Typy ataków wykorzystywane na stronach WWW |
Typy ataków wykorzystywane na stronach WWW
1)
Web Page Spoofing (Podszywanie się pod stronę Internetową) ? Jest to podatność użytkownika na manipulację z wykorzystaniem odpowiednio przygotowanej strony WWW. Napastnik wykorzystujący tą podatność może za pomocą odpowiednio przygotowanej witryny przekonać ofiarę, że przegląda ona stronę ?bezpieczną?, gdy tymczasem użytkownik przegląda witrynę sterowaną przez atakującego. Zwykle podszywanie dokonuje się poprzez wyświetlenie w pasku adresu przeglądarki, adresu żądanej przez ofiarę strony, gdy tymczasem zawartość strony jest pobrana z serwera napastnika. Dobrze przygotowana przez napastnika sfałszowana strona jest tak podobna do oryginału, że ofiara nie jest w stanie stwierdzić czy przeglądana strona jest witryną oryginalną czy stroną napastnika. Wykorzystanie tej podatności może prowadzić do ujawnienia ważnych dla ofiary informacji, np. napastnik sterujący sfałszowaną stroną banku może uzyskać od potencjalnych ofiar parametry ich kont.
2)
ActiveX control vulnerabilities (podatności kontrolek ActiveX) ? Podatność ta tkwi w sposobie traktowania przez przeglądarkę podpisanych cyfrowo kontrolek ActiveX. Przeglądarka po sprawdzeniu autentyczności kontrolki z wykorzystaniem mechanizmu Authenticode zakłada, że kontrolka jest bezpieczna i nie prowadzi dalszego sprawdzania wykonywanych przez nią działań. Dlatego jeśli napastnik ma dostęp do certyfikatów (jest w stanie podpisać kontrolkę zawierającą złośliwy kod) to taki rodzaj ataku może być bardzo niebezpieczny. System operacyjny traktuje podpisane kontrolki ActiveX jak lokalny kod systemowy i pozwala im na wykonywanie dowolnych działań zgodnie z uprawnieniami użytkownika systemu. Kontrolki ActiveX mają bezpośredni dostęp do systemu operacyjnego, a więc wykorzystanie tej podatności może prowadzić do uzyskania przez napastnika dostępu np. do systemu plików.
3)
Active Scripting vulnerabilities (zawartość aktywna) ? Jest to podatność interpretera języka skryptowego. Wykorzystanie przez napastnika błędów w implementacji interpretera może prowadzić do wykonywania w systemie ofiary niepożądanych działań. Poprzez wykonanie odpowiedniego kodu przez interpreter zawierający błędy, napastnik może omijać ograniczenia związane głównie z dostępem do plików systemowych czy wykonywania programów. Ataki oparte na tej grupie podatności wykorzystują zwykle błędy w interpreterach języków skryptowych takich jak JavaScript, Jscript, VBScript.
4)
MIME-type/Content-Type misinterpretation (błędna interpretacja typów MIME i pola Content-Type) ? Jest to podatność przeglądarki na błędną interpretację otrzymanych nagłówków. Poprzez błędną interpretację przez podatną przeglądarkę wysłanych przez napastnika nagłówków z celowo ustawionymi polami typu ściąganych plików napastnik może wykonywać w systemie ofiary wskazany kod (zwykle bez ostrzeżenia ofiary). Wykorzystanie przez napastnika tej podatności może prowadzić do osadzania w systemie ofiary dowolnego oprogramowania np. szpiegowskiego.
5)
Buffer Overflows (Przepełnienie bufora) ? Jest to podatność aplikacji (zwykle brak sprawdzania długości wprowadzanych danych) pozwalająca na przekroczenie przez zapisywane dane granicy obszaru na te dane przeznaczonego i w konsekwencji zniszczenie innych danych ? być może sterujących wykonaniem programów. Brak kontroli przez przeglądarkę np. dozwolonych typów danych można wykorzystać do stworzenie takiej sytuacji, w której mechanizm przydzielania pamięci przez program przestaje działać poprawnie. Wystąpienie takiej sytuacji jest możliwe, gdy zostają przekazane do programu dane o wielkości przekraczającej rozmiar bufora przeznaczonego do pomieszczenia tych danych. Część z tych danych wypełnia bufor a reszta zostaje zapisana poza buforem. Rezultaty działania takiego postępowania mogą być nieprzewidywalne i zwykle są podobne do wykonania ataku typu DoS.
Najczęstsze skutki wykorzystania wymienionych rodzajów podatności:
- Ujawnienie informacji zawartych w plikach cookies
- Ujawnienie lokalnych danych i plików użytkownika
- Lokalne wykonanie zadanego polecenia
- Pobranie kodu z sieci i wykonanie w systemie ofiary, co może prowadzić do całkowitego przejęcia kontroli nad systemem ofiary przez napastnika.
Wszystkie te grupy ataków dotyczą przeglądarki Microsoft Internet Explorer, która znalazła się w dziesiątce najgroźniejszych podatności w usługach systemu Microsoft Windows (wg autorów). Wszystkie wersje Internet Explorera posiadają poważne błędy bezpieczeństwa, jeśli nie zostały zainstalowane odpowiednie dodatkowe poprawki. Ponieważ Internet Explorer i Outlook Express (Microsoft Outlook) korzystają z tych samych bibliotek do przetwarzania dokumentów HTML dla tego wymienione typy podatności mogą zostać wykorzystane przez napastnika do przeprowadzenia ataku także z wykorzystaniem poczty elektronicznej.