4

Estou enfrentando um serio problema com hackers e/ou crackers no site desenvolvido pra uma prefeitura. Fiz testes com SQL MAP em todas as páginas do site. testei o bloqueio a ftp, procurei por arquivos injetados dentro do site, procurei vírus, Malwares e backdoors e até agora nada...

Então me surgiu essa questão, como testar a aplicação de forma eficaz e localizar as falhas de segurança relacionada exclusivamente á aplicação?

Acho que pra não ficar tão ampla a questão poderia ser focado apenas em relação ao ambiente WEB... caso a pessoa que responda a pergunta ache que pode abranger todo o conteúdo ela será muito bem vinda também :D

Gostaria também que se possível que a resposta fosse de forma bem genérica podendo-se aplicar a qualquer forma de desenvolvimento(dentro das limitações das linguagens)

Informações sobre a aplicação:
Linguagem: PHP
Banco de Dados: MySQL
Conexões: mysql_connect ¬¬ (não é culpa minha)

Foco dos Ataque: Banco de Dados

Problemas comuns
Injeção de script para redirecionamento da página
Injeção de imagens dentro das notícias e destaques
Injeção de arquivos para backdoor

Itens que não causam problemas(não ouve tentativas)
Ataques de DoS
Ataques de Brute-Force

Correções em primeira instancia
Troca das credenciais do banco de dados
Troca da senha de administrador (Hash atual -> df8bce1285196dddc104c22f15665dac)

Já havia perguntado O que o código abaixo(escrito por um cracker) faz? e havia postado o código de um dos arquivos que já foram injetados dentro do site...

Fiz uma varredura na ftp e me certifiquei de que não existe nenhum arquivo malicioso dentro dela...

Todos os gets e posts são validados da seguinte forma

if(isset($_GET['t'])){
    $ids = (int)mysql_real_escape_string($_GET['t']);
    if(!is_numeric($ids)){
        $ids = '1';
    }   
} else {
    $ids = '1'; 
}
11
  • 1
    Então dê mais informações sobre seu problema, sua estrutura, etc.
    – Maniero
    Commented 16/09/2014 às 18:02
  • @bigown nesse caso, não sei bem quais informações são necessárias para avaliar(gostaria até que fosse da forma mais genérica possivel) se puder me auxiliar dizendo quais as informações são mais vitais para poder responder Commented 16/09/2014 às 18:03
  • O que exatamente aconteceu? A aplicação é escrita em que linguagem de programação? Você citou SQL, o ataque foi no banco de dados?
    – user7261
    Commented 16/09/2014 às 18:07
  • 2
    Está procurando no lugar errado. Leia mais sobre segurança em aplicação no projeto OWASP Commented 16/09/2014 às 18:21
  • 4
    Quais exatamente os problemas que você está tendo? Os tipos de vulnerabilidade a que uma aplicação pode estar exposta são muitos e bastante diversos, uma resposta genérica seria ou por demais superficial ou por demais extensa. Se não tiver como descrever o problema com mais detalhes, pelo menos diga quais problemas você não está enfrentando (ex.: DoS, sequestro de sessão, roubo de identidade, injeção de JS, injeção de shell...). Claro que não dá pra ter certeza que uma vulnerabilidade não existe, mas pelos "sintomas" pode-se restringir o foco de análise às suas prováveis causas.
    – mgibsonbr
    Commented 16/09/2014 às 18:35

2 Respostas 2

5

De acordo com sua descrição dos problemas mais comuns, eu dividiria a atenção em duas frentes:

Injeção de script para redirecionamento da página

Injeção de imagens dentro das notícias e destaques

Isso é sinal de que as entradas do usuário não estão sendo sanitizadas de modo apropriado. Mas nesse caso, não estou me referindo a formatar corretamente o SQL (algo que prepared statements ajudaria), mas sim em escapar corretamente o HTML.

