na SeerLight
Ko te hanga i tetahi ratonga me mahi tonu mo te haumarutanga. Ko te Haumarutanga he mahinga tonu e mau tonu ana te tātari me te whakapai ake i te haumarutanga hua, te aroturuki i nga purongo mo nga whakaraeraetanga me te maha atu. Tae atu ki nga arotake. Ka whakahaerehia nga arotake i roto i te whare me nga tohunga o waho, ka kaha ki te awhina i te haumarutanga na te mea kaore ratou i te ruku ki te kaupapa me te ngakau tuwhera.
Ko te tuhinga mo tenei tirohanga tino marama o nga tohunga o waho i awhina i te roopu Mail.ru Cloud Solutions (MCS) ki te whakamatautau i te ratonga kapua, me nga mea i kitea e ratou. Hei "kaha o waho," i whiriwhiria e MCS te kamupene Haumaru Mamati, e mohiotia ana mo tona tohungatanga nui ki nga porowhita haumarutanga korero. A i roto i tenei tuhinga ka wetewetehia e matou etahi whakaraeraetanga whakaraerae i kitea hei waahanga o te arotake o waho - kia karohia e koe taua rake ina hanga ana e koe taau ake ratonga kapua.
Описание продукта
he papa mo te hanga hanganga mariko i roto i te kapua. Kei roto ko IaaS, PaaS, me te maakete o nga whakaahua tono kua rite mo nga kaihanga. Ma te whai whakaaro ki te hoahoanga MCS, he mea tika kia tirohia te haumaru o te hua ki nga waahanga e whai ake nei:
- te tiaki i te hanganga o te taiao mariko: hypervisors, routing, firewalls;
- te tiaki i nga hanganga mariko a nga kaihoko: te wehe tetahi ki tetahi, tae atu ki te whatunga, nga whatunga motuhake i SDN;
- OpenStack me ona waahanga tuwhera;
- S3 o ta maatau ake hoahoa;
- IAM: nga kaupapa kairëti maha me te tauira;
- Matakite (kite rorohiko): API me nga whakaraerae i te wa e mahi ana me nga whakaahua;
- atanga tukutuku me nga whakaeke tukutuku matarohia;
- nga whakaraeraetanga o nga waahanga PaaS;
- API o nga waahanga katoa.
Koina noa pea nga mea nui mo etahi atu hitori.
He aha te momo mahi i mahia me te aha i hiahiatia ai?
Ko te arotakenga haumarutanga e whai ana ki te tautuhi i nga whakaraeraetanga me nga hapa whirihoranga ka taea te pakaru o nga raraunga whaiaro, te whakarereketanga o nga korero tairongo, te whakararu ranei i te waatea o te ratonga.
I te wa o te mahi, e 1-2 marama te roa, ka whakahoki ano nga kaitirotiro i nga mahi a nga kaitukino ka rapua nga whakaraeraetanga i roto i nga waahanga o te kaihoko me te tūmau o te ratonga kua tohua. I roto i te horopaki o te arotakenga o te papanga kapua MCS, ko nga whainga e whai ake nei i kitea:
- Te tātaritanga o te motuhēhēnga i roto i te ratonga. Ko nga whakaraeraetanga i roto i tenei waahanga ka awhina ki te uru wawe ki nga kaute a etahi atu.
- Te ako i te tauira me te mana uru ki waenga i nga kaute rereke. Mo te tangata whakaeke, ko te kaha ki te uru atu ki te miihini mariko a tetahi atu he tino whainga.
- Nga whakaraeraetanga taha kiritaki. XSS/CSRF/CRLF/etc. Ka taea te whakaeke i etahi atu kaiwhakamahi na roto i nga hononga kino?
- Nga whakaraeraetanga taha o te tūmau: RCE me nga momo werohanga katoa (SQL/XXE/SSRF me etahi atu). Ko nga whakaraeraetanga o te tūmau he uaua ake ki te rapu, engari ka arahi ki te taupatupatu o nga kaiwhakamahi maha i te wa kotahi.
