[OWASP-TR Uygulama Güvenliği Günü 2016] Özgür Alp - HTTP/2 ve Güvenlik

Mar 30, 20161 like435 views

OWASP Turkiye

OWASP-TR Uygulama Güvenliği Günü 2016 Özgür Alp - HTTP/2 ve Güvenlik

HTTP/1.1 ve Değişimi
history HTTP/1.1
• 1999  2016
• 20 KB  5 MB
• HTML  JS+FLASH+AJAX
• HTTP  HTTPS
2

HTTP/1.1 ve Değişimi
gnome-screenshot HTTP
3
Kaynak: F5 Networks

HTTP/1.1 ve Değişimi
gnome-screenshot HTTP/1.1
4

HTTP/1.1 ve HTTP/2 Benzerlikleri
diff HTTP/1.1 HTTP/2 (-)
• HTTP metotları
– GET, POST
• Durum kodları
– 200, 404, 500
• Resmi adres sistemi
– URI
• HTTP başlıkları ve çerezler
5

HTTP/1.1 ve HTTP/2 Farklılıkları
diff HTTP/1.1 HTTP/2 (>)
• Düzyazı  Binary
• Sıralı istekler  Paralel istekler
• Çoklu istekler  Tek istek
• GZIP  HPACK
• İstek & cevap  Sunucudan push özelliği
6

HTTP/1.1 ve HTTP/2 Farklılıkları
diff HTTP/1.1 HTTP/2 (>)
https://http2.akamai.com/demo
7
Kaynak: https://http2.akamai.com/demo

Neden HTTP/1.2 Değil?
mv HTTP/1.2 HTTP/2
• Farklı yapıda protokol
• Geriye uyumlu değil
8

HTTP/2 İnceleme
http2fuzz
9
Kaynak: https://github.com/c0nrad/http2fuzz

HTTP/2 Uygulamaları
install HTTP/2
10
Kaynak: https://github.com/http2/http2-spec/wiki/Implementations

Güvenlik Konuları
netstat -lntp | grep HTTP/2
• Protokol hataları
• Şifreleme
• Yeni atak yüzeyleri
• Hizmet engelleme
11

Güvenlik – Protokol Hataları
iptables -A INPUT -p HTTP/2 --dport 443 -j DROP
12
Kaynak: https://github.com/http2/http2-spec/issues?q=label%3Asecurity+is%3Aclosed

Güvenlik – Şifreleme
openssl s_server -HTTP/2
• Bilinenin aksine TLS varsayılan değil
– h2: HTTP/2 over TLS
– h2c: HTTP/2 over TCP
• Chrome, Firefox, IE şu anda sadece h2 destekliyor
13

Güvenlik – Yeni Atak Yüzeyleri
apt-get install HTTP/2
• HPACK
• Sürüm yükseltme/düşürme
• Tutarsız çoğullama
• Kötü biçimlendirilmiş çerçeveler
• İstemciye/sunucuya gelişigüzel veri gönderme
• Ana akış bağlılıkları
• Geçersiz çerçeve durumları
14

Güvenlik – Hizmet Engelleme
httpflood.py -p HTTP/2 -u target
• Performans artışı
• Uygulama seviyesindeki ataklarda düşüş
15

Güvenlik – CVE
use auxiliary/scanner/http2/options
16
Kaynak: http://www.cvedetails.com/google-search-results.php?q=HTTP%2F2&sa=Search

This document discusses various web application security vulnerabilities including cross-site scripting, SQL injection, and techniques for exploiting them. It provides definitions for reflected, DOM-based, and stored XSS. It also lists different SQL injection techniques like union-based, blind, and time-based SQLi. The document provides examples of these vulnerabilities and asks questions about bypassing protections. It concludes by thanking the reader and providing contact information for the security researcher who authored the document.

Web for Pentester 2 ile Web Uygulama Güvenligine GirisUmut Ergin

��

Memcache Injection (Hacktrick'15)Ömer Çıtak

��

This document discusses Memcache injection, which is a technique for injecting malicious code into Memcached servers. It demonstrates how to inject newline characters to overwrite cached values and execute arbitrary commands. It also lists some programming languages and libraries that are vulnerable, as well as content management systems that could be impacted. Safe libraries and updated systems that have addressed this issue are also mentioned. The document aims to raise awareness of this Memcached injection technique and provide information to help secure systems.

Bir Şeyi Hacklemek (DEU ACM Bilişim Günleri 2016)Ömer Çıtak

��

This document outlines a presentation on hacking given by Ömer Çıtak at DEU's 2016 Computer Science Days. The presentation introduces the ADDIE model for designing training and discusses examples of hacking humans, drones, websites, governments, and universities to achieve various targets or results. It concludes by thanking the audience and providing Ömer Çıtak's website and social media information.

[OWASP-TR Uygulama Güvenliği Günü 2016] Özkan Boztaş - SSL Protokolüne Karşı ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Yalçın Çakmak - Social Media Apps Fo...OWASP Turkiye

��

This document discusses social media forensics on mobile devices. It introduces the topic by noting the large percentage of social media users on mobile and the potential for evidence from mobile devices in investigations. It then outlines the scope of the research, including focusing on Android and iOS operating systems and popular social media apps like Facebook, Twitter, Instagram, and WhatsApp. The document describes the methodology used, including acquiring physical and logical images using tools like XRY and examining evidence using commercial and open source tools. Finally, it provides examples of specific artifacts and evidence found from the various social media apps on both Android and iOS devices.

