Elementi di Sicurezza e Privatezza Lezione 19 Web Application Fingerprintig

Transcript

1 Elementi di Sicurezza e Privatezza Lezione 19 Web Application Fingerprintig Chiara Braghin chiara.braghin@unimi.it!

2 Fingerprinting (1) Definizione generica: A fingerprint is defined as: 1. The impression of a fingertip on any surface; also: an ink impression of the lines upon the fingertip taken for the purpose of identification. 2. Something that identifies: as (a) a trait, trace, or characteristic revealing origin or responsibility (b) analytical evidence that characterizes an object or substance. 2

3 Fingerprinting (2) In ambito informatico: Metodo di analisi ed identificazione di oggetti. w Operating System Fingerprinting w TCP/IP Stack Fingerprinting w HTTP Fingerprinting 3

4 Web Application Fingerprinting (WAF) Identificazione di un applicazione Web e della sua versione Perché è importante? w Per il penetration tester (e non solo ) per testare l applicazione ed evidenziare eventuali vulnerabilità w If you know your enemies and know yourself, you can win a hundred battles without a single loss, Sun Tzu, The Art of War 4

5 WAF Perchè? (1) Well-known Web application: 5

6 WAF Perchè? (2) Altre Web application: 6

7 WAF Perchè? (3) 7

8 WAF Perchè? (4) 8

9 WAF - Tecniche Source code (HTML data) inspection Campo server nel HTTP response header File and folder presence Checksum Based Identification 9

10 HTML data inspection Ispezione del codice HTML di una pagina: w si cercano nell head particolari metatag w si ricercano commenti, figure o parole che possono semplificare il riconoscimento del framework di sviluppo Powered by 10

11 Server field del HTTP response nc = netcat Contromisura: offuscare o modificare il campo (tool ServerMask - products/servermask/) 11

12 File and folder presence (1) Ricerca path specifici utilizzati da una applicazione per memorizzare documenti utili al suo funzionamento: w directory dove risiedono i template, i fogli di stile CSS o i file JavaScript Sfrutta il fatto che tutti i Web server differiscono nel modo in cui implementano il protocollo HTTP, specialmente nel caso di richieste malformate 12

13 File and folder presence (2) Esempio di file statici: 13

14 File and folder presence (3) Ricerca di differenze di implementazione del protocollo HTTP: 1. HTTP header field ordering: osservare l ordine in cui vengono inseriti alcuni campi nell header del HTTP response 14

15 File and folder presence (4) Ricerca di differenze di implementazione del protocollo HTTP: 2. Risposta ad una richiesta generalmente non permessa 15

16 File and folder presence (5) Ricerca di differenze di implementazione del protocollo HTTP: 3. Richiesta malformata: protocollo inesistente 16

17 File and folder presence (6) Ricerca di differenze di implementazione del protocollo HTTP: 4. Richiesta malformata: pagina o cartella inesistenti 17

18 Checksum Based Identification Ricerca di determinati file (statici) e verifica del loro contenuto (che varia a seconda della versione dell applicazione) 1. Creazione di un insieme di firme (calcolo del checksum del file statico) che identificano l applicazione e inserimento in database locale 2. Download del file dal server remoto di cui si vogliono raccogliere informazioni 3. Calcolo del checksum del file 4. Confronto del checksum appena calcolato con il database di firme pre-calcolato 18

19 WhatWeb whatweb! Scritto in Ruby Pluggable architecture Tecniche utilizzate: w Google dork checks, w Verifica esistenza di file w Verifica del contenuto di file mediante un confronto md5-based 19

20 Wappalyzer Plugin per Firefox/Chrome Scritto in JavaScript Ricerca alcune espressioni regolari nel file che carica 20

21 BlindElephant (1) The BlindElephant Web Application Fingerprinter attempts to discover the version of a (known) web application by comparing static files at known locations against precomputed hashes for versions of those files in all all available releases. The technique is fast, low-bandwidth, noninvasive, generic, and highly automatable. 21

22 BlindElephant (2) 22

23 BlindElephant (3) 23

24 BlindElephant (4) 24

25 BlindElephant (5) 25

26 BlindElephant (6) 26

27 BlindElephant (7) 27

28 BlindElephant (8) 28

29 Riferimenti Statistiche su diffusione CMS: w w An Introduction to HTTP fingerprinting, Saumil Shah 19th May, 2004 w Web Application Fingerprinting With Static Files w Presentazione di Patrick Thomas a Defcon