Jeśli komuś znudzi się "świąteczna atmosfera" albo świąteczne obżarstwo, może zająć się kilkoma wyzwaniami. O większości z nich już wspominałem, ale postanowiłem wspomnieć jeszcze raz.
Kilka wyzwań na świąteczną nudę
Testowanie kontroli dostępu do funkcji
Pierwszy temat związany jest z kontrolą dostępu do funkcji w aplikacjach internetowych. Poprzednie zadanie, O testowaniu kontroli dostępu (do funkcji), nie spotkało się z wielkim zainteresowaniem. Do przykładu dołożyłem nową funkcję: Wysłanie zapytania. Jacy użytkownicy mają do niej dostęp? Czy kontrola dostępu jest dobrze zrealizowana? Przykład dostępny jest pod adresem http://bootcamp.threats.pl/lesson17/, użytkownicy i ich hasła są podani natomiast w Lekcja 17: Wyjaśnienie, część druga.
Temat kontroli dostępu do funkcji i do danych nie jest jakoś specjalnie popularny. Może wynika to z faktu, że trudniej na tym zdobyć +5 lansu? Szkoda, bo ZŁO jakie można uczynić w wyniku tego typu podatności, jest znaczne...
Network forensic - malware
Drugim tematem, na który chcę zwrócić uwagę jest kolejny odcinek Network Forensics Puzzle Contest, tym razem zatytułowany Ms. Moneymany’s Mysterious Malware. Zwracam uwagę na opis scenariusza, jest dość życiowy. Wyzwanie nie jest specjalnie trudne, a można zdobyć nagrody.
Warto również przejrzeć wcześniejsze, już zakończone wyzwania i odpowiedzi do nich. To tak w ramach dokształcania się. Oczywiście niektóre zadania można rozwiązać na więcej niż jeden sposób, ważne jest to, by rezultat był prawidłowy.
Pozostając przy temacie network forensic można przyjrzeć się zadaniu Forensic Challenge 2010 - browsers under attack. Moim zdaniem zadanie to jest bardziej skomplikowane, niż aktualnie udostępnione w ramach Network Forensic Puzzle Contenst, a ponieważ jest już zakończone - można skorzystać ze wskazówek zawartych w nagrodzonych rozwiązaniach.
Zapoznanie się z rozwiązaniami może być przydatne również dla zwykłych użytkowników, którzy samego wyzwania rozwiązywać nie chcą. Są to przykłady z życia wzięte, malware może wejść na Twój komputer dokładnie tak, jak miało to miejsce w scenariuszu z wyzwania. Bój się!
Memory forensic - malware
Ponownie temat malware. Tym razem dostępny jest nie ruch sieciowy, ale zrzut pamięci fizycznej systemu (mniej więcej) w momencie infekcji. Mowa oczywiście o wspominanym już Forensic Challenge 2010 - Banking Troubles. Tu warto zwrócić uwagę na wpis A Volatile Challenge: The Honeynet Project has Banking Troubles (to tak w temacie dodatkowych nagród). Ktoś może na przykład będzie miał na tyle samozaparcia, by napisać plugin do odczytywania (fragmentów) plików z file cache na zasadzie opisanej przeze mnie.
Zadania zawiązane z memory forensic są interesujące jeszcze z jednego powodu. Otwierają oczy na to jak wiele informacji można uzyskać ze zrzutu pamięci. Przypominam, że hiberfil.sys to również zrzut pamięci :)
Fakt, lansu mało z tego jest - ostatnio właśnie miałem kończyć o tym tekst na swojego b, ale zabrałem się za moduły do metasploita.
Spostrzeżenie jest takie - wielu programistów nie potrafi sensownie napisać mechanizmu, który kontrolował by dostęp użytkowników na więcej niż jednym poziomie. W większości takich aplikacji jeśli już masz konto w systemie to masz pełne uprawnienia.
Systemy z drzewiastym modelem dostępu (czyli masz dostęp tylko do danych ludzi z gałęzi poniżej) czy systemy podwójnej akceptacji to już tak wysokie progi, że programiści muszą zakładać aparaty tlenowe .
- opisać to,
- zaimplementować,
- wymyślić przypadki testowe,
Aparaty tlenowe potrzebne nie tylko programistom