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Ömer Faruk Acar - Mobil Uygulamalar ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Bahtiyar Bircan - PwnPhone: Cepteki ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Oğuzhan Topgül - iOS'da Zararlı Yazı...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Mehmet Sabır Kiraz & Osmanbey Uzunko...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Sertel Şıracı - Mobil Uygulama Güven...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Ahmet Can Kan - Attacking Mobile App...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Bakır Emre - Cebinizdeki HırsızOWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Fatih Emiral - Android Uygulamalara ...OWASP Turkiye

��

More Related Content

More from OWASP Turkiye (10)

[OWASP-TR Uygulama Güvenliği Günü 2016] Özkan Boztaş - SSL Protokolüne Karşı ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Yalçın Çakmak - Social Media Apps Fo...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Ömer Faruk Acar - Mobil Uygulamalar ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Bahtiyar Bircan - PwnPhone: Cepteki ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Oğuzhan Topgül - iOS'da Zararlı Yazı...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Mehmet Sabır Kiraz & Osmanbey Uzunko...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Sertel Şıracı - Mobil Uygulama Güven...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Ahmet Can Kan - Attacking Mobile App...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Bakır Emre - Cebinizdeki HırsızOWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Fatih Emiral - Android Uygulamalara ...OWASP Turkiye

��

[OWASP-TR Uygulama Güvenliği Günü 2016] Özkan Boztaş - SSL Protokolüne Karşı ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Yalçın Çakmak - Social Media Apps Fo...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Ömer Faruk Acar - Mobil Uygulamalar ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Bahtiyar Bircan - PwnPhone: Cepteki ...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Oğuzhan Topgül - iOS'da Zararlı Yazı...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Mehmet Sabır Kiraz & Osmanbey Uzunko...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Sertel Şıracı - Mobil Uygulama Güven...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Ahmet Can Kan - Attacking Mobile App...OWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Bakır Emre - Cebinizdeki HırsızOWASP Turkiye

��

[OWASP-TR Mobil Güvenlik Çalıştayı 2015] Fatih Emiral - Android Uygulamalara ...OWASP Turkiye

��

[OWASP-TR Uygulama Güvenliği Günü 2016] Özgür Alp - HTTP/2 ve Güvenlik

1. HTTP/2 ve Güvenlik Özgür Alp Mart 2016

2. HTTP/1.1 ve Değişimi history HTTP/1.1 • 1999  2016 • 20 KB  5 MB • HTML  JS+FLASH+AJAX • HTTP  HTTPS 2

3. HTTP/1.1 ve Değişimi gnome-screenshot HTTP 3 Kaynak: F5 Networks

4. HTTP/1.1 ve Değişimi gnome-screenshot HTTP/1.1 4

5. HTTP/1.1 ve HTTP/2 Benzerlikleri diff HTTP/1.1 HTTP/2 (-) • HTTP metotları – GET, POST • Durum kodları – 200, 404, 500 • Resmi adres sistemi – URI • HTTP başlıkları ve çerezler 5

6. HTTP/1.1 ve HTTP/2 Farklılıkları diff HTTP/1.1 HTTP/2 (>) • Düzyazı  Binary • Sıralı istekler  Paralel istekler • Çoklu istekler  Tek istek • GZIP  HPACK • İstek & cevap  Sunucudan push özelliği 6

7. HTTP/1.1 ve HTTP/2 Farklılıkları diff HTTP/1.1 HTTP/2 (>) https://http2.akamai.com/demo 7 Kaynak: https://http2.akamai.com/demo

8. Neden HTTP/1.2 Değil? mv HTTP/1.2 HTTP/2 • Farklı yapıda protokol • Geriye uyumlu değil 8

9. HTTP/2 İnceleme http2fuzz 9 Kaynak: https://github.com/c0nrad/http2fuzz

10. HTTP/2 Uygulamaları install HTTP/2 10 Kaynak: https://github.com/http2/http2-spec/wiki/Implementations

11. Güvenlik Konuları netstat -lntp | grep HTTP/2 • Protokol hataları • Şifreleme • Yeni atak yüzeyleri • Hizmet engelleme 11

12. Güvenlik – Protokol Hataları iptables -A INPUT -p HTTP/2 --dport 443 -j DROP 12 Kaynak: https://github.com/http2/http2-spec/issues?q=label%3Asecurity+is%3Aclosed

13. Güvenlik – Şifreleme openssl s_server -HTTP/2 • Bilinenin aksine TLS varsayılan değil – h2: HTTP/2 over TLS – h2c: HTTP/2 over TCP • Chrome, Firefox, IE şu anda sadece h2 destekliyor 13

14. Güvenlik – Yeni Atak Yüzeyleri apt-get install HTTP/2 • HPACK • Sürüm yükseltme/düşürme • Tutarsız çoğullama • Kötü biçimlendirilmiş çerçeveler • İstemciye/sunucuya gelişigüzel veri gönderme • Ana akış bağlılıkları • Geçersiz çerçeve durumları 14

15. Güvenlik – Hizmet Engelleme httpflood.py -p HTTP/2 -u target • Performans artışı • Uygulama seviyesindeki ataklarda düşüş 15

16. Güvenlik – CVE use auxiliary/scanner/http2/options 16 Kaynak: http://www.cvedetails.com/google-search-results.php?q=HTTP%2F2&sa=Search

17. Soru & Cevap help HTTP/2 17

�ݺ�ߣ

[OWASP-TR Uygulama Güvenliği Günü 2016] Özgür Alp - HTTP/2 ve Güvenlik

Recommended

More Related Content

More from OWASP Turkiye (10)

[OWASP-TR Uygulama Güvenliği Günü 2016] Özgür Alp - HTTP/2 ve Güvenlik