Файл: Назначение и структура системы защиты информации коммерческого предприятия (Введение в предметную область).pdf

После того, как получена почти вся необходимая информация, пентестеры запускают сканеры уязвимостей. Самые популярные – Acunetix и BurpSuit. Данные программы сканируют сайт, на предмет различных проблем, например, наличие XSS уязвимостей, наличие SQL-инъекций, передача паролей в незашифрованном виде, возможность украсть CSRF-токенов, проблемы с cookies и так далее. Кроме того, данные программы позволяют не только сканировать сайты, но и перехватывать запросы, адресованные к нему с компьютера пентестера, что позволяет изменять запросы налету, что помогает обойти различные ограничения. Многие сайты настраивают защиту только на Frontend, забываю про фильтрацию данных на Backend сайта, и такая функция позволяет использовать это. Например, если есть возможность загрузить файл, и можно загружать только изображения и фильтрация идет только по расширению, о при помощи этой особенности сканеров можно изменить расширение прямо во время отправки файла и изменить расширение фотографии на расширение своего файла, например php и исполнять свои команды на сервере. Еще один сканер, который так же применяется профессиональными командами, это Nessus, который является многофункциональным, и, порой, незаменимым его основные плюсы в том, что он сам составляет подробные отчеты об уязвимостях, найденных на сайте и не только на нем: Nessus может обнаружить в сети вирусы, червей, malware, различные бэкдоры, распознать botnet. Nessus поддерживает виртуализацию, работает на почти всех ОС: Windows, OS X, Linux, Solaris, FreeBSD, Cisco iOS, IBM iSeries, поддерживает любой тип баз данных: Oracle, SQL Server, MySQL, DB2, Informix/DRDA, PostgreSQL, MongoDB.

2.3 Эксплуатация

По результатам предыдущего этапа сканеры выдают отчет, о результатах проведенного сканирования. Наиболее полный отчет выдают сканеры Acunetix и Nessus: такие отчеты уже могут быть предоставлены клиенту, как результат проведения пентеста, однако это считается плохим результатом, поскольку часть ошибок сканер мог просто не увидеть. Из-за многообразия уязвимостей для разного программного обеспечения каждый случай эксплуатации стоит рассматривать отдельно. В приоритете для пентестеров получить RCE – remote code execution. Это самая критическая уязвимость, позволяющая выполнять произвольный код. К RCE можно прийти при помощи всех уязвимостей, которые были классифицированы в 1 главе в разделе OWASP. Однако часто бывает, что сканеры веб уязвимостей не находят никаких проблем. В этом случае пытаются пробовать эксплуатировать уязвимости сервисов, которые есть в веб-приложении. Часто компании не обновляют свои CMS (Wordpress), почтовые и ftp клиенты. У устаревших версий программного обеспечения есть уязвимости, которые можно обнаружить несколькими способами. Первый способ: проверить наличие на специальных сайтах, например, vulners.com/exploitdb.com. На этих сайтах находятся базы данных уязвимостей к различным версиям программного обеспечения, описания этих уязвимостей и иногда выложен PoC – Proof of concept, который показывает, как именно работает. Также там бывает выложен готовый модуль для Metasploit. Metasploit – программа-аналог сайтов, которые были указаны ранее. Она не только хранит список уязвимостей, но также имеет готовые модули для проведения атаки. В основном пентестеры и хакеры используют данный инструмент для проведения атаки на сервисы приложения. После проведения атаки и получения RCE, существует последняя задача – получение root доступа. Чаще всего приложения запускаются без прав суперпользователя, что ограничивает количество команды, доступное им. Для получения этих прав злоумышленники используют различные техники повышения привилегий. Техники различаются в зависимости от типа операционной системы и ее версии.

2.4 Анализ предыдущих исследований

Обычно в открытый доступ не выкладывают данные исследования, поскольку уязвимости быстро не закрываются + они могут содержать важную информацию, которая не должна быть доступна в открытом доступе. Несмотря на это, в специальном репозитории [15] собраны различные публичные отчеты о проведении аудита безопасности. В качестве образца будет использоваться отчет, сделанный компанией PricewaterhouseСoopers, поскольку это крупнейшая из представленных компаний, которая предоставляет услуги аудита.

В данном исследовании применена вся методология, которая была описана выше. Исследователи собирали информацию о компании, роде ее деятельности. Кроме того, были исследованы внутренние процессы компании, взаимоотношения сотрудников, их ролей. Были определены ключевые позиции. Это было сделано для социальной инженерии, при помощи которой пентестеры могли проникнуть в систему. Вся полученная информация использовалась для проведения теста на проникновение. На ее основании были составлены графики взаимодействия сотрудников между собой, чтобы наглядно продемонстрировать слабые места в безопасности. На основе собранных данных было проведено сканирование, в результате которого были найдены критические уязвимости, которые привели к исполнению произвольного кода и компрометации части системы. Все эти проблемы с безопасностью отражены в первой части отчета. Во второй части указаны конкретные рекомендации по исправлению ситуации.

ГЛАВА 3. ПРАКТИЧЕСКАЯ ЧАСТЬ

3.1 Разведка

Первым делом определим, диапазон ip-адрессов Высшей Школы Экономики. Этом можно сделать на специализированном сайте [16]:

Для получения дополнительной информации о компании можно воспользоваться утилитой whois [17], которая позволяет получить информацию о домене и его владельце [18]:

1. sergeykuzminov$ whois hse.ru  
2. % IANA WHOIS server  
3. % for more information on IANA, visit http://www.iana.org  
4. % This query returned 1 object  
5. refer:        whois.tcinet.ru  
6. domain:       RU  
7. organisation: Coordination Center for TLD RU  
8. address:      8 Marta street 1, bld 12  
9. address:      Moscow  127083  
10. address:      Russian Federation 
11. contact:      administrative  
12. name:         .RU domain Administrative group  
13. organisation: Coordination Center for TLD RU  
14. address:      8 Marta street 1, bld 12  
15. address:      Moscow  127083  
16. address:      Russian Federation  
17. phone:        +7 495 730 29 71  
18. fax-no:       +7 495 730 29 68  
19. e-mail:       ru-adm@cctld.ru  
20.   
21. contact:      technical  
22. name:         Technical Center of Internet  
23. organisation: Technical Center of Internet  
24. address:      8 Marta street 1, bld 12  
25. address:      Moscow  127083  
26. address:      Russian Federation  
27. phone:        +7 495 730 29 69  
28. fax-no:       +7 495 730 29 68  
29. e-mail:       ru-tech@tcinet.ru  
30. whois:        whois.tcinet.ru  
31. status:       ACTIVE  
32. remarks:      Registration information: http://www.cctld.ru/en  
33. created:      1994-04-07  
34. changed:      2018-09-24  
35. source:       IANA  
36. % By submitting a query to RIPN's Whois Service  
37. % you agree to abide by the following terms of use:  
38. % http://www.ripn.net/about/servpol.html#3.2 (in Russian)   
39. % http://www.ripn.net/about/en/servpol.html#3.2 (in English).  
40. domain:        HSE.RU  
41. nserver:       mx1.hse.ru. 92.242.59.113  
42. nserver:       mx.hse.ru. 92.242.58.5  
43. nserver:       ns1.plusinfo.ru.  
44. nserver:       ns2.plusinfo.ru.  
45. state:         REGISTERED, DELEGATED, VERIFIED  
46. org:           National Research University Higher School of Economics  
47. registrar:     RU-CENTER-RU  
48. admin-contact: https://www.nic.ru/whois  
49. created:       1997-08-18T19:30:32Z  
50. paid-till:     2019-08-31T21:00:00Z  
51. free-date:     2019-10-02  
52. source:        TCI  

Самое главное, что мы узнали, это главный ip-адрес (212.8.235.7) и диапазон ip-адресов, зарезервированных для Высшей Школы Экономики. Рассмотрим другую информацию о вузе. Например, о стеке технологий, которые используются. Судя по вакансиям Back-end и Front-end разработчиков, в Front-end’e используются PHP, Java-script, Node.js, Angular.js, Ajax, jQuery [19]. В качестве back-end’a MySQL и No-SQL, python, java-script, Cython, R, C [20]; Данные знания могли бы помочь при проведении профессионального пентеста, так как зная стек технологий, можно предположить, какие есть уязвимости. В нашем же исследовании это не будет использоваться, но, тем не менее, необходимо включать это в отчет. Определим поддомены при помощи специального сайта [21]. Как было описано в главе 2, сайты используются для пассивного сканирование, поскольку чем меньше взаимодействий с системой со стороны взломщика, тем меньше шансов, что его обнаружат. Список поддоменов с ip-адресами и будет являться списком тех сервисов, в которых будут искаться уязвимости:

Стоит отметить следующие найденные поддомены:

• mail.hse.ru
• mail2.hse.ru,
• ftp.hse.ru,
• mantis.hse.ru,
• opac.hse.ru
• dev2.hse.ru,

Мы обратили внимание на эти поддомены, так как в них есть ключевые слова, которые могут указывать на то, что данный поддомен отвечает за важную часть инфраструктуры сайта. Например, поддомен ftp.hse.ru может отвечать за передачу данных по протоколу ftp, поддомен mail.hse.ru может отвечать за почтовый клиент и так далее. Данные разделы системы обладают наиболее критичными данными, поэтому в первую очередь будет проверяться безопасность данных точек входа. Из-за критической информации, которая находится на этих поддоменах, можно сказать, что если есть уязвимости в них, то нет смысла искать их в других, менее значимых разделах системы. В рамках данного исследования мы будем рассматривать каждый из данных поддоменов и выявлять все проблемы в разделе безопасности.