Em uma aplicação Web há vários pontos em que uma entrada fornecida pelo usuário é mostrada de volta para ele como parte de uma página. Mesmo que essa entrada seja corretamente "escapada" ao inserir no banco, isso não significa que ela é segura para ser incorporada numa página. Por exemplo, não há caracteres SQL inválidos na string <script>alert(1);</script>. Mas se um usuário entrou isso em um campo de texto, o que deve ser incluído numa página de resultados é &lt;script&gt;alert(1);&lt;/script&gt;

(dados a serem retornados com valores de um input tampouco estão seguros. Ex.: teste"><img src="foo)

Escapar conteúdo antes de mandar pro banco previne SQL Injection. Para prevenir contra JS Injection (ou HTML Injection) é necessário sanitizar também o conteúdo que sai do banco. Eu concentraria meus esforços nesse sentido, pois seus "sintomas" não são característicos de um problema na entrada de dados/consultas (ex.: vazamento de informação), e sim na saída dos mesmos.

Injeção de arquivos para backdoor

Até onde meu conhecimento vai, isso não é algo que possa ser causado por falhas no banco, mas sim no upload de arquivos. Uma situação comum é um site que permite o envio de imagens, mas que só valida a extensão do arquivo - não o seu conteúdo.

Nesse caso, não tenho conhecimento suficiente sequer pra dar um palpite, então vou me abster de opinar. A presença de um arquivo nocivo por si só não me parece suficiente para se instalar um backdoor (pra isso seria necessário também alguma forma de shell injection, mas não tenho certeza). Mas posso estar bastante enganado...


P.S. Não acredito que esteja relacionado ao seu problema, mas quando vi que seu sistema usava mysql_real_escape_string fiquei com a pulga atrás da orelha - embora não possa garantir nada. Sugiro esse post no security.SE para mais detalhes (leia inclusive os comentários). A princípio, um uso correto e consistente dessa função deve ser bom o suficiente, mas há detalhes a se considerar, por exemplo este que me chamou a atenção:

Penso que o aspecto mal comumente mal interpretado é que os valores escapados com mysql_real_escape_string somente são destinados a serem usados em um literal para strings do MySQL. Há casos comuns em que o mysql_real_escape_string é usado para dados que não são colocados num literal para strings, mas para alguma outra coisa, tipo, como um identificador, uma palavra-chave, um literal para inteiros, etc.

No seu exemplo específico não vejo isso como um problema - pois depois de usar essa função você ainda converte pra int e verifica se é numérico, então até onde eu saiba (disclaimer: não tenho experiência com PHP) a vulnerabilidade não está aí. De todo modo, verifique se existem outros usos pra essa função que possam apresentar problemas.

3
  • +1 Só o AP vai poder nos dizer se esse era mesmo o problema, mas acho que você matou a charada.
    – user7261
    Commented 16/09/2014 às 20:34
  • Na verdade só os testes vão poder responder xD Commented 16/09/2014 às 23:39
  • Não sei pq, mas ainda não havia pensado em tratar as saídas também, se o script não funcionar ele se torna inútil, pode não resolver, mas pelo menos dificulta um pouco mais para o invasor... Commented 17/09/2014 às 17:22
3

Se você não têm idéia de qual exploit está sendo utilizado, começe pela camada de menor nível: o banco de dados.

  • Identifique os padrões. As 'invasões' sempre acontecem num mesmo horário? Existe algum conteúdo similar entre os registros que afetados? O IP de origem é sempre o mesmo?
  • Faça um cleanup no banco baseado nos padrões encontrados. (Cuidado com falsos positivos.)
  • Crie triggers que impeçam a gravação, no banco, de registros que correspondam aos padrões encontrados. Crie um código de erro específico para esta trigger.
  • Monitore sua aplicação e registre todas as páginas onde uma chamada ao banco gerou o código de erro que você criou.
  • Localize, nas páginas afetadas, os pontos frágeis utilizados pelo exploit, e elimine-os.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .