Elementi di Sicurezza e Privatezza Laboratorio 6 - Vulnerabilità di applicazioni Web (1) Chiara Braghin chiara.braghin@unimi.it!

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Elementi di Sicurezza e Privatezza Laboratorio 6 - Vulnerabilità di applicazioni Web (1) Chiara Braghin chiara.braghin@unimi.it!"

Elvira Leo
8 anni fa
Visualizzazioni

1 Elementi di Sicurezza e Privatezza Laboratorio 6 - Vulnerabilità di applicazioni Web (1) Chiara Braghin chiara.braghin@unimi.it!

2 Assignment (1) - Varie Al link elementi/lab/lista_consegnati.pdf trovate la lista degli assignment ricevuti, verificate di esserci! Note: w Quando mandate una mail di lavoro è buona cosa firmare la mail e inserire un body, anche se l attachment o il subject sono selfexplanatory w Se chiedo che venga sottomessa una cartella con un certo nome, voglio che sia così!! w I progetti vanno svolti individualmente!!! 1

3 Assignment (2) - Correzioni Creare una cartella cartella_nascosta che contenga diversi file (tra cui index.html, README.txt, quite_secret.html). 1. Fare in modo che sia alice che bob, oppure un utente che fa la richiesta con IP possano leggere il file index.html, mentre tutti gli altri file presenti nella cartella siano leggibili da tutti (a meno delle restrizioni dei punti successivi) <Files index.html>! AuthType Basic! AuthName Solo per index.html"! AuthUserFile /var/www/cartella_nascosta/.htpasswd! order allow,deny! allow from ! require user alice bob! satisfy any! </Files>! 2

4 Assignment (2) - Correzioni Creare una cartella cartella_nascosta che contenga diversi file (tra cui index.html, README.txt, quite_secret.html). 2. Fare in modo che solo gli utenti che appartengono al gruppo fortunati possa leggere il file README.txt!! <Files README.txt>! AuthType Basic! AuthName Solo per README.txt"! AuthUserFile /var/www/cartella_nascosta/.htpasswd! AuthGroupFile /var/www/cartella_nascosta/.htgroups require group fortunati! </Files>! 3

5 Assignment (3) - Correzioni Creare una cartella cartella_nascosta che contenga diversi file (tra cui index.html, README.txt, quite_secret.html). 3. Fare in modo che l utente trudy non possa leggere il file quite_secret.html!! <Files quite_secret.html>! AuthType Basic! AuthName Solo per quite_secret.html"! AuthUserFile /var/www/cartella_nascosta/.htpasswd! AuthGroupFile /var/www/cartella_nascosta/.htgroups require group no_trudy! </Files>!! 4

6 Ancora Unix

7 Variabili d ambiente (0) Vi ricordate il comando della volta scorsa? sudo su - export http_proxy= apt-get install john! 6

8 Variabili d ambiente (1) In ogni shell è possibile definire un insieme di variabili con nome e valore w i riferimenti ai valori (r-value) delle variabili si fanno con il carattere speciale $ $nomevariabile w si possono fare assegnamenti nomevariabile=$nomevariabile 7

9 Variabili d ambiente (2) Ogni comando è in esecuzione nell'ambiente associato (=insieme di variabili di ambiente definite) alla shell che esegue il comando w ogni shell eredita l'ambiente dalla shell che l'ha creata w nell ambiente ci sono variabili alle quali il comando può fare riferimento 8

10 Variabili d ambiente (3) Importante è la variabile PATH w specifica alla shell le directory in cui cercare i comandi w se si vuole conoscere il contenuto di tale variabile basta digitare echo $PATH w il risultato visualizzerà un elenco di nomi di directory separati da due punti come: /usr/sshutils/bin:/usr/local/bin:/bin:/usr/bin w se qualche percorso è assente e avete bisogno di specificarlo, è possibile aggiungerlo con il comando setenv o export (a seconda della shell): setenv PATH /nuova_directory:$path 9

11 HTTP Request e Response

12 HTTP Request Metodo URL Versione protocollo Header Body (opzionale) GET /index.html HTTP/1.1 Host: User-Agent: Mozilla/5.0 Accept: text/html, */* Accept-Language: en-us Accept-Charset: ISO ,utf-8 Connection: keep-alive (extra carriage return, line feed) Carriage return, line feed indica la fine del messaggio 11

13 HTTP Response Status line: Versione Status Messaggio di status Header Body HTTP/ OK Date: Thu, 24 Jul :36:27 GMT Server: Apache-Coyote/1.1 Content-Type: text/html;charset=utf-8 Content-Length: 1846 blank line <html>... </html> 12

14 telnet Protocollo di rete utilizzato su Internet w protocollo client-server basato su TCP Programma che un utente può usare per avviare una sessione Telnet ad un host remoto w implementa la parte client del protocollo w i client solitamente si connettono alla porta 23 sul server 13

15 Come provare HTTP (lato client) 1. Fare telnet ad un Web server: telnet 80 Apre una connessione TCP alla porta 80 di Quanto scritto dopo viene spedito a 2. Digitare una richiesta HTTP di tipo GET: GET XXX HTTP/1.1 Host: YYY Scrivendo questo, seguito da invio 2 volte, si spedisce una richiesta minimale al server 3. La risposta HTTP del server viene stampata a video 14

16 Vulnerabilità di applicazioni Web

17 Nota Bene : La legge italiana prevede la punibilità penale di chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza : non potete verificare le competenze acquisite in questo corso andando a verificare il livello di sicurezza di applicazioni Web 16

18 OWSAP (1) OWSAP = Open Web Application Security Project Organizzazione (nata nel 2001) non affiliata con nessuna compagnia per rimanere super partes Obiettivi: w migliorare la sicurezza delle applicazioni Web w creare e distribuire articoli, documentazione, metodologie, tool e tecnologie per la sicurezza di applicazioni Web 17

19 OWSAP (2) Getting_Started! Per scaricare la Virtual Machine usata in laboratorio: w downloads! w Versione utilizzata: Febbraio

20 OWSAP Live CD (1) 26 tool per il testing di Web apps installati w OWASP WebScarab w OWASP WebGoat w OWASP CAL9000 w OWASP JBroFuzz w Paros Proxy w OWASP DirBuster w OWASP SQLiX w OWASP WSFuzzer w Metasploit 3. 19

21 OWASP Live CD (2) C è una nuova macchina virtuale: w My Computer! w Local Disk (C:)! w Documents and Settings! w All Users! w Shared Documents! w OwaspVM! w Owasp-wte-Feb-2011.vmdk! w OWASP-livecd! 20

22 OWASP Live CD (3) username: owasp password: owasp 21

23 WebGoat (1) Applicazione Web volutamente insicura progettata per testare sul campo diverse tipologie di attacco Consiste in una serie di lezioni nelle quali gli utenti devono provare a produrre un attacco Perché il nome "WebGoat"? index.php/owasp_webgoat_project 22

24 WebGoat (2) Come avviare WebGoat? 23

25 WebGoat (3) Si avvia Firefox Finestra in cui vengono richieste credenziali Username: guest, password: guest Va all URL: webgoat/attack! Premere il pulsante: Start WebGoat 24

26 Apache Tomcat WebGoat utilizza come Web server Apache Tomcat w Sviluppato dalla Apache Sw Foundation (ASF) w Scritto in Java w Implementa JavaServlet e JavaServer Pages (JSP) w Include dei tool di configurazione, ma si possono editare direttamente file XML Apache Tomcat Apache Web server 25

27 WebScarab (1) Framework per analizzare le applicazioni che comunicano tra loro usando i protocolli HTTP e HTTPS Scritto in Java Funzionalità principale: fungere da proxy di intercettazione (attivo!!), quindi ha la possibilità: w vedere e modificare le richieste create dal browser prima che vengano inviate al server w vedere e modificare le risposte del server prima che il browser le riceva 26

28 WebScarab (2) Come avviare WebScarab? 27

29 WebScarab (3) Come configurare WebScarab come proxy? 28

30 WebScarab (4) Come configurare WebScarab come proxy? 29

31 WebScarab (5) Come configurare WebScarab come proxy? 30

32 WebScarab (6) Come configurare WebScarab come proxy? 31

33 Esercizi in laboratorio

34 Esercizi (1) - HTTP 1. Provare a richiedere da shell la pagina index.html al Web server Analizzare la risposta ottenuta (header, status, ecc.). Provare a fare la stessa richiesta tramite browser e fare un confronto. 2. Si faccia la richiesta del punto 1 chiedendo che la versione del protocollo HTTP da utilizzare sia la 1.1. Come finisce la negoziazione con il server? Quale versione viene utilizzata? 3. Si mandi una richiesta HTTP al server del punto 1, senza chiedere un file particolare. Ora che tipo di risposta si ottiene? 4. Provare a richiedere tramite telnet delle pagine Web ad almeno altri 7 server diversi. Vedere in genere quale versione del protocollo HTTP utilizzano. 33

35 Esercizi (2) WebGoat 1. Fare la lezione relativa ad http Basics nella sezione General 2. Fare le lezioni Password Strength, Forgot Password e Basic Authentication nella sezione Authentication Flaws 34

Documenti analoghi

Assignment (1) - Varie

Elementi di Sicurezza e Privatezza Laboratorio 6 - Vulnerabilità di applicazioni Web (1) Chiara Braghin chiara.braghin@unimi.it! Assignment (1) - Varie Al link http://www.dti.unimi.it/braghin/ elementi/lab/lista_consegnati.pdf