Yeni Saldırı Yöntemi: Parametre Kirliliği
Son düzenlenen OWASP güvenlik konferansında İtalyan güvenlik uzmanları Luca Carettoni ve Stefano Di Paola geliştirdikleri yeni web saldırı yöntemlerini tanıttılar. HTTP Parametre Kirliliği (HTTP Parameter Pollution - HPP) adı verilen bu yöntem ile birlikte bir çok web uygulaması üzerinde güvenlik tehditleri yaratmak mümkün. Yöntemin temeli GET ve POST isteklerini gönderirken alışılmadık formlarda ve sınırlamalarla yapmak.
Bu yeni yöntem ile birlikte SQL Injection, XSS ya da komut enjeksiyonu gibi saldırı metodları geliştirilebilmekte. Özellikle mevcut güvenlik önlemlerinden filtrelemenin sıkı yapılmaması HPP manipülasyonlarına fırsat doğurmakta.
Örnek olarak aşağıdakine benzer bir istek,
GET /foo?par1=val1&par2=val2 HTTP/1.1normal şekilde gönderilirken isteğin şu şekilde manipüle edilmesi sunucu tarafında istenmeyen şekilde yorumlanabilir ve güvenlik açıkları doğurabilir;
GET /foo?par1=val1&par1=val2 HTTP/1.1Yine benzer şekilde Apache ModSecurity aşağıdaki SQL Injection saldırılarından ilkini engelleyebilirken, ikinci satırdaki HPP yöntemiyle değiştirdiğimiz saldırıda etkisiz kalmakta,
/index.aspx?page=select 1,2,3 from table where id=1/index.aspx?page=select 1&page=2,3 from table where id=1Güvenlik uzmanları buradaki en büyük zafiyetin “&” ve “;” ayraçlarından geldiğini belirtmekte. Tarayıcı ve