Meny

SANS Topp 20 säkerhetsproblem i programvaruapplikationer

  • Huvud
  • Övrig
  • SANS Topp 20 säkerhetsproblem i programvaruapplikationer

sans top 20 security vulnerabilities software applications

Prova Vårt Instrument För Att Eliminera Problem

Lär dig och förstå SANS topp 20 kritiska säkerhetsproblem i programvaruapplikationer med exempel i denna handledning:

Ordet UTAN är inte bara ett ordboksord utan det står för SysAdmin , Granska , Nätverk och säkerhet .

I den här handledningen lär vi oss de SANS topp 20 säkerhetsbrister vi kan hitta i programvaror och vad vi kan göra för att mildra det.

SANS säkerhetsproblem

Vad du kommer att lära dig:

SAN: s inverkan på cybersäkerhetsgemenskapen

Enligt UTAN , den UTAN Institutet grundades som en forsknings- och utbildningsorganisation. Dess olika säkerhetsprogram är mycket omfattande och har en positiv effekt på över 165 000 säkerhetspersonal världen över.

Vi kan med rätta säga att med den här typen av täckning som kommer från SANS och andra positiva granskningar de får gör dem till de mest betrodda och överlägset största organisationen för InfoSec-utbildning och olika säkerhetscertifieringar i världen.

Den här artikeln kommer att fokusera på SANS topp 20-fel som kan göra din programvara utsatt för attacker och några av de säkerhetskontroller du kan implementera för att mildra mot dessa fel. Även om vi kan hitta mer än 20, men vi kommer att diskutera de 20 bästa sårbarheterna.

Lista över SANS topp 20 kritiska sårbarheter i programvara

  1. CWE-119 : Memory Buffer Error
  2. CWE-79 : Skript på flera platser
  3. CWE-20 : Ogiltigt inmatningsfel
  4. CWE-200 : Exponeringsfel för känslig information
  5. CWE-125 : Läsfel utanför gränserna
  6. CWE-89 : SQL-injektion
  7. CWE-416 : Ledigt minnesfel
  8. CWE-190 : Heltalsflödesfel
  9. CWE-352 : Förfalskning över flera platser
  10. CWE-22 : Directory Traversal
  11. CWE-78 : OS Command Injection
  12. CWE-787 : Skrivfel utanför gränserna
  13. CWE-287 : Felaktigt autentiseringsfel
  14. CWE-476 : Dereferencing NULL-pekaren
  15. CWE-732 : Felaktig tilldelning av tillstånd
  16. CWE-434 : Obegränsad filöverföring
  17. CWE-611 : Informationsexponering genom XML-enheter
  18. CWE-94 : Kodinjektion
  19. CWE-798 : Hårdkodad åtkomstnyckel
  20. CWE-400 : Okontrollerad resursförbrukning

Vad betyder CWE?

De Vanlig svaghetsräkning (CWE) är en community-accepterad lista över program- och hårdvaruproblem med identifikationskod tilldelad för varje svaghet. Målet är att identifiera olika brister i programvara och hårdvara för att kunna åtgärda och mildra alla dessa brister.

datastage intervju frågor och svar för erfarna

# 1) CWE-119: Memory Buffer-fel

Denna fel introduceras vanligtvis under SDLC: s arkitektur och design, implementering, drift.

Detta buffertöverflöde inträffar när en ansökningsprocess försöker lagra mer data än den kan hålla i minnet. Eftersom buffertarna bara kan lagra en viss datanivå och när den nivån nås och överskrids flyter datan till en annan minnesplats som kan skada data som redan finns i den bufferten.

Denna händelse händer ibland av misstag genom något programmeringsfel, men eftereffekten kan vara katastrofal, eftersom detta kan radera data, stjäla konfidentiell information, och till och med hela applikationen kan krascha på grund av detta buffertflöde.

Exemplet nedan visar en buffert tilldelad med 8 bytes lagring. Men det flödade av 2 byte på grund av mer data skickades för körning.

Fel på minnesbuffert

(bild källa )

# 2) CWE-79: Skriptning över flera webbplatser

Cross-site Scripting (XSS) är en injektionsattack som vanligtvis inträffar när en skadlig skådespelare eller en angripare injicerar skadligt eller skadligt skript i en webbapplikation som kan köras via webbläsarna. När det skadliga skriptet har kommit in i det komprometterade systemet kan det användas för att utföra olika skadliga aktiviteter.

