfiguration:
Die häufigste Schwachstelle ist eine Fehlkonfiguration der Sicherheit. Der Hauptgrund für die Sicherheitslücke ist die Verwendung von Standardkonfigurationen, unvollständigen Konfigurationen, Adhoc-Konfigurationen, schlecht konfigurierten HTTP-Headern und ausführlichen Fehlermeldungen, die mehr Informationen enthalten, als dem Benutzer eigentlich bekannt sein sollte. Auf jeder Ebene einer Webanwendung können Sicherheitsfehlkonfigurationen auftreten, wenn.e Datenbank, Webserver, Anwendungsserver, Netzwerkdienste usw. Angreifer können ungepatchte Systeme ausnutzen oder auf ungeschützte Dateien und Verzeichnisse zugreifen, um unbefugten Zugriff auf das System zu erlangen. Zum Beispiel eine Anwendung mit übermäßig ausführlichen Fehlermeldungen, die dem Angreifer helfen, Schwachstellen im Anwendungssystem und dessen Funktionsweise zu erkennen. Automatisierte Tools und Scanner können verwendet werden, um diese Art von Sicherheitslücken zu erkennen.
Eine Webanwendung enthält diese Art von Schwachstelle, wenn die Sicherheitsmaßnahmen in einem Teil der Anwendung fehlen, unnötige Ports geöffnet sind oder unnötige Funktionen aktiviert, Standardpasswörter verwendet werden, die Fehlerbehandlung dem Angreifer über informative Fehler aufdeckt, die sie verwendet ungepatchte oder veraltete Sicherheitssoftware usw. Dies kann verhindert werden, indem unnötige Funktionen des Codes entfernt werden, d.eine minimale Plattform ohne unnötige Funktionen, Dokumentation usw., die es einer Aufgabe ermöglicht, die Sicherheitslücken im Rahmen von Patch-Management-Prozessen zu aktualisieren und zu patchen, die Verwendung eines Prozesses zur Überprüfung der Wirksamkeit der ergriffenen Sicherheitsmaßnahmen, die Verwendung eines wiederholbaren Härtungsprozesses Es ist einfach, eine andere Umgebung bereitzustellen, die ordnungsgemäß gesperrt ist.
Diese Art von Schwachstellen oder Fehlern ermöglichen es dem Angreifer, sich unbefugten Zugriff auf Systemdaten zu verschaffen, was zur vollständigen Kompromittierung des Systems führt.
Cross-Site-Scripting (XSS):
XSS-Schwachstellen treten an dem Punkt auf, an dem eine Webanwendung nicht vertrauenswürdige Daten in eine neue Website-Seite ohne legitime Genehmigung oder Flucht einfügt oder eine aktuelle Website-Seite mit vom Client bereitgestellten Daten aktualisiert, indem sie eine Browser-API verwendet, die HTML oder JavaScript erstellen kann. XSS-Fehler treten auf, wenn die Website einem Benutzer erlaubt, benutzerdefinierten Code in einen URL-Pfad einzufügen, der von anderen Benutzern gesehen werden kann. Diese Fehler werden verwendet, um bösartigen JavaScript-Code im Browser des Ziels auszuführen. Nehmen wir an, ein Angreifer kann dem Opfer einen Link senden, der einen Link zur Website eines beliebigen Unternehmens enthält. In diese Verbindung könnte ein bösartiger JavaScript-Code eingebettet sein. Falls die Webseite der Bank nicht ausreichend gegen XSS-Angriffe geschützt ist, wird beim Klicken auf den Link der bösartige Code im Browser des Opfers ausgeführt.
Cross-Site Scripting ist eine Sicherheitslücke, die in fast ⅔ der Webanwendungen . vorhanden ist. Eine Anwendung ist für XSS anfällig, wenn die Anwendung eine nicht bereinigte Benutzereingabe speichert, die von einem anderen Benutzer gesehen werden kann, durch die Verwendung von JavaScript-Strukturen, Single-Page-Anwendungen und APIs, die von Angreifern kontrollierbare Informationen in eine Seite einbinden, sind gegen DOM XSS hilflos. XSS-Angriffe können durch die Verwendung von Frameworks abgeschwächt werden, die von Natur aus XSS-Eingaben umgehen und bereinigen, wie React JS usw., die Grenzen von Frameworks kennen lernen und sie mit eigenen Fällen abdecken, unnötige und nicht vertrauenswürdige HTML-Daten überall entziehen i.e in HTML-Attributen, URI, Javascript usw., Verwendung von kontextsensitiver Codierung bei Änderung des Dokuments auf Client-Seite usw.,.
