CEH Sertifikasyon Sınavı Notları – 11: Hacking Web Servers

Bilgi güvenliği konusunda en çok tercih edilen sertifikalardan birisi de Certified Ethical Hacker (CEH) sertifikasıdır. Bu yazıda CEH sınavının konularından birisi olan “Hacking Web Servers” başlığı incelenecektir.

Web Sunucularındaki Zafiyetler

• Gereksiz yedeklerin, varsayılan dosyaların, gereksiz servislerin, içeriklerin, kurulum dosyalarının mevcudiyeti
• Varsayılan kurulum ve yapılandırmalar
• Varsayılan kimlik bilgileri (kullanıcı adı ve parolalar), boş parolalar, kolay / kırılabilir parolalar
• Uygulamada, sunucuda veya ağda yanlış konfigürasyonlar/açıklıklar/zafiyetler,… Ağ üzerinde araya girilebilir, kaba kuvvet saldırısı yapılabilir. Eksik yamalar sebebi ile işletim sistemindeki kritik veriler elde edilebilir.
• Web uygulamalarındaki zafiyetler
• Dosya / Dizin erişimlerinin hatalı ayarlanması
• Yetkilendirme hataları, görevler ayrılığı ilkesinin işletilmemesi
• Politika, prosedür, bakım yetersizliği
• Dış sistemlerle hatalı kimlik doğrulama mekanizmasının implemantasyonu (şifresiz trafik, yanlış SSL implemantasyonu, varsayılan sertifikalar)
• Debug/hata mesajlarının veya yönetim fonksiyonlarının etkin ve dışarıya açık olması

 

Web Sunucularına Yönelik Saldırılar

• Websitesi Tahrifi (Defacement): Web sitesinin içeriği değiştirilebilir. Takip için Zone-H (http://www.zone-h.org/archive/special=1) gibi siteler kullanılabilir.
• Kaynak Kod İfşası: Kaynak kodun bir kısmı elde edilebilir.
• HTTP Response Splitting Saldırısı: Response başlığına zararlı veri enjekte edilir. XSS, CSRF, SQL injeksiyonu bu saldırı türündendir.
• Web Önbellek Zehirlenme Saldırısı: Saldırgan web sayfasının önbelleğini siler, zararlı kod enjekte edilmiş olarak bir talepte bulunur. Artık bu sayfaya giren herkes zararlı koda maruz kalır.
• HTTP Response Hijacking Saldırısı: Saldırgan tarafından yapılan talebin, sunucu tarafından iki ayrı cevaba bölünerek, kurbana yönlendirilmesine dayanır.
• Uygulamaya Yönelik Saldırılar:
  • Parameter/Form Tampering: Sunucu ve istemci arasındaki parametre ve form bilgileri değiştirilir
  • Cookie Tampering: Çerez bilgileri değiştirilir.
  • Doğrulanmamış girdiler
  • Dosya enjeksiyonu
  • SQL enjeksiyonu
  • Oturum Çalma
  • Dizin Gezinimi: Web sayfası /var/www/ içerisinde iken; www.sitem.com/../../etc/passwd diyince web sunucunun dosyaları okunabilir.
  • DOS/DDOS
  • XSS
  • Önbellek Taşması (Buffer Overflow): Web sunucuya karşılayabileceğinden fazla paket gönderilebilir.
  • CSRF
  • Komut enjeksiyonu
• Diğer Saldırılar: DOS/DDOS saldırıları, DNS çalma (hijacking) saldırısı, DNS Yükseltme saldırısı, Araya girme saldırısı (MITM), oltalama saldırısı, SSH kaba kuvvet saldırıları, Parola kırma saldırıları…

 

Web Sunucularına Yönelik Saldırılara Karşı Önlemler

• Sunucular ve uygulamalar güncellenmelidir
• Parola politikası uygun/güçlü olarak ayarlanmalıdır
• Gereksiz sunucu rolleri, servisler, paketler, dosyalar, varsayılan betikler, yedekler, programlar, modüller, eklentiler, kullanıcılar, kullanıcı rolleri, kullanıcı yetkileri, paylaşımlar kaldırılmalıdır
• Gereksiz ISAPI filtreleri , *.jar dosyaları kaldırılmalıdır
• WebDAV devre dışı bırakılmalıdır
• Varsayılan kullanıcı (özellikle yönetici) hesaplarının isimleri değiştirilmelidir
• Sistemler yedeklenmelidir
• Güvenilir protokoller kullanılmalıdır, şifreli trafik tercih edilmelidir
• Bir sistem belli bir amaca (web uygulaması, veritabanı, kimlik doğrulayıcı,…) hizmet etmelidir. Örneğin, web sunucuya başka bir uygulama rolü (SQL / domain gibi) kurulmamalıdır,
• Güvenilir ağ mimarisi kullanılmalıdır, ağ seviyesinde erişimler güvenlik duvarı gibi sistemler ile kontrol altına alınmalıdır
• Farklı sürüm ortamları (Prod, Test gibi) birbirinden ayrılmalıdır, uygulama ve veritabanları ayrı ağ segmentlerinde bulunmalıdır
• Dizin listeleme (directory browsing) iptal edilmelidir
• Tracing özelliği kaldırılmalıdır
• Güvenilir yazılım geliştirme süreci uygulanmalıdır
• Loglama açılmalıdır
• Sistem dosyaları / web içeriği / loglar ayrı disklerde bulunmalıdır
• Dosya erişim yetkileri (NTFS gibi) sıkılaştırılmalıdır (hardening – gereksiz uygulamaların/servislerin kaldırılması, yapılandırma ayarlarının sıkılaştırılması,…)
• Uygulama zafiyetlerine ve bellek taşma saldırılarına karşı önlemler alınmalıdır.