Några av de skadliga aktiviteterna kan vara i form av överföring av privat information som cookies som har sessionsinformation från offrets dator till angriparens dator.

Händelse av skript på flera platser:

  • När icke-validerade och otillförlitliga data matas in i en webbapplikation via webbformulärförfrågan.
  • När webbapplikationen direkt skickar ut en webbsida som innehåller denna skadliga data.
  • Under processen att generera en sida kan programvaran inte valideras mot data, som innehåller innehållet som kan köras av en webbläsare, som HTML och JavaScript.
  • Offret besöker omedvetet sidan som genererades via en webbläsare, där det skadliga skriptet som injicerades genom användning av den otillförlitliga informationen.
  • Det skadliga skriptet kommer från en sida som skickades av angriparens webbserver, den komprometterade systemwebbläsaren fortsätter sedan för att bearbeta det skadliga skriptet.
  • Den här åtgärden bryter mot webbläsarens policy om samma ursprung, som föreskriver att skript som kommer från en domän inte ska ha tillgång till resurser eller köra kod i en annan domän utom dess egen domän.

Skripthändelse på flera platser

(bild källa )

# 3) CWE-20: Ogiltigt inmatningsfel

Applikationen tar emot input men misslyckas med att validera inmatningen, oavsett om den har alla nödvändiga detaljer som behövs för att den ska kunna accepteras i systemet för bearbetning.

När det finns sanering av ingångar kan detta användas för att kontrollera eventuellt farliga ingångar för att säkerställa att ingångarna är säkra att behandlas med källkoden eller när det är en ingång som behövs för att kommunicera med andra komponenter.

När sådana ingångar inte är korrekt sanerade eller validerade, kommer detta att bana väg för en angripare att skicka en skadlig ingång som huvudapplikationen generöst kommer att behandla och detta kommer att leda till förändringar i kontrollflödet, godtycklig kontroll av en resurs eller godtycklig kod avrättning.

Nedanstående bilder visar att en bra applikation inte ska acceptera skript eller kommando som inmatning. Om sådana ingångar inte rengörs ordentligt kommer applikationen att behandla den och tro att det är en giltig begäran.

inmatning

Ogiltigt inmatningsfel

(bild källa )

# 4) CWE-200: Exponeringsfel för känslig information

Detta händer när applikationen medvetet och omedvetet avslöjar information som är konfidentiell och känslig för en angripare som inte har behörighet att komma åt denna information.

Olika fel leder till att denna information exponeras för en angripare. Felens svårighetsgrad varierar beroende på vilket sammanhang applikationen fungerar, vilken typ av känslig information som avslöjas och vad skådespelaren kan vinna på den exponerade informationen.

Nedan följer lite känslig information som kan exponeras:

  • Personlig information som personliga meddelanden, finansiella data, hälsostatusregister, geografisk plats eller kontaktuppgifter
  • Systemkonfigurationsdetaljer och miljö, till exempel, operativsystem och installerade paket
  • Affärsrekord och immateriell egendom
  • Nätverkskonfigurationsdetaljer
  • Internt applikationstillstånd
  • Metadata som meddelanderubriker

Ibland kan det finnas tekniska kliar som databasanslutningsfel, körtidsfel och nätverksfel på våra applikationer eller webbplatser.

Om sådana fel inte hanteras ordentligt under utvecklingen, d.v.s. när applikationen visar felmeddelandet, kan den visa information för allmänheten som en angripare kan använda för skadliga ändamål som bilden nedan.

Serverfel

# 5) CWE-125: Läsfel utanför gränserna

Detta inträffar vanligtvis när applikationen läser data förbi den normala nivån, antingen till slutet eller innan buffertens början. Detta ger en privilegierad tillgång till en angripare för att läsa känslig information från andra minnesplatser, vilket också kan leda till ett system- eller applikationskrasch.

En krasch kommer säkert att hända när koden läser data och tror att det finns en indikator på plats som stoppar läsoperationen som en NULL som tillämpas på en sträng

I följande kod hämtar funktionen ett värde från en array-indexplats, vilket i sin tur är ingångsparametern till funktionen.

Läsfel utanför gränserna

(bild källa )

Från koden ovan kan vi se att funktionen verifierar att det angivna matrisindexet är mindre än den maximala längden på matrisen, men inte validerar för minimivärdet.

Denna un-validering kommer att leda till att ett negativt värde accepteras som ett inmatningsmatrisindex, vilket orsakar en läsning utanför gränserna, vilket i sin tur ger åtkomst till känsligt minne.

Det finns ett behov av att verifiera ingångsmatrisindex om det ligger inom det maximala och minsta intervallet som krävs för matrisen.

Om du nu kontrollerar nedanstående exempel ser du att IF-uttalandet måste modifieras för att inkludera en minsta intervallvalidering.

minsta intervallvalidering

# 6) CWE-89: SQL-injektion

SQL-injektion är en form av säkerhetssårbarhet där angriparen injicerar en SQL-kod (Structured Query Language) i inmatningsrutan Webform för att få tillgång till resurser eller ändra data som inte är behörig att komma åt.

Denna sårbarhet kan introduceras i applikationen under design, implementering och drift.

Vad denna SQL-fråga gör är att göra en obehörig begäran till databasen för lite information. I en normal inmatningsfunktion används ett webbformulär för användarautentisering. När en användare anger sitt namn och lösenord i textrutorna infogas dessa värden i en SELECT-fråga.

Om ingångsvärdena är korrekta får användaren åtkomst till applikationen eller begäran, men om värdena är felaktiga kommer åtkomst att nekas.

Vissa webbformulär idag har inga mekanismer för att blockera skadlig inmatning, en angripare kan använda inmatningsrutorna för att skicka skadliga förfrågningar till databasen. Denna enda begäran kan ge dem åtkomst till hela databasen som kan innehålla känslig information.

SQLinjektion

# 7) CWE-416: Tidigare frigjort minne

Det här problemet orsakas av referenser till minne efter att det släppts, vilket allvarligt kan leda till en programkrasch. När du använder ett tidigare frigjort minne kan detta få negativa konsekvenser, som att korrumpera giltiga data, exekvering av godtycklig kod som är beroende av fel timing.

Två vanliga orsaker är:

  • Felförhållanden i programvaran och i vissa andra undantagsfall.
  • Ingen förklaring till vilken del av programmet som orsakade ledigt minne.

I detta fall allokeras minnet till en annan pekare omedelbart efter att det har frigjorts. Den tidigare pekaren till det frigjorda minnet används igen och pekar nu på någonstans runt den nya allokeringen. När data ändras kan detta skada det använda minnet och kan göra att applikationen beter sig på ett odefinierat sätt.

# 8) CWE-190: Heltalsflödesfel

När en beräkning bearbetas av en applikation och det finns ett logiskt antagande att det resulterande värdet kommer att vara större än det exakta värdet, inträffar heltalsflöde. Här ökar ett heltal till ett värde som inte kan lagras på en plats.

När detta händer kommer värdet vanligtvis att lindas till ett mycket litet eller negativt värde. Om inpackningen förväntas är det bra, men det kan få säkerhetsmässiga konsekvenser om omslaget är oväntat. När detta scenario inträffar kan det kallas kritiskt eftersom resultatet används för att hantera looping, säkerhetsbeslut, används för att allokera minne och många fler.

Denna svaghet leder i allmänhet till oregelbunden beteende och kan leda till kraschar. Om värdet är viktigt för data än för flöde kan en enkel dataskada uppstå. Men om omslaget leder till ytterligare förhållanden som buffertöverflöd kan minneskorruption inträffa.

Det här problemet kan utlösa buffertöverflöden, som kan användas för att utföra godtycklig kod av en angripare. Detta heltalsflödsfel introduceras vanligtvis i systemet under design- och implementeringsstegen för SDLC.

Heltals överflöde

# 9) CWE-352: Förfalskning över flera platser

Detta är när en webbapplikation inte i tillräcklig grad verifierar HTTP-begäran, oavsett om begäran faktiskt kom från rätt användare eller inte. Webbservrarna är utformade för att acceptera alla förfrågningar och för att svara på dem.

Låt oss anta att en klient skickar flera HTTP-förfrågningar inom en eller flera sessioner. Det är mycket svårt för en webbserver att veta om alla förfrågningar var giltiga eller inte, och de behandlas vanligtvis. En angripare kan ha sitt sätt att tvinga en klient att besöka en speciellt utformad webbsida och nu kunna utföra vissa förfrågningar som fondöverföring, ändra deras e-postadress och många fler.

Omedelbart har en angripare tillgång och de kommer att kunna stjäla data och kan till och med förstöra data. De kan alltid behålla sin åtkomst och när de är klara kan de äventyra granskningsloggen för att förhindra framtida kriminalteknik som kan avslöja deras utnyttjande.

Bilden nedan visar en angripare som får en användare att utföra åtgärder som de inte tänker utföra.

CrossSite

# 10) CWE-22: Directory Traversal

Directory traversal eller file path traversal är en webbsäkerhetsproblem som gör det möjligt för en angripare att läsa godtyckliga filer på servern som för närvarande kör ett program.

Dessa filer kan vara en applikationskod, referenser för back-end-system och operativsystemfilerna. I något annat scenario kan en angripare kunna skriva till dessa godtyckliga filer på servern, vilket kan göra det möjligt för dem att ändra applikationsdata eller beteende, och detta ger dem total kontroll över servern.

Traversal

(bild källa )

# 11) CWE-78: OS Command Injection

Det handlar om felaktig sanering av speciella element som kan leda till modifiering av det avsedda OS-kommandot som skickas till en nedströms komponent. En angripare kan utföra dessa skadliga kommandon på ett måloperativsystem och kan komma åt en miljö som de inte skulle läsa eller modifiera.

Detta skulle alltid tillåta en angripare att utföra farliga kommandon direkt i operativsystemet.

Närhelst denna sårbarhet förekommer i ett privilegierat program tillåter det angriparen att använda kommandon som är tillåtna i miljön eller att ringa andra kommandon med behörigheter som angriparen inte har, vilket kan öka mängden skada som kan uppstå.

CommandInjection

# 12) CWE-787: Skrivfel utanför gränserna

Detta händer när applikationen skriver data efter slutet eller före början av den angivna bufferten.

När detta händer är slutresultatet vanligtvis dataskada, system- eller applikationskrasch. Vad applikationen gör är någon form av pekareitmetik som används för att referera till en minnesplats utanför buffertgränserna.

# 13) CWE-287: Felaktigt autentiseringsfel

Det här är när en angripare påstår sig ha en giltig identitet men programvaran misslyckades med att verifiera eller bevisar att påståendet är korrekt.

En programvara validerar en användares inloggningsinformation felaktigt och som ett resultat kan en angripare få vissa behörigheter inom applikationen eller avslöja känslig information som gör det möjligt för dem att komma åt känsliga data och köra godtycklig kod.

gratis tidrapportprogramvara för småföretag

# 14) CWE-476: Dereferencing En NULL-pekare

Om du refererar till en nullpekare är när applikationen avläser en pekare som skulle returnera ett giltigt resultat istället returnerar NULL och detta leder till en krasch. Om man hänvisar till en nollpekare kan det hända genom många brister som tävlingsförhållanden och något programmeringsfel.

Processerna som utförs med hjälp av NULL-pekaren leder vanligtvis till misslyckande och möjligheten att genomföra processen är mycket liten. Detta hjälper angripare att köra skadlig kod.

NullPointer

(bild källa )

# 15) CWE-732: Felaktig tilldelning av tillstånd

Denna sårbarhet inträffar när ett program tilldelar behörigheter till en mycket viktig och kritisk resurs på ett sådant sätt att den resurs som en skadlig användare får åtkomst till exponerar.

När du ger många människor tillstånd till en resurs kan detta leda till att känslig information exponeras eller modifieras av en angripare. Om det inte finns några kontroller mot denna typ av tillvägagångssätt för tilldelning av resurser kan det leda till ett mycket katastrofalt slut om en programkonfiguration eller känslig data hamnar i fel hand.

# 16) CWE-434: Obegränsad filöverföring

Denna sårbarhet uppstår när programmet inte validerar filtyperna innan de laddas upp till programmet. Denna sårbarhet är språkoberoende men förekommer vanligtvis i applikationer skrivna på ASP- och PHP-språk.