- Te tātari i te wehenga o te waahanga kaiwhakamahi i te taumata whatunga. Mo te kaiwhaiwhai, ko te kore o te noho wehe ka nui ake te mata whakaeke ki etahi atu kaiwhakamahi.
- Te tātari arorau pakihi. Ka taea te tinihanga i nga pakihi me te hanga miihini mariko mo te kore utu?
I roto i tenei kaupapa, i mahia nga mahi i runga i te tauira "Gray-box": i taunekeneke nga kaitirotiro ki te ratonga me nga mana o nga kaiwhakamahi noa, engari he waahanga kei a ratou te waehere puna o te API me te whai waahi ki te whakamarama i nga korero me nga kaihanga. Ko te tikanga tino watea tenei, a i te wa ano he tauira tino pono o te mahi: ka taea tonu te kohi korero a-roto e te kaikohuru, he wa poto noa iho.
I kitea nga whakaraeraetanga
I mua i te tiimatanga o te kaitoha ki te tuku i nga momo utu (te utu e whakamahia ana ki te kawe i te whakaeke) ki nga waahi ohorere, me maarama he pehea te mahi me nga mahi e whakaratohia ana. Te ahua nei he mahi koretake tenei, na te mea i te nuinga o nga waahi ako karekau he whakaraeraetanga. Engari ko te maarama anake ki te hanganga o te tono me te arorau o tana mahi ka taea te rapu i nga vectors whakaeke tino uaua.
He mea nui ki te kimi i nga waahi e ahua ohorere ana, he tino rereke ranei i etahi atu. A ko te whakaraeraetanga kino tuatahi i kitea penei.
IDOR
Ko nga whakaraeraetanga o te IDOR (Insecure Direct Object Reference) tetahi o nga whakaraeraetanga tino noa i roto i te arorau pakihi, e taea ai e tetahi, tetahi atu ranei te uru atu ki nga taonga kaore e tino whakaaetia. Ko nga whakaraeraetanga IDOR ka taea te whiwhi korero mo te kaiwhakamahi he rereke nga tohu o te arohaehae.
Ko tetahi o nga whiringa IDOR ko te mahi i nga mahi me nga taonga punaha (kaiwhakamahi, putea putea, taonga kei roto i te kaata hokohoko) ma te raweke i nga tohu whakauru ki enei taonga. Ko tenei ka arahi ki nga hua tino kore e taea te whakaaro. Hei tauira, ko te kaha ki te whakakapi i te kaute o te kaituku moni, ka taea e koe te tahae mai i etahi atu kaiwhakamahi.
Mo te MCS, ka kitea e nga kaitirotiro he whakaraeraetanga IDOR e pa ana ki nga tohu tohu kore-haumaru. I roto i te kaute whaiaro a te kaiwhakamahi, i whakamahia nga tohu UUID ki te uru atu ki nga mea katoa, he ahua nei, e kii ana nga tohunga mo te haumarutanga, he tino koretake (ara, ka tiakina mai i nga whakaeke kaha). Engari mo etahi hinonga, i kitea ka whakamahia nga tau matapae i ia wa ki te tiki korero mo nga kaiwhakamahi o te tono. Ki taku whakaaro ka taea e koe te whakarereke i te ID kaiwhakamahi ma te kotahi, ka tukuna ano te tono ka whiwhi korero ma te whakawhiti i te ACL (rarangi mana uru, ture uru raraunga mo nga tukanga me nga kaiwhakamahi).
Tiaki Tono Taha Tūmau (SSRF)
Ko te mea pai mo nga hua OpenSource he maha nga huihuinga me nga korero hangarau taipitopito mo nga raruraru ka puta, a, ki te waimarie koe, he whakaahuatanga mo te otinga. Engari he taha takahuri tenei moni: ko nga whakaraeraetanga e mohiotia ana e whakaahuahia ana. Hei tauira, he korero whakamiharo mo nga whakaraeraetanga kei runga i te huinga OpenStack и , mo etahi take kaore he tangata e tere ki te whakatika.
