Zaawansowane ataki na aplikacje WWW

Ataki typu Cross-site Scripting (XSS) są typem ataków polegających na wstrzyknięciu, w których złośliwe dane wejściowe (takie jak skrypty JavaScript) umieszczane są w kodzie HTML stron WWW. Ataki XSS mają miejsce, gdy użytkownik aplikacji internetowej (atakujący) wykorzystuje ją do wysłania złośliwego kodu, który zostanie wykonany, gdy z aplikacji skorzysta inny użytkownik (ofiara). W konsekwencji ataku XSS złośliwy skrypt może uzyskiwać dostęp do plików cookie, identyfikatorów sesji lub innych poufnych informacji przechowywanych przez przeglądarkę i używanych przez tę aplikację. Te skrypty mogą nawet przepisać treść strony HTML.

Dane pochodzące z zewnętrznych źródeł (takie jak dane wprowadzane przez użytkowników aplikacji) nie mogą być uznane przez aplikacje jako zaufane i aplikacja powinna sprawdzać ich poprawność (np. format).

Jedną z najbardziej popularnych słabości zabezpieczeń aplikacji internetowych jest niepoprawne sprawdzenie poprawności danych wejściowych od klienta lub środowiska. Zmodyfikowane lub przygotowane w nieoczekiwany sposób dane mogą zostać wykorzystane do ataków nadużycia logiki aplikacji, odmowy usługi (Atak typu DoS) lub wykonania dowolnego kodu po deserializacji tych danych. W tym kursie zapoznasz się z popularnymi lukami bezpieczeństwa, które wynikają z niepoprawnie lub w ogóle nie zaimplementowanych mechanizmów walidacji danych.

Przetwarzanie złożonych danych jest kompleksowym zadaniem realizowanym przez aplikację. W tym celu używane są odpowiednie standardy wymiany informacji (takie jak XML czy JSON) oraz odpowiednie biblioteki zwane parserami, których zadaniem jest przetłumaczenie wymienianych danych w formacie tekstowym do obiektów reprezentowanych przez obsługujący je system. Ze względu na złożoność standardów proces parsowania wprowadza zagrożenia takie jak odczyt lokalnych plików systemowych za pomocą wbudowanych w standard mechanizmów. W tym kursie zapoznasz się z zagrożeniami wynikającymi z niepoprawnego wykorzystania parserów.

W obecnych czasach aplikacje Web nie są budowane od zera, lecz są ”składane” z wielu gotowych komponentów, które należy ze sobą połączyć. Proces łączenia (integracji) komponentów polega na skonfigurowaniu każdego z nich w taki sposób, żeby mogły nawiązać ze sobą połączenie. W procesie konfiguracji dużej liczby komponentów mogą pojawić się błędy konfiguracji, wśród których odnaleźć można przypadki otwartego dostępu do funkcji komponentu (np. bazy danych), domyślnych haseł użytkownika do serwisu czy nieaktualnych wersji oprogramowania na serwerze, dla których istnieją znane luki bezpieczeństwa. W ramach kursu poznasz wybrane błędy dotyczącą konfiguracji środowiska WWW.