En farlig filtyp är en fil som kan bearbetas automatiskt inom applikationsmiljön.

Följande program visar en uppladdning av en PHP-fil. Filtypen verifierades inte och validerades innan den laddades upp i webbroot-katalogen. Som ett resultat av denna svaghet kan en angripare ladda upp en godtycklig PHP-fil och köra den genom direkt åtkomst till den uppladdade filen.

uppladdning av en PHP-fil

godtycklig PHP-fil

# 17) CWE-611: Informationsexponering genom XML-enheter

När ett XML-dokument laddas upp i en applikation för bearbetning och detta dokument innehåller XML-enheter med enhetlig resursidentifierare som löser sig till ett annat dokument på en annan plats som skiljer sig från den avsedda platsen. Denna avvikelse kan göra att ansökan om att bifoga felaktiga dokument i dess utdata.

XML-dokumenten innehåller ibland en Document Type Definition (DTD), som används för att definiera XML-enheter och andra funktioner. Genom DTD kan den enhetliga resursidentifieraren fungera som en form av substitutionssträng. Vad XML-analysatorn kommer att göra är att komma åt det som finns i den enhetliga resursidentifieraren och mata in innehållet i XML-dokumentet för körning.

InfoExponering

(bild källa )

# 18) CWE-94: Kodinjektion

Förekomsten av kodesyntax i användarens data ökar angriparens möjlighet att ändra det planerade kontrollbeteendet och köra godtycklig kod. Denna sårbarhet kallas ”svagheter i injektionen” och denna svaghet kan göra att datakontrollen blir användarkontrollerad.

Denna sårbarhet avbildar ett scenario där programvara tillåter otillförlitlig data i koden och inte utför validering av specialtecken som kan påverka både kodsegmentets och syntaxens beteende.

Kort sagt, en angripare skulle kunna injicera någon form av godtycklig kod och köra dem i applikationen. Följande PHP-kod visar användningen av eval () -funktionen i opålitliga data. I koden nedan kan en angripare skicka in parametern 'param' godtycklig kod som sedan körs i programvaran.

Kodinjektion

Nedanstående exempel förklarar samtalet till phpinfo () fungera. Denna sårbarhet kan vidare utnyttjas i andra för att utföra godtyckliga OS-kommandon på målprogramvaran via system () -anropet.

ring till phpinfo () -funktionen

# 19) CWE-798: Hårdkodad åtkomstnyckel

Detta är när lösenordet och åtkomstnyckeln är hårdkodade i applikationen direkt för inkommande autentiseringsändamål och utgående kommunikation till vissa externa komponenter och för kryptering av interna data. Hårdkodade inloggningsuppgifter orsakar vanligtvis sårbarhet som banar väg för en angripare att kringgå den autentisering som har konfigurerats av programadministratören.

Systemadministratören har alltid svårt att upptäcka denna sårbarhet och åtgärda den.

Det finns två huvudströmmar till denna svaghet:

  • Inkommande : Programmet innehåller ett autentiseringssystem som validerar inmatningsuppgifterna mot de hårdkodade detaljerna.
  • Utgående : Programmet ansluter till ett annat system och detaljer för att ansluta till det andra systemet är hårdkodade i systemet.

I den inkommande strömmen finns det alltid ett standardadministratörskonto som skapas, och autentiseringsuppgifterna för att komma åt den kommer att hårdkodas i applikationen och associeras med det förvalda administratörskontot.

De hårdkodade detaljerna är vanligtvis samma sak i varje installation av applikationen, och detta kan inte ändras eller inaktiveras av någon. Till och med systemadministratörerna har inte rätten, förutom att de kan ändra applikationen manuellt. Om lösenordet någonsin avslöjas för allmänheten kan en angripare ha tillgång till hela applikationen och kan manipulera det för egen vinning.

Eftersom alla installationer av applikationen har samma lösenord, även om de är installerade i separata organisationer, kan detta orsaka mycket massiva attacker över alla gränser i organisationen, till exempel, injicera en mask i applikationen som kommer att spridas runt.

Den utgående strömmen gäller endast front-end-system som autentiseras med en back-end-tjänst. Back-end-tjänsten kan kräva en hårdkod eller ett fast lösenord som lätt kan upptäckas. Vad programmeraren gör är helt enkelt att hårdkoda dessa backend-referenser till front-end-programvaran. Alla användare av applikationen kan extrahera lösenordet.

