FACULDADE DE TECNOLOGIA SENAC GOIÁS SEGURANÇA DA INFORMAÇÃO - V ALLAN BERG BARBOSA GUIMARÃES CARLOS ANTÔNIO DA SILVA JUAREZ JUNIOR FREITAS DE OLIVEIRA RELATÓRIOS PENTEST S GOIÂNIA 2016/2
ALLAN BERG BARBOSA GUIMARÃES CARLOS ANTÔNIO DA SILVA JUAREZ JUNIOR FREITAS DE OLIVEIRA RELATÓRIOS PENTEST S Projeto Integrador Tema: Segurança em Servidores de Internet - Realizar os pentest s sobre os sites dos demais grupos; - Elaboração e divulgação dos relatórios dos pentest s. GOIÂNIA 2016/2
1. ATIVIDADE Os grupos participantes do projeto integrador divulgaram seus respectivos sites. Cada grupo deve realizar análise no site dos demais para apontar vulnerabilidades na aplicação web desenvolvida. 1.1. Ferramentas e meios utilizados Para a realização das atividades foram utilizadas técnicas apresentadas em sala de aula, que representam as vulnerabilidades mais conhecidas e utilizadas em ataques as aplicações web. Em conjunto com as técnicas foram utilizadas ferramentas que realizam a análise do site escolhido e já apresentam as possíveis vulnerabilidades. Acunetix Web Vulnerability Scanner Nmap WAFW00F (https://github.com/enablesecurity/wafw00f) SQLMap 1.2. Realizar os pentest s sobre os sites dos demais grupos com WAF Site do grupo DAV: https://dav.ipcalling.com.br/ utilizado: Inicialmente foi utilizada a ferramenta WAFW00F para identificar qual o WAF
A ferramenta então trouxe como resultado da busca que o servidor web do site alvo utiliza o WAF ModSecurity. Realizamos também a varredura do site com o Acunetix para tentar obter possíveis vulnerabilidades, porém todos os requests foram negados pelo WAF do servidor do site além de utilizarem certificado ssl:
Resolvemos partir então para os testes manuais e o primeiro foi injetar o código booleano or 1=1-- em um dos campos de input da página de login do site caracterizando um ataque de Sql Injection: E a resposta do servidor foi o erro de Forbidden, ou seja, o WAF do servidor detectou o ataque e negou o acesso: Impossibilitado o acesso via página de login, não tivemos condições de testar ataques de outras vulnerabilidades como XSS ou CSRF por exemplo.
Site do grupo MMP: http://mmp.ipcalling.com.br/ utilizado: Inicialmente foi utilizada a ferramenta WAFW00F para identificar qual o WAF A ferramenta então trouxe como resultado da busca que o servidor web do site alvo utiliza o WAF ModSecurity. Realizamos também a varredura do site com o Acunetix para tentar obter possíveis vulnerabilidades, porém todos os requests foram negados pelo WAF do servidor do site:
Resolvemos partir então para os testes manuais e o primeiro foi injetar o código booleano or 1=1-- em um dos campos de input da página de login do site caracterizando um ataque de Sql Injection: Na figura acima pode-se ver que o acesso é feito sem nenhum problema apesar do WAF ativo no servidor. Com acesso as páginas de cadastro tivemos condições de explorar outra vulnerabilidade, o Cross Site Scripting (XSS) inserindo uma função alert() do javascript em um dos campos de alguma das páginas de cadastro:
Aproveitando-se ainda da falha de sql injection fizemos um ataque utilizando a ferramenta Sqlmap para tentar obter dados do SGBD do servidor como databases, colunas e registros armazenados. O comando utilizando foi baseado no scan do Acunetix onde ele detectou a página login.php como sendo vulnerável a ataques de sql injection, ela por sua vez foi então o alvo seguido dos inputs com os parâmetros #2* e #1* que indicam que são campos posts e os mesmo devem ser injetados:
Site do grupo tiresolve: http://tiresolve.ipcalling.com.br/ utilizado: Inicialmente foi utilizada a ferramenta WAFW00F para identificar qual o WAF
A ferramenta então trouxe como resultado da busca que o servidor web do site alvo utiliza o WAF da IBM. Realizamos também a varredura do site com o Acunetix para tentar obter possíveis vulnerabilidades, porém todos os requests foram ignorados ou negados pelo WAF do servidor do site:
Resolvemos partir então para os testes manuais e o primeiro foi injetar o código booleano or 1=1-- em um dos campos de input da página de login do site caracterizando um ataque de Sql Injection: O servidor por sua vez não retornou nenhum erro de Forbidden, ou seja, o WAF do servidor detectou o ataque e negou o acesso porém não está redirecionando para nenhuma página de notificação. Impossibilitado o acesso via página de login, não tivemos condições de testar ataques de outras vulnerabilidades como XSS ou CSRF por exemplo. Site do grupo msbsecurity: http://msbsecurity.ml/ Inicialmente foi utilizada a ferramenta Nmap para varrer o site em busca de quais portas estão na escuta:
A ferramenta então trouxe como resultado da busca que o servidor web do site alvo utiliza o WAF da Imperva SecureSphere, porém em conversa com os integrantes do grupo responsável pelo site eles utilizam o WAF ModSecurity. Realizamos também a varredura do site com o Acunetix para tentar obter possíveis vulnerabilidades, porém todos os requests foram negados pelo WAF do servidor do site:
Resolvemos partir então para os testes manuais e o primeiro foi injetar o código booleano or 1=1-- em um dos campos de input da página de login do site caracterizando um ataque de Sql Injection: E a resposta do servidor foi o erro de Forbidden, ou seja, o WAF do servidor detectou o ataque e negou o acesso: Impossibilitado o acesso via página de login, não tivemos condições de testar ataques de outras vulnerabilidades como XSS ou CSRF por exemplo.
BIBLIOGRAFIA 1. http://www.nanoshots.com.br/2016/03/sqlmap-bypass-das-regras-de-sql.html 2. https://www.youtube.com/watch?v=jytvqdyrzlm 3. http://www.toolswatch.org/2015/05/new-tool-payload-mask-v1-0-payloadgenerator-for-bypass-waf/ 4. http://pt.slideshare.net/antoniocooler/burlando-waf-20