Es gibt drei Arten von XSS-basierten Angriffen:.e Reflected XSS, DOM XSS und Stored XSS. Alle Arten dieser Angriffe haben erhebliche Auswirkungen, aber im Fall von Stored XSS ist die Auswirkung noch größer, wenn.e Stehlen von Anmeldeinformationen, Senden von Malware an das Opfer usw.
Unsichere Deserialisierung:
Die Serialisierung von Daten bedeutet, Objekte zu nehmen und in ein beliebiges Format zu konvertieren, damit diese Daten später für andere Zwecke verwendet werden können, während die Deserialisierung von Daten das Gegenteil davon bedeutet. Die Deserialisierung entpackt diese serialisierten Daten für die Verwendung von Anwendungen. Unsichere Deserialisierung bedeutet das Temperieren von Daten, die serialisiert wurden, kurz bevor sie entpackt oder deserialisiert werden. Unsichere Deserialisierung führt zur Remote-Codeausführung und wird verwendet, um andere Aufgaben für böswillige Zwecke wie Privilegieneskalation, Injection-Angriffe, Replay-Angriffe usw. auszuführen. Es stehen einige Tools zur Verfügung, um diese Art von Fehlern zu entdecken, aber es wird häufig menschliche Hilfe benötigt, um das Problem zu validieren. Die Deserialisierung auszunutzen ist etwas schwierig, da die Exploits ohne manuelle Änderungen nicht funktionieren work.
Wenn die Anwendung bösartige Objekte deserialisiert, die von der angreifenden Entität bereitgestellt werden. Dies kann zu zwei Arten von Angriffen führen:.e Angriffe im Zusammenhang mit Datenstrukturen und Objekten, bei denen der Angreifer Anwendungslogik modifiziert oder Remote-Code ausführt, und typische Datenmanipulationsangriffe, bei denen vorhandene Datenstrukturen mit geändertem Inhalt verwendet werden, z. B. Angriffe im Zusammenhang mit Zugriffskontrollen. Die Serialisierung kann in der Remote-Prozesskommunikation (RPC) oder einer Interprozesskommunikation (IPC), Caching von Daten, Webdiensten, Datenbank-Cache-Servern, Dateisystemen, API-Authentifizierungstoken, HTML-Cookies, HTML-Formularparametern usw. verwendet werden. Deserialisierungsangriffe können abgewehrt werden, indem keine serialisierten Objekte aus nicht vertrauenswürdigen Quellen verwendet werden, Integritätsprüfungen implementiert werden, der in einer Umgebung mit geringen Privilegien ausgeführte Code isoliert wird, eingehende und ausgehende Netzwerkverbindungen von Servern überwacht werden, die häufig deserialisierenial.
Verwendung von Komponenten mit bekannten Schwachstellen:
Verschiedene Komponenten wie Bibliotheken, Frameworks und Softwaremodule werden von den meisten Entwicklern in der Webanwendung verwendet. Diese Bibliotheken helfen dem Entwickler, unnötige Arbeit zu vermeiden und die benötigte Funktionalität bereitzustellen. Angreifer suchen in diesen Komponenten nach Fehlern und Schwachstellen, um einen Angriff zu koordinieren. Falls eine Sicherheitslücke in einer Komponente gefunden wird, können alle Websites, die dieselbe Komponente verwenden, angreifbar werden. Exploits dieser Schwachstellen sind bereits verfügbar, während das Schreiben eines benutzerdefinierten Exploits von Grund auf viel Aufwand erfordert. Dies ist ein sehr häufiges und weit verbreitetes Problem. Die Verwendung großer Mengen von Komponenten bei der Entwicklung einer Webanwendung kann dazu führen, dass Sie nicht einmal alle verwendeten Komponenten kennen und verstehen. Das Patchen und Aktualisieren aller Komponenten ist ein langer Weg.