Varje klientprogramvara där lösenordet och åtkomstnyckeln är hårdkodade i det utgör vanligtvis mer hot än de som inte är hårdkodade, eftersom extraheringen av ett lösenord från en binär är vanligtvis mycket lätt att utföra.

# 20) CWE-400: Okontrollerad resursförbrukning

Denna sårbarhet inträffar när applikationen inte kontrollerar tilldelningen ordentligt och underhåll av en begränsad resurs, detta gör att en angripare kan påverka mängden resurser som konsumeras, vilket så småningom kommer att leda till uttömda tillgängliga resurser.

En del av de begränsade resurserna inkluderar minne, filsystemlagring, databasanslutningspoolposter och CPU.

Låt oss anta att en angripare kan utlösa fördelningen av dessa begränsade resurser och att antalet eller storleken på resurserna inte kontrolleras, då kan angriparen orsaka kaos genom förnekande av tjänst som förbrukar alla tillgängliga resurser.

När detta händer skulle det hindra giltiga användare från att komma åt applikationen, vilket alltid kommer att ha en negativ inverkan på miljön. Till exempel, när applikationsminnet går igenom en utmattningsattack kan detta sakta ner hela applikationen såväl som värdoperativsystemet.

De tre olika tillfällena som kan leda till uttömning av resurser är:

  • Brist på strypning för antalet tilldelade resurser
  • Att förlora alla referenser till en resurs innan du når avstängningsfasen
  • Det gick inte att stänga / returnera en resurs efter bearbetning

Frågan om resursutmattning beror vanligtvis på felaktig implementering av följande scenarier:

  • Felförhållanden och andra exceptionella omständigheter.
  • Det är blandad reaktion över vilken del av programmet som släpper resursen.

Följande exempel hjälper till att visa karaktären av denna sårbarhet och beskriva metoder som kan användas för att mildra risken.

Följande exempel förklarar sårbarheten:

Okontrollerad resursförbrukning

applikationer för att ladda ner videor från youtube

(bild källa )

Detta program spårar inte hur många anslutningar som har gjorts och det begränsar inte antalet tillgängliga anslutningar. Forking är bara ett av de sätt som en angripare använder för att få systemet att ta slut på CPU, processer eller minne genom att göra ett stort antal anslutningar.

Vad en angripare gör är att konsumera alla tillgängliga anslutningar, vilket hindrar andra från att komma åt systemet på distans.

Vanliga frågor

F # 1) Vad står SANS för?

Svar: SANS står för SysAdmin, Audit, Network och Security.

F # 2) Ange några exempel på sårbarheter.

Svar: Exemplen är som följer:

  • Sårbarheter i programvara
  • Brandväggs sårbarheter
  • Sårbarheter i nätverket
  • Sårbarheter i operativsystemet
  • Webbserverns sårbarheter
  • Sårbarheter i databaser

F # 3) Vad är skillnaden mellan hot och sårbarheter?

Svar: Hot är möjligheten att utföra en skadlig eller oönskad handling i ett försök att skada ett datorsystem eller applikation genom befintliga sårbarheter i systemet. Exempel: ransomware.

Sårbarheter är svagheter som finns i ett system som kan ha tillåtit oönskad eller obehörig åtkomst från en angripare att infiltrera skada på en organisation. Exempel: Felkonfiguration av brandväggen.

F # 4) Vilka är de vanligaste sårbarheterna?

Svar: Dessa är som följer:

  • SQL-injektion
  • Cross-Site Scripting
  • Felaktig konfiguration av säkerhet
  • Känslig exponering av data
  • Trasig autentisering
  • Sessionshantering

Slutsats

Denna SANS topp 20-sårbarhetslista är inte en regel eller policy utan en guide för att hjälpa oss att undvika programvarusårbarheter. Oavsett om vi är utvecklare eller säkerhetsexperter, är det nu åt oss att följa den här guiden om vad som kan göras för att undvika misstag som kan leda till sårbarheter i vår applikation som kan skapa en bakdörr för en skådespelare att utföra en skadlig handling.

Rekommenderad läsning

^