Przykłady błędów bezpieczeństwa w kilku krokach, Mateusz Olejarka czyli rzecz o atakowaniu procesów
Kto zacz? ● Starszy specjalista ds. bezpieczeństwa IT, SecuRing ● (Były) programista ● Testerzy.pl, trener ● OWASP Poland, członek zarządu
Agenda ● Bezpieczeństwo procesów ● Przyda się ● Przykłady i techniki ● Pytania
Bezpieczeństwo procesów?! ● Czemu testować bezpieczeństwo procesów?
Bezpieczeństwo procesów?! ● Błędy na poziomie: – Logiki procesu – Implementacji procesu
Przyda się ● Web developer – Pokazuje pola ukryte na formularzu – Zdejmuje ograniczenie długości pól – Uaktywnia pola zablokowane (disabled) – Zamiana pól wyboru na tekstowe
Przyda się ● HTTP proxy PrzeglądarkaSerwerProxy
Proces - schemat ● Omówienie procesu ● Jak go zaatakować? ● Co było nie tak? ● Techniki testowania
Przykłady ● Edycja elementu danych ● Przypomnienie hasła ● Zmiana nr telefonu do autoryzacji SMS ● Zlecenie z autoryzacją
Edycja elementu danych ● Proces – Wybór elementu danych – Zmiana danych – Zapisanie zmian (+ ew. autoryzacja)
Edycja elementu danych ● Proces – Wybór elementu danych – Zmiana danych – Zapisanie zmian (+ ew. autoryzacja) ● Identyfikator elementu danych jest w polu ukrytym
Przypomnienie hasła ● Proces – Podanie adresu – Podanie kodu otrzymanego na – Zmiana hasła
Przypomnienie hasła
Technika nr 1 Manipulacja parametrami ukrytymi i zablokowanymi do edycji
Zmiana nr telefonu ● Proces – Podanie treści kodu sms, który przyszedł na stary telefon – Podanie treści kodu sms, który przyszedł na nowy telefon – Zapisanie zmiany
Technika nr 2 Weryfikacja walidacji wymaganych parametrów
Zlecenie z autoryzacją ● Proces – Uzupełnienie danych zlecenia – Możliwa autoryzacja od razu, lub zapisanie operacji do późniejszej autoryzacji
Technika nr 3 Pominięcie parametru i jego wartości podczas wykonania akcji na formularzu
Zlecenie z autoryzacją ● Proces – Uzupełnienie danych zlecenia – Możliwa autoryzacja od razu, lub zapisanie operacji do późniejszej autoryzacji
Zlecenie z autoryzacją ● Proces – Uzupełnienie danych zlecenia – Możliwa autoryzacja od razu, lub zapisanie operacji do późniejszej autoryzacji ● Podczas wykonania autoryzacji przesyłane są dane transakcji
Technika nr 4 Powtórzenie operacji autoryzacji ze zmienionymi danymi
Czekamy na Was! Pracuj z nami: Darmowe konsultacje:
Kontakt tel. (12) fax. (12) Mateusz Olejarka