Bezpečnost Webových Aplikací
Total Page：16
File Type：pdf, Size：1020Kb
Bezpečnost webových aplikací Security of web applications Lukáš Zemek Bakalářská práce 2012 *** naskenované zadání str. 1 *** *** nascannované zadání str. 2 *** UTB ve Zlíně, Fakulta aplikované informatiky, 2012 4 ABSTRAKT Tato práce se zabývá 10 nejčastějšími bezpečnostními hrozbami pro webové aplikace. Používá žebříček Top 10 2010 sestavený nadací OWASP. Každá zranitelnost z tohoto seznamu je ilustrována zranitelnými kódy a metodami útoku na tento kód. Dále jsou představeny adekvátní způsoby ochrany a zabezpečení. Ukázky zdrojových kódů jsou zpracovány v hojně rozšířeném skriptovacím jazyce PHP a technologii ASP.NET společnosti Microsoft. Klíčová slova: OWASP, bezpečnost, zranitelnost, injection, cross-site scripting, crosite- request forgery, WebGoat, Top 10 2010 ABSTRACT This paper deals with the 10 most common security threats to web applications. Uses Top 10 2010 rankings compiled by OWASP Foundation. Each vulnerability of this list is illustrated with the vulnerable code and attack methods in this code. In addition, methods are presented for adequate protection and security. Sample source codes are processed in a widely extended scripting language PHP and ASP.NET Microsoft. Keywords: OWASP, security, vulnerability, injection, cross-site scripting, cross-site- request forgery, WebGoat, Top 10 2010 UTB ve Zlíně, Fakulta aplikované informatiky, 2012 5 Tímto chci poděkovat vedoucímu bakalářské práce panu Ing. Martinu Syslovi, Ph.D. za odborné vedení, cenné rady a připomínky, které mi poskytoval při řešení této práce. Dále bych rád poděkoval svému okolí za podporu při psaní práce. UTB ve Zlíně, Fakulta aplikované informatiky, 2012 6 Prohlašuji, že beru na vědomí, že odevzdáním bakalářské práce souhlasím se zveřejněním své práce podle zákona č. 111/1998 Sb. o vysokých školách a o změně a doplnění dalších zákonů (zákon o vysokých školách), ve znění pozdějších právních předpisů, bez ohledu na výsledek obhajoby; beru na vědomí, že bakalářská práce bude uložena v elektronické podobě v univerzitním informačním systému dostupná k prezenčnímu nahlédnutí, že jeden výtisk bakalářské práce bude uložen v příruční knihovně Fakulty aplikované informatiky Univerzity Tomáše Bati ve Zlíně a jeden výtisk bude uložen u vedoucího práce; byl/a jsem seznámen/a s tím, že na moji bakalářskou práci se plně vztahuje zákon č. 121/2000 Sb. o právu autorském, o právech souvisejících s právem autorským a o změně některých zákonů (autorský zákon) ve znění pozdějších právních předpisů, zejm. § 35 odst. 3; beru na vědomí, že podle § 60 odst. 1 autorského zákona má UTB ve Zlíně právo na uzavření licenční smlouvy o užití školního díla v rozsahu § 12 odst. 4 autorského zákona; beru na vědomí, že podle § 60 odst. 2 a 3 autorského zákona mohu užít své dílo – bakalářskou práci nebo poskytnout licenci k jejímu využití jen s předchozím písemným souhlasem Univerzity Tomáše Bati ve Zlíně, která je oprávněna v takovém případě ode mne požadovat přiměřený příspěvek na úhradu nákladů, které byly Univerzitou Tomáše Bati ve Zlíně na vytvoření díla vynaloženy (až do jejich skutečné výše); beru na vědomí, že pokud bylo k vypracování bakalářské práce využito softwaru poskytnutého Univerzitou Tomáše Bati ve Zlíně nebo jinými subjekty pouze ke studijním a výzkumným účelům (tedy pouze k nekomerčnímu využití), nelze výsledky bakalářské práce využít ke komerčním účelům; beru na vědomí, že pokud je výstupem bakalářské práce jakýkoliv softwarový produkt, považují se za součást práce rovněž i zdrojové kódy, popř. soubory, ze kterých se projekt skládá. Neodevzdání této součásti může být důvodem k neobhájení práce. Prohlašuji, . že jsem na bakalářské práci pracoval samostatně a použitou literaturu jsem citoval. V případě publikace výsledků budu uveden jako spoluautor. že odevzdaná verze bakalářské práce a verze elektronická nahraná do IS/STAG jsou totožné. Ve Zlíně …….………………. podpis diplomanta UTB ve Zlíně, Fakulta aplikované informatiky, 2012 7 OBSAH ÚVOD .................................................................................................................................... 9 1 OPEN WEB APPLICATION SECURITY PROJECT ........................................ 11 1.1 OWASP TOP TEN ................................................................................................ 12 1.1.1 Hrozby webových stránek dle OWASP Top Ten 2010: .............................. 12 1.1.2 Změny hrozeb v průběhu let ........................................................................ 13 1.2 PROJEKT WEBGOAT ............................................................................................. 13 2 INJECTION .............................................................................................................. 15 2.1 MOŽNOSTI ÚTOKU ................................................................................................ 16 2.1.1 Podvodné přihlášení ..................................................................................... 16 2.1.2 Získání dat z databáze .................................................................................. 18 2.1.3 Ostatní typy útoku ........................................................................................ 19 2.2 ZPŮSOBY OBRANY ................................................................................................ 19 2.2.1 Ošetření vstupů escapováním ....................................................................... 20 2.2.2 Kontrola datového typu ................................................................................ 21 2.2.3 Speciální databázová vrstva ......................................................................... 21 2.2.4 Použití frameworku ...................................................................................... 21 2.2.4.1 PHP framework Nette .......................................................................... 22 2.2.4.2 PHP framework Zend .......................................................................... 22 2.2.5 Konfigurační direktiva PHP ......................................................................... 22 2.2.6 Omezení výstupu chybových hlášení ........................................................... 23 2.3 NÁSTROJE PRO TESTOVÁNÍ ................................................................................... 23 2.3.1 Havij ............................................................................................................. 23 3 CROSS-SITE SCRIPTING (XSS) .......................................................................... 25 3.1 REFLECTED CROSS SITE SCRIPTING ..................................................................... 26 3.2 STORED CROSS SITE SCRIPTING ........................................................................... 28 3.3 DOM BASED CROSS SITE SCRIPTING ................................................................... 28 3.4 TESTOVÁNÍ NÁCHYLNOSTI KE XSS ...................................................................... 29 3.5 OCHRANA PŘED XSS ............................................................................................ 29 3.5.1 Ochrana z pohledu uživatele ........................................................................ 29 3.5.2 Ochrana z pohledu programátora ................................................................. 30 3.5.2.1 Ochrana v PHP ..................................................................................... 31 3.5.2.2 Ochrana v ASP.NET ............................................................................ 32 3.5.2.3 Použití frameworku .............................................................................. 33 4 NARUŠENÁ AUTENTIFIKACE A SPRÁVA RELACE .................................... 34 4.1 MOŽNÉ PROBLÉMY ............................................................................................... 34 4.2 OCHRANA PŘED NARUŠENÍM AUTENTIFIKACE A SPRÁVY RELACE ......................... 36 5 NEZABEZPEČENÝ PŘÍMÝ ODKAZ NA OBJEKT .......................................... 37 5.1 PŘÍKLADY ZRANITELNOSTI ................................................................................... 37 5.2 OBRANA PŘED ZRANITELNOSTÍ ............................................................................ 38 5.2.1 Použití nepřímé reference ............................................................................ 38 5.2.2 Validace přímého odkazu ............................................................................. 38 5.2.3 Kontrola přístupu ......................................................................................... 38 UTB ve Zlíně, Fakulta aplikované informatiky, 2012 8 6 CROSS-SITE REQUEST FORGERY (CSRF) ..................................................... 39 6.1 PŘÍKLADY ZNEUŽITÍ ............................................................................................. 39 6.1.1 Zneužití dat odesílaných metou GET ........................................................... 39 6.1.2 Zneužití dat odesílaných metodou POST ..................................................... 40 6.2 OBRANA PROTI CSRF .......................................................................................... 41 6.2.1 Kontrola referreru ......................................................................................... 41 6.2.2 Tokeny požadavků ....................................................................................... 41 6.2.3 Ochrana z pohledu uživatele ........................................................................ 42 6.2.4 Nette framework ..........................................................................................