18.5. Уязвимости уровня приложений

Уязвимости веб-приложений, относящиеся непосредственно к используемому программному обеспечению, можно условно разделить на пять групп:

1. уязвимости, связанные с недостаточной проверкой данных, приходящих от клиента;

2. уязвимости, связанные с недостаточной реализацией (настройкой) политик безопасности;

3. уязвимости, связанные с недостаточным противодействием автоматизации (пример — спам на форуме);

4. уязвимости, связанные с получением или возможностью получения клиентом любой, кроме необходимой ему информации;

5. уязвимости используемого стороннего программного обеспечения.

Консорциумом по безопасности веб-приложений (Web Application Security Consortium, WASC) была предложена классификация классов атак на веб-приложения, изложенная в соответствующей спецификации. Рассмотрим некоторые из них.

Уязвимости системы аутентификации

• Подбор пароля: автоматизированным способом организуется перебор возможных паролей. В случае, если система позволяет использовать слабые пароли, этот класс атаки показывает высокую эффективность. Можно организовать и обратный перебор, при котором перебираются различные имена пользователей, а пароль остается неизменным. В системах с большим количеством учетных записей довольно высока вероятность использования несколькими пользователями одного и того же пароля.

• Недостаточная аутентификация: получение доступа к некоторым ресурсам системы без должной аутентификации. Как пример, «скрытое» размещение интерфейса администрирования по адресу, недоступному через какую-либо ссылку приложения, и надежда на то, что вследствие «скрытного» местоположения доступ к нему не возможен. При этом, зачастую, необходимый адрес может быть найден перебором типичных файлов и директорий.

• Небезопасное восстановление паролей: информацию, используемую для проверки пользователя, легко угадать или процесс подтверждения можно обойти. Например, при использовании секретного вопроса «Место рождения» для восстановления пароля, ответ легко подобрать, ограничив перебор списком городов.

Уязвимости системы авторизации

• Предсказуемое значение идентификатора сессии: идентификатор сессии генерируется не как случайное значение, а вычисляется на основе довольно простого алгоритма и имеет простую структуру, например число, значение которого увеличивается на единицу для каждой новой сессии. Идентификатор сессии, который просто подобрать, позволяет перехватить сессию другого пользователя и послать запрос веб-серверу с правами скомпрометированного пользователя.

• Отсутствие таймаута сессии: значение таймаута пользовательской сессии не ограничено или очень большое. Большое время жизни сессии увеличивает шансы подбора идентификатора, а также время, которым располагает злоумышленник для того, чтобы воспользоваться фактом взлома. С другой стороны, увеличение этого параметра повышает вероятность успеха атаки еще и потому, что увеличивается число одновременно открытых сессий.

• Недостаточная авторизация: атаки данного класса становятся возможны, если в приложении или на веб-сервере недостаточно четко отслеживаются права доступа к тем или иным ресурсам, недостаточно продуманы и настроены политики безопасности. Это может открыть доступ злоумышленнику к важной информации или функциям системы. Например, хранение идентификатора «роли» пользователя в скрытом поле HTML-формы позволяет легко повысить свои права в системе, если на сервере не предусмотрена дополнительная проверка.