SME
Pondelok, 20. september, 2021 | Meniny má Ľuboslav(a)KrížovkyKrížovky

Dokument: hackeri o prieniku do VasaAdresa.sk

Dokument doručený do redakcie SME, v ktorom hackeri popisujú postup možného útoku na VasaAdresa.sk, zverejňujeme, aby sa mohli voči podobnému útoku zabezpečiť aj iné slovenské servery, u ktorých sa vyskytuje podobná chyba. V popísanom postupe sú vynechané presné príkazy, ktoré môžu slúžiť k neautorizovanému vstupu do systému. Zverejnený bol až po oprave chyby spoločnsoťou eTechnologies. Redakcia.

Popis prieniku do systému WWW.VASAADRESA.SK

Úvod


www.vasaadresa.sk je platená - a podľa úvodnej obrazovky profesionálna - webhostingová služba prevádzkovaná spoločnosťou eTechnologies s.r.o. (okrem iného prevádzkovateľ portálu Azet.sk). Nasledovný popis vážnej bezpečnostnej trhliny v systéme vasaadresa.sk ukazuje, že prevádzkovateľ služby má čo vysvetľovať svojim klientom, ktorí ju s dôverou využívajú.

Systém pri pokuse o prihlásenie a zadaní nesprávneho hesla neinformuje užívateľa o tom čo sa stalo (nesprávne meno/heslo), iba vypíše znovu prihlasovací formulár.
Po následných experimentoch s rozličnými prihlasovacími menami (ďalej len LOGIN) a heslami sme zistili, že po zadaní prihlasovacieho mena (užívateľského ID), ktoré nie je číselné, nám systém ochotne ponúkne informáciu o neúspešnosti databázovej požiadavky (QUERY) a ešte ochotnejšie nám túto query aj vypíše. Na ilustráciu prikladáme jednu z takto získaných chybových hlášok:


CHYBA
Popis chyby:
Unknown column 'asd' in 'where clause'
Dotaz:
SELECT * FROM Zakaznik Z LEFT JOIN ZakaznikUdaje U ON U.idZakaznik=Z.idZakaznik WHERE Z.idZakaznik=asd AND Z.heslo='asd'

Warning: mysql_fetch_array(): supplied argument is not a valid MySQL result resource in /opt/web/vasaadresa.sk/vasaadresa.sk/noweb/funkcie/hPrihlasenieLog.p on line 3

Skryť Vypnúť reklamu

Z tejto informácie vieme zistiť (okrem toho že sme sa dozvedeli kompletnú cestu ku skriptom, teda máme predstavu o adresárovej štruktúre webu a zčasti aj o štruktúre databázy) že vznikla chyba v query "SELECT * FROM Zakaznik Z LEFT JOIN ZakaznikUdaje U ON U.idZakaznik=Z.idZakaznik WHERE Z.idZakaznik=asd AND Z.heslo='asd'" a ďalej nám to - po krátkej analýze, ktorá profesionálnemu programátorovi nerobí ani najmenší problém - poskytlo informáciu, že originálna query je zapísaná nejako takto...

SELECT * FROM Zakaznik Z LEFT JOIN ZakaznikUdaje U ON U.idZakaznik=Z.idZakaznik WHERE Z.idZakaznik=$login AND Z.heslo='$pass'

... kde $login je užívateľské ID z formulára a $pass je heslo z formulára.

Tieto informácie nám postačili na vytvorenie užívateľského mena, ktoré nám dovoľuje vstúpiť do užívateľského priestoru ktoréhokoľvek užívateľa systému. Postup je približne nasledovný (v záujme bezpečnosti nebudeme uvádzať úplný postup)...
Popis prieniku

Skryť Vypnúť reklamu

Autentifikačný mechanizmus pracuje na spôsobe požiadania databázy o informácie užívateľa, ktorý je jednoznačne identifikovaný užívateľským ID a heslom. Pokiaľ by tieto informácie boli korektné, systém vráti PRÁVE JEDEN záznam (kedže predpokladáme, že užívateľské ID je unikátne - jednoznačné). My však pomocou menšej úpravy query dokážeme donútiť systém, aby nám vrátilo všetky záznamy v databáze a potom pomocou limitovania riadkov vieme systém donútiť k vráteniu práve jedného riadku - toho, ktorý potrebujeme. Tým nás systém považuje za autentifikovaných, zapíše si autentifikačný token - záznam o prihlásení - a povolí nám operácie v užívateľskom priestore.

V systéme však existuje aj užívateľ, ktorý ma nastavené administrátorské privilégiá a môže schvaľovať, zamietať a inak modifikovať platby, užívateľské kontá a priestory. Postup na získanie administrátorského konta je úplne totožný, stačí len vytipovať správneho užívateľa. Možnosti administrátora môžeme ukázať na priložených screenshotoch.

Čo ďalej?

Skryť Vypnúť reklamu
Takéto chyby sú v systémoch na dnešnom internete časté a bežné. Avšak web developeri sa ich snažia ochrániť aspoň spôsobom, že skrývajú chybové hlášky a queries pred nepovolanými očami. Keby takto urobili aj eTechnologies, nestalo by sa to. Naviac by sa takéto prešľapy nemali stávať pri platenej službe (navyše označovanej ako “profesionálna”), kde ide okrem iného aj o osobné údaje zákazníkov, a informácie o finančných transakciách. Bezpečnostnú chybu sme objavili a sledovali od začiatku poskytovania služby vasaadresa.sk (niekoľko mesiacov dozadu), počas celej doby boli prístupné (a potenciálne zneužiteľné) všetky údaje, a administrovateľné všetky hosťované domény.

Toto nie je prvý problém s bezpečnosťou u eTechnologies, z minulosti sú známe početné prieniky do služby Pokec.sk, alebo z nedávnej minulosti známy problém so službou Fotoalbumy.sk, kde bolo možné nepovolanými užívateľmi prezerať súkromné zaheslované fotografie.

Skryť Vypnúť reklamu

Programátori by si mali dať pozor na to, aké queries píšu a čo dovolia užívateľom vkladať do query. Dokument o SQL injection (ako sa tento postup nazýva) sa nachádza na tejto linke: http://www.nextgenss.com/papers/advanced_sql_injection.pdf

Záver

Vyhlasujeme, že sme žiadne zo získaných informácií nezneužili ani nepoužili v náš prospech, ani v neprospech eTechnologies, a tento dokument vznikol ako ukážkový príklad chýb pri tvorbe obsahu a systémov na dnešnom internete.

Referencie

Linky v tejto sekcii patria technológiám, ktorých sa tento dokument týka, ako aj informačným dokumentom o technikách SQL injection a ostatných technikách, použíteľných pri prieniku do web aplikácie.

Skryť Vypnúť reklamu

Najčítanejšie na SME Tech

Skryť Vypnúť reklamu
Skryť Vypnúť reklamu
Skryť Vypnúť reklamu
Skryť Vypnúť reklamu

Hlavné správy zo Sme.sk

Z 23 ľudí s covidom na Jednotkách intenzívnej starostlivosti je len jeden zaočkovaný.

Do piatka pre covid skončilo v nemocniciach 283 pacientov.


17. sep
Očkovanie proti ochoreniu Covid-19.

PCR testy na Slovensku odhalili viac ako 402-tisíc nakazených koronavírusom. Pandémia Covid-19 si vyžiadala 12 573 obetí.


a 5 ďalší 11 h

Z veksláka, pašeráka drog a mafiánskej hlavohrude na zbožného predsedu parlamentu v takzvanej protikorupčnej vláde.


Neprehliadnite tiež

Hrebeň Wdowiak.

Preprava stavebného materiálu na Mars by bola astronomicky drahá.


ČTK 18. sep

Inzercia - Tlačové správy

  1. Prehľad bratislavských komunít. Čo všetko sa dá robiť so susedmi
  2. Poznáme slovenské cesty s najkrajším výhľadom!
  3. Profesionáli vedia, o čo ide. Ako si vybrať OZV a nepopáliť sa?
  4. Slováci ochutnali vegánske bagety. Chutili im?
  5. Školy sa znova môžu zapojiť do zberu starých mobilov
  6. Sedemnásť slovenských hotelov na septembrový last minute výlet
  7. Takto dokážu aj vaše peniaze zlepšiť život na našej planéte
  8. Volkswagen na IAA v Mníchove predstavil koncept elektromobilu
  9. Slovenský orloj – svetová atrakcia
  10. Kanceláriám ešte neodzvonilo
  1. BLoKK: Z nevyužitých kancelárií v centre štýlové bývanie
  2. Aj panelák môže byť Smart
  3. Školy sa znova môžu zapojiť do zberu starých mobilov
  4. Pri uzatváraní PZP už nedominuje január
  5. "Je to dravec!" Priznáva šéfkuchár Michal Konrád
  6. Prvé bezbariérové fitko vo Zvolene otvára ZŤP cestu k športu
  7. Sledujte naživo pokusy so slovenskými výskumníkmi
  8. Vystúpte z radu, postavte si moderný dom podľa seba
  9. Slováci ochutnali vegánske bagety. Chutili im?
  10. Poznáme slovenské cesty s najkrajším výhľadom!
  1. Sedemnásť slovenských hotelov na septembrový last minute výlet 8 899
  2. Slovenský orloj – svetová atrakcia 8 110
  3. Mikroplasty sú v produktoch každodennej potreby. V ktorých? 6 236
  4. Radosť zachytiť tieto krásne krivky 4 319
  5. Zodpovedné investovanie praje budúcnosti a je fér 3 501
  6. 5 tipov, ako si užiť jeseň v Bratislave a okolí 3 011
  7. Zateplenie šikmej strechy PUR penou či minerálnou vlnou? 2 829
  8. Volkswagen na IAA v Mníchove predstavil koncept elektromobilu 2 416
  9. Takto dokážu aj vaše peniaze zlepšiť život na našej planéte 1 686
  10. Kanceláriám ešte neodzvonilo 1 554
Skryť Zatvoriť reklamu