Eine Anwendung ist angreifbar, wenn der Entwickler die Version einer verwendeten Komponente nicht kennt, die Software veraltet ist oder.e Betriebssystem, DBMS, laufende Software, Laufzeitumgebungen und Bibliotheken, die Schwachstellenüberprüfung wird nicht regelmäßig durchgeführt, die Kompatibilität der gepatchten Software wird von den Entwicklern nicht getestet. Dies kann verhindert werden, indem ungenutzte Abhängigkeiten, Dateien, Dokumentationen und Bibliotheken entfernt, die Version der client- und serverseitigen Komponenten regelmäßig überprüft, Komponenten und Bibliotheken von offiziellen und vertrauenswürdigen sicheren Quellen bezogen, die nicht gepatchten Bibliotheken und Komponenten überwacht und ein Plan sichergestellt wird um anfällige Komponenten regelmäßig zu aktualisieren und zu patchen.
Diese Schwachstellen führen zu geringfügigen Auswirkungen, können aber auch zu einer Kompromittierung des Servers und des Systems führen. Viele große Sicherheitsverletzungen beruhten auf bekannten Schwachstellen von Komponenten. Die Verwendung anfälliger Komponenten untergräbt die Abwehr von Anwendungen und kann ein Ausgangspunkt für einen großen Angriff sein.
Unzureichende Protokollierung und Überwachung:
Die meisten Systeme ergreifen nicht genügend Maßnahmen und Schritte, um Datenschutzverletzungen zu erkennen. Die durchschnittliche Reaktionszeit eines Vorfalls beträgt 200 Tage, nachdem er passiert ist. Dies ist viel Zeit, um all die unangenehmen Dinge für ein angreifendes Unternehmen zu erledigen. Unzureichende Protokollierung und Überwachung ermöglichen es dem Angreifer, das System weiter anzugreifen, das System im Griff zu behalten, Daten zu manipulieren, zu speichern und zu extrahieren, je nach Bedarf. Angreifer nutzen die fehlende Überwachung und Reaktion zu ihren Gunsten, um die Webanwendung anzugreifen.
Unzureichende Protokollierung und Überwachung treten jederzeit auf i.Die Protokolle von Anwendungen, die nicht auf ungewöhnliche Aktivitäten überwacht werden, prüfbare Ereignisse wie fehlgeschlagene Anmeldeversuche und hohe Transaktionswerte werden nicht ordnungsgemäß protokolliert, Warnungen und Fehler erzeugen unklare Fehlermeldungen, keine Triggerwarnung bei Pentesting mit automatisierten DAST-Tools oder aktive Angriffe schnell warnen usw. Diese können gemildert werden, indem sichergestellt wird, dass alle Anmelde-, Zugriffskontrollfehler und die serverseitige Eingabevalidierung protokolliert werden können, um böswillige Benutzerkonten zu identifizieren, und für eine verzögerte forensische Untersuchung ausreichend lange aufbewahrt werden können, indem sichergestellt wird, dass die generierten Protokolle in einem Format vorliegen kompatibel mit zentralisierten Protokollverwaltungslösungen, indem Integritätsprüfungen bei hochwertigen Transaktionen sichergestellt werden, indem ein System für rechtzeitige Warnungen bei verdächtigen Aktivitäten eingerichtet wird usw.
Die meisten erfolgreichen Angriffe beginnen mit dem Überprüfen und Untersuchen von Schwachstellen in einem System, was zu einer Gefährdung des gesamten Systems führen kann.
Fazit:
Die Sicherheitslücken in einer Webanwendung betreffen alle Entitäten, die mit dieser Anwendung verbunden sind. Diese Schwachstellen müssen beseitigt werden, um den Benutzern eine sichere Umgebung zu bieten. Angreifer können diese Schwachstellen nutzen, um ein System zu kompromittieren, es in die Hände zu bekommen und Berechtigungen auszuweiten. Die Auswirkungen einer kompromittierten Webanwendung können von gestohlenen Kreditkartendaten und Identitätsdiebstahl bis hin zum Durchsickern streng vertraulicher Informationen usw. visualisiert werden. je nach Bedarf und Angriffsvektoren bösartiger Entitäten.