Ko te mahinga noa o nga tono ko te kaha mo te kaiwhakamahi ki te tuku hono ki te tūmau, ka paohia e te tūmau (hei tauira, ki te tango whakaahua mai i te puna kua tohua). Mena kaore nga taputapu haumaru e tarai i nga hononga ma ratou ake, i nga whakautu ranei i whakahokia mai i te tūmau ki nga kaiwhakamahi, ka taea e nga kaiwhaiwhai te whakamahi i aua mahi.
Ka taea e nga whakaraeraetanga SSRF te ahu whakamua i te whanaketanga o te whakaeke. Ka taea e te kaiwhaiwhai te tiki:
- he iti te uru ki te whatunga rohe whakaekea, hei tauira, ma etahi waahanga whatunga anake me te whakamahi i tetahi kawa;
- te uru katoa ki te whatunga o te rohe, mena ka taea te whakaheke mai i te taumata tono ki te taumata kawe waka, a, ko te mutunga, ko te whakahaere kawenga katoa i te taumata tono;
- te uru ki te panui i nga konae a-rohe i runga i te tūmau (mehemea kei te tautokohia te konae: /// kaupapa);
- me te nui atu.
He whakaraeraetanga SSRF kua roa e mohiotia ana i OpenStack, he "matapo" te ahua: ka whakapiri atu koe ki te tūmau, kaore koe e whiwhi urupare mai i a ia, engari ka whiwhi koe i nga momo hapa / whakaroa, i runga i te hua o te tono. . I runga i tenei, ka taea e koe te mahi i te karapa tauranga ki nga kaihautu i runga i te whatunga o roto, me nga hua katoa e whai ake nei kia kaua e whakahawea. Hei tauira, tera pea he API tari-muri o tetahi hua ka uru noa mai i te whatunga umanga. Ma nga tuhinga (kaua e wareware ki nga tangata o roto), ka taea e te kaiwhaiwhai te whakamahi SSRF ki te uru atu ki nga tikanga o roto. Hei tauira, mena ka taea e koe te tiki rarangi tata o nga URL whaihua, ma te whakamahi i te SSRF ka taea e koe te haere ki roto i a raatau me te tono tono - he korero, whakawhiti moni mai i tetahi kaute ki tetahi kaute ka huri ranei i nga rohe.
Ehara tenei i te wa tuatahi i kitea he whakaraeraetanga SSRF i OpenStack. I nga wa o mua, i taea te tango i nga whakaahua VM ISO mai i te hono tika, i puta ano nga hua rite. Kua tangohia tenei ahuatanga mai i OpenStack. Ko te ahua nei, i whakaarohia e te hapori koinei te otinga tino maamaa me te pono ki te raru.
Tuhinga o mua Purongo e waatea ana mai i te ratonga HackerOne (h1), ko te whakamahi i te SSRF kua kore e matapo me te kaha ki te panui metadata tauira ka arahi ki te uru Root ki te katoa o nga hanganga Shopify.
I roto i te MCS, i kitea nga whakaraeraetanga SSRF i nga waahi e rua he rite te mahi, engari karekau e taea te whakamahi na te paahi ahi me etahi atu whakamarumaru. I tetahi huarahi, i tetahi atu ranei, i whakatikahia e te roopu MCS tenei raru, me te kore e tatari mo te hapori.
XSS hei utu mo te uta anga
Ahakoa nga rau o nga rangahau i tuhia, i ia tau ko te whakaeke XSS (whakawhiti-paepae) ko te whakaeke tonu whakaraeraetanga tukutuku (ranei ?).
Ko nga tukunga kōnae he waahi tino pai mo tetahi kairangahau haumaru. I te nuinga o te wa ka puta ka taea e koe te uta i tetahi tuhinga tuhi (asp/jsp/php) me te whakahaere i nga whakahau OS, i roto i nga kupu a nga pene - "anga utaina". Engari ko te rongonui o enei whakaraeraetanga e mahi ana i nga taha e rua: ka maumaharahia, ka hangaia he rongoa ki a raatau, na i tata nei ko te tupono "ka utaina he anga" ka kore.