3.2 Поиск уязвимостей

Поддомен mail.hse.ru перенаправляет на mail2.hse.ru. Как можно предположить из названия, на данном поддомене находится почтовый сервер организации. Открыв исходный код страницы, можно увидеть, что версия почтового сервера ранее 2006 года:

Благодаря базе данных известных уязвимостей [22], в которую загружается вся информация о программном обеспечении, содержащие разного рода уязвимости, можно определить, что наша версия почтового клиента имеет 2 критические уязвимости: XSS [23] и возможность RCE [24]. Поскольку данные уязвимости являются критичными, а вторая позволяет получить полный контроль над системой, то нет смысла искать на данных поддоменах что-либо другое.

Поддомен ftp.hse.ru является поддоменом для передачи файлов по протоколу FTP [25]. Существует несколько сервисов для реализации данного протокола, Высшая Школа Экономики использует FreeNAS – открытое программное обеспечение. Из проблем с безопасностью, которые можно отметить, есть две критические. Во-первых, передача данных осуществляется по протоколу http, а не https, что ведет к угрозе атаки «человек посередине» [26]. Другая проблема связана с устаревшей версией FreeNAS. Если обратиться к базе данных уязвимостей, то можно найти две критические уязвимости [27] [28] в данном программном обеспечении. Для решения этих проблем, необходимо обновление сервиса до актуальной версии и установка SSL-сертификата [29].

Поддомен mantis.hse.ru – один из ключевых поддоменов. На нем располагается багтрекер. При помощи данного сервиса собираются все слабые места в работе инфраструктуры, неточности работы, мелкие недочеты. При получении доступа к багтрекету, злоумышленник получит огромное количество полезной информации, необходимой для проведения успешной атаки. В отличие от ftp.hse.ru, обмен данными идет по защищенному протоколу, кроме того, сайт не выдает никакой информации о версии сервиса., поэтому сложно предположить, какая версия сервиса используется. В ходе написания курсовой работы прошлого года была определена версия сервиса, поскольку защита была хуже. Сайт в футере выдавал следующую надпись «Copyright © 2000 - 2011 MantisBT Group». Если посмотреть в базе данных уязвимостей все возможные для данной версии приложения, то можно найти критическую уязвимость [30], благодаря которой можно украсть данные для входа и получить доступ к сервису. В описание проблемы также указано, как эксплуатировать данную уязвимость. Можно предположить, что версия багтрекера не была обновлена, поскольку остальные сервисы Высшей Школы Экономики используют устаревшие версии программного обеспечения.

На поддомене opac.hse.ru расположена электронная библиотека университета. В большинстве случаев, на таких ресурсах можно найти либо XSS уязвимость, либо SQL-injection, которые являются критичными. Из-за них у злоумышленника появляется возможность красть данные не только обычных пользователей, но и администраторов, что даст доступ в систему. В ходе прошлогоднего исследования была найдена XSS уязвимость на данном поддомене:

Информация была передана ДИТу и они ее попытались исправить: при написание тега <script>, он удаляется. К сожалению, это плохой способ избавления от XSS уязвимостей, поскольку он не решает проблему, а только затрудняет ее поиск. Запрос вида <scr<script>ipt>alert(‘xss’)</scr</script>ipt> будет валидным и будет вызывать срабатывание уязвимости:

Кроме того, общение клиента с сервером идет по протоколу http, а не https, что может стать причиной атаки «человек посередине», которая упоминалась в исследовании ранее. Если провести сканирование директорий (сканирование проводилось программой dirb [31]), то можно обнаружить следующие директории и файлы:

Наиболее важный файл – phpinfo.php, Данная файл является конфигурационным и содержит полную информацию о системе и версии языка php, на которой написан сервис. Поскольку он полностью выдает весь стек используемых технологий, версию и операционную систему сервера, и другое большое количество чувствительной информации. Данная проблема по классификации OWASP попадает в раздел misconfiguration, поскольку такой чувствительный файл, необходимый только для разработчиков оказался в свободном доступе.

Последний важный поддомен – dev2.hse.ru. Разумно предположить, что он посвящен разработке систем. Получив доступ к нему, злоумышленник может получить полную информацию о состоянии системы, получить исходные коды всех приложений, что позволит ему в итоге получить полный контроль над всей системой. Порталы для разработчиков являются чуть ли не главной целью злоумышленников, поэтому защита данных порталов должна быть на высоком уровне, ведь утечка данных с него несет огромные риски для предприятия. При попытки открыть сайт требуется браузерная аутентификация:

При отказе от авторизации, показывается информация о сервере:

«Apache/1.3.42 Server at dev2.hse.ru Port 80». Версия сервера очень сильно устарела, поскольку текущая версия: 2.4.33. Обратившись к базе данных уязвимостей [32], можно увидеть большой список уязвимостей: