NETinfo 2009–10-09 Magnus Persson Epost: Telefon: 046 –
Netinfo Brandväggar Hacka webbservrar
Brandväggar Brandväggar och CFL Centrala brandväggar Kör själva eller låt oss hantera regler GUI eller hardcore editor Behöver inte vänta till fem i tolv!
Hacka webbservrar Fokus mer på WWW Servrar och klienter Många säkerhetsluckor Dåligt skydd 80/20 regeln gäller
Hacka webbservrar Ett antal standardmetoder XSS CSRF SQL injection
Hacka webbservrar XSS – Cross site scripting Startade på 90-talet Runt 80% av funna säkerhetshål Stoppa in kod på HTML-sidor Utnyttjar ofta dåligt kontrollerad indata
Hacka webbservrar
Hålet: Skickade info om iframe via GET Ändra URLen till att inkludera hej
Hacka webbservrar
CSRF – Cross site request forgery Få en klient att göra uppkopplingar till en webbsida Laddar kod från en hackers webbsida Döljs i t.ex. bild-tag, CSS, script, mm. Exekveras utan att klienten märker någonting
Hacka webbservrar
SQL injection Utnyttjar dåligt skyddade indatafält Indata från webbsidor blir SQL-anrop DB-poster kan skrivas, raderas eller ändras Plus allt annat som servern tillåter
Hacka webbservrar SELECT ID, LastLogin FROM Users WHERE User = 'john' AND Password = 'doe' SELECT ID, LastLogin FROM Users WHERE User = '" + userName + "' AND Password = '" + password + "' Hackern matar in i ”User”: ' OR 1=1 --
Hacka webbservrar SQLservern får följande SELECT ID, LastLogin FROM Users WHERE User = '' OR 1=1 -- AND Password = ' Sedan är det bara att testa vad SQLservern kan
Hacka webbservrar
NETinfo 2009–10-09 FRÅGOR?