Ko te kapa whakaeke (ko te Mamati Mamati) he waimarie. Āe, i roto i te MCS i te taha tūmau i tirohia ngā ihirangi o ngā kōnae kua tikiakehia, ko ngā whakaahua anake i whakaaetia. Engari he pikitia ano te SVG. Me pehea te kino o nga whakaahua SVG? Na te mea ka taea e koe te whakauru i nga waahanga JavaScript ki roto!
I puta mai ko nga konae kua tangohia e waatea ana ki nga kaiwhakamahi katoa o te ratonga MCS, ko te tikanga ka taea te whakaeke i etahi atu kaiwhakamahi kapua, ara ko nga kaiwhakahaere.
He tauira o te whakaeke XSS ki te puka takiuru hītinihanga
Ko nga tauira o te whakaeke whakaeke XSS:
- He aha te take e ngana ai ki te tahae i tetahi huihuinga (ina koa inaianei ko nga pihikete HTTP-anake kei nga waahi katoa, ka tiakina mai i te tahae ma te whakamahi i nga tuhinga js), mena ka taea e te tuhinga kua utaina te uru tonu ki te API rauemi? I tenei keehi, ka taea e te utu utu te whakamahi i nga tono XHR hei whakarereke i te whirihoranga tūmau, hei tauira, taapirihia te taviri SSH tūmatanui a te kaitukino me te whai urunga SSH ki te tūmau.
- Mena ka aukati te kaupapa here CSP ( kaupapa here whakamarumaru ihirangi) kia kaua e werohia a JavaScript, ka taea e te kaitukino te haere me te kore. Ma te whakamahi i te HTML parakore, hanga he puka takiuru rūpahu mo te pae ka tahae i te kupuhipa a te kaiwhakahaere na roto i tenei hītinihanga matatau: ko te wharangi hītinihanga mo te kaiwhakamahi ka mutu ki te URL kotahi, a he uaua ake mo te kaiwhakamahi ki te kite.
- Ka mutu, ka taea e te kaiwhaiwhai te whakarite — Whakaritea nga Pihikete nui ake i te 4 KB. Ko te kaiwhakamahi anake te whakatuwhera i te hono kotahi, a ka kore e taea te waahi katoa kia tae ra ano ki te whakaaro o te kaiwhakamahi ki te horoi motuhake i te kaitirotiro: i te nuinga o nga keehi, ka kore te kaitoi paetukutuku e whakaae ki taua kaihoko.
Me titiro ki tetahi tauira o tetahi atu XSS kua kitea, i tenei wa me te mahi mohio ake. Ma te ratonga MCS ka taea e koe te whakakotahi i nga tautuhinga papaahi ki roto i nga roopu. Ko te ingoa o te roopu i kitea te XSS. Ko tona ahuatanga ko te mea kaore te vector i puta wawe, kaua i te wa e tiro ana i te rarangi o nga ture, engari i te wa e mukua ana he roopu:
Arā, ko te ahuatanga ko enei e whai ake nei: ka hangaia e te kaitukino he ture paahi ahi me te "utaina" i roto i te ingoa, ka kite te kaiwhakahaere i muri i etahi wa ka timata te tukanga whakakore. A koinei te waahi e mahi ai te JS kino.
Mo nga kaiwhakawhanake MCS, hei whakamarumaru mai i te XSS i nga whakaahua SVG kua tangohia (mehemea kaore e taea te whakarere), ka tūtohu te roopu Haumaru Mamati:
- Whakanohoia nga konae kua tukuna e nga kaiwhakamahi ki runga i te rohe motuhake kaore he mahi ki te "pihikete". Ka mahia te tuhinga i roto i te horopaki o te rohe rereke, kaore hoki e whakatuma mo te MCS.
- I roto i te whakautu HTTP a te tūmau, tukuna te pane "Ihirangi-disposition: attachment". Na ka tangohia nga konae e te kaitirotiro me te kore e mahia.
I tua atu, he maha nga huarahi e waatea ana ki nga kaiwhakawhanake hei whakaiti i nga tupono o te whakamahi XSS:
- ma te whakamahi i te haki "HTTP Anake", ka taea e koe te hanga i nga upoko "Pihikete" hui kia kore e uru atu ki te JavaScript kino;
- ka nui ake te uaua mo te kaitukino ki te whakamahi i te XSS;
- Ko nga miihini tauira hou penei i te Angular, React ranei ka horoi aunoa i nga raraunga kaiwhakamahi i mua i te whakaputa ki te tirotiro a te kaiwhakamahi.
Nga whakaraeraetanga motuhēhēnga-rua
Hei whakapai ake i te haumarutanga o te kaute, ka tohutohuhia nga kaiwhakamahi kia taea te 2FA (whakamotuhēhēnga-rua). Ae, he huarahi whai hua tenei ki te aukati i te kaitawhai kia uru atu ki tetahi ratonga mena kua taupatupatuhia nga tohu a te kaiwhakamahi.
Engari ko te whakamahi i tetahi take motuhēhēnga tuarua e kī ana i te haumaru pūkete? Ko nga take haumaru e whai ake nei i roto i te whakatinanatanga o te 2FA:
- Rapu kaha-kaha o te waehere OTP (waehere kotahi-wa). Ahakoa te ngawari o te mahi, ko nga hapa penei i te kore whakamarumaru ki te OTP kaha kino ka pa ki nga kamupene nui: , .
- Whakatupuranga ngoikore algorithm, hei tauira te kaha ki te matapae i te waehere e whai ake nei.
- Ko nga hapa arorau, penei i te kaha ki te tono OTP a tetahi atu i runga i to waea, penei mai Shopify.
Mo te MCS, ka whakatinanahia te 2FA i runga i te Google Authenticator me . Ko te kawa ano kua whakamatauria i te waa, engari ko te whakatinanatanga o te tohu tohu ki te taha tono he mea tika kia tirohia.
Ka whakamahia te MCS 2FA ki nga waahi maha:
- I te whakamotuhēhēnga o te kaiwhakamahi. He whakamarumaru ki te kaha kino: he iti noa nga ngana a te kaiwhakamahi ki te whakauru i te kupuhipa kotahi te wa, katahi ka aukatihia te whakauru mo tetahi wa. Ka aukati tenei i te kowhiringa o te OTP.
- I te wa e whakaputa ana i nga waehere taapiri tuimotu hei mahi i te 2FA, me te whakakore ano. I konei, karekau he whakamarumaru kino i whakatinanahia, na reira ka taea, mena he kupu huna koe mo te kaute me tetahi huihuinga kaha, ki te whakahou i nga waehere taapiri, ki te whakakore ranei i te 2FA.
Ki te whakaaro ko nga waehere taapiri kei roto i te whānuitanga o nga uara aho rite ki era i hangaia e te tono OTP, he nui ake te tupono ki te kimi i te waehere i roto i te wa poto.
Ko te tukanga o te kowhiri i tetahi OTP hei whakakore i te 2FA ma te whakamahi i te taputapu "Burp: Intruder".
hua
I te katoa, he pai te ahua o te MCS hei hua. I te wa o te arotake, kaore i taea e te roopu whakamatautau te uru atu ki nga VM kiritaki me o raatau raraunga, a ko nga whakaraeraetanga i kitea i tere te whakatika e te roopu MCS.
Engari i konei he mea nui kia mohio ko te haumaru he mahi tonu. Ko nga ratonga kaore i te pumau, kei te whanake haere tonu. A kaore e taea te whakawhanake i tetahi hua kaore he whakaraerae. Engari ka kitea e koe i te waa me te whakaiti i te tupono ka hoki mai ano.
Inaianei kua whakatikahia nga whakaraeraetanga katoa i whakahuahia i roto i te MCS. A kia iti ake ai te maha o nga mea hou me te whakaiti i to ratau oranga, kei te mahi tonu te roopu papaaho:
- he rite tonu te whakahaere arotake a nga kamupene o waho;
- tautoko me te whakawhanake i te whai waahi;
- uru ki te haumaru. 🙂
Source: will.com