 

Web Sunucularına Yönelik Saldırıların Etkileri

• Uygulama hesaplarına ait bilgilerin ifşası/kaybı
• Uygulamada (veya veritabanında) kayıtlı verilerin çalınması / değiştirilmesi / silinmesi / şifrelenmesi
• Web sayfasına ait içeriğin değiştirilmesi (deface)
• İşletim sisteminin ele geçirilmesi, arka kapı bırakılması
• İç ağa sızma

 

Genel Notlar:

• Web sunucular: Apache, IIS, Nginx, …
• Windows 2000’de varsayılan durumda IIS (6.0 vs), Local System hakları ile çalışır.
• Web sunucular dışarıya açık olduğundan ve güvenlk duvarları tarafından bloklanmadıkları için saldırıya açıktırlar.
• N-katmanlı mimari: Tek bir role sahip sunucular kümesidir. Uygulama katmanları birbirinden ayrılabilir ve her biri birbirinden bağımsız olarak güncellenebilir. Her katman birbirinden bağımsız fiziksel sunucularda bulunur. Her katman bir üstündeki veya bir altındaki katman ile veri transferinde bulunabilir.
• Apache sunucuda dosya uzantısını gizlemek için mod_negotiation kullanılabilir.
• Fingerprint araçları: Netcraft, httprecon
• Web sayfa içeriğini elde etme araçları: HTTrack,…
• Web zafiyet tarayıcıları: Netsparker, Acunetix, N-Stalker, Syhunt Dynamic, Nessus
• Web spider araçları ile internet üzerinden bilgi toplanması sağlanır.
• Crawling araçları: Metagoofil.
• Web dizin (fonksiyonlar, login formları da dahil) tespit aracı: Dirbuster
• Web gezinti araçları: Dirbuster
• Robots.txt: Web arama motorları tarafından indeksleme için kullanılır. Uygulama yöneticisi de robotları engellemek için kullanır.
• Website Cloaking: Bir web sunucusunun; farklı istemciler için aynı web sayfasının farklı sürümlerini/tiplerini sunabilmesidir. Filtreleme işlemi; farklı IP adreslerinden / ülkelerden bağlananlar için; gerçek ziyaretçiler ve arama motoru örümcekleri için farklı olacak şekilde gerçekleştirilebilir. SEO amaçlı olarak da (örümceklere daha zengin içerik sunmak için) kullanılabilir.

 

CEH v9 Eğitimi Konu Başlıkları

• Webserver Market Shares
• Webserver Concepts
  • Web Server Security Issue
  • Why Web Servers Are Compromised
  • Impact of Webserver Attacks
  • Open Source Webserver Architecture
  • IIS Web Server Architecture
• Webserver Attacks
  • DoS/DDoS Attacks
  • DNS Server Hijacking
  • DNS Amplification Attack
  • Directory Traversal Attacks
  • Man-in-the-Middle/Sniffing Attack
  • Phishing Attacks
  • Website Defacement
  • Webserver Misconfiguration
    • Webserver Misconfiguration Example
  • HTTP Response Splitting Attack
  • Web Cache Poisoning Attack
  • SSH Bruteforce Attack
  • Webserver Password Cracking
    • Webserver Password Cracking Techniques
  • Web Application Attacks
• Attack Methodology
  • Webserver Attack Methodology
    • Information Gathering
      • Information Gathering from Robots.txt File
    • Webserver Footprinting
      • Webserver Footprinting Tools
      • Enumerating Webserver Information Using Nmap
    • Mirroring a Website
    • Vulnerability Scanning
    • Session Hijacking
    • Hacking Web Passwords
• Webserver Attack Tools
  • Metasploit
    • Metasploit Architecture
    • Metasploit Exploit Module
    • Metasploit Payload Module
    • Metasploit Auxiliary Module
    • Metasploit NOPS Module
  • Wfetch
  • Web Password Cracking Tool: THC-Hydra and Brutus
• Countermeasures
  • Place Web Servers in Separate Secure Server Security Segment on Network
  • Countermeasures
    • Patches and Updates
    • Protocols
    • Accounts
    • Files and Directories
  • Detecting Web Server Hacking Attempts
  • How to Defend Against Web Server Attacks
  • How to Defend against HTTP Response Splitting and Web Cache Poisoning
  • How to Defend against DNS Hijacking
• Patch Management
  • Patches and Hotfixes
  • What is Patch Management?
  • Identifying Appropriate Sources for Updates and Patches
  • Installation of a Patch
  • Implementation and Verification of a Security Patch or Upgrade
  • Patch Management Tool: Microsoft Baseline Security Analyzer (MBSA)
  • Patch Management Tools
• Webserver Security Tools
  • Web Application Security Scanner: Syhunt Dynamic and N-Stalker Web Application Security Scanner
  • Web Server Security Scanner: Wikto and Acunetix Web Vulnerability Scanner
  • Web Server Malware Infection Monitoring Tool
    • HackAlert
    • QualysGuard Malware Detection
  • Webserver Security Tools
• Webserver Pen Testing
  • Web Server Penetration Testing
  • Web Server Pen Testing Tool
    • CORE Impact® Pro
    • Immunity CANVAS
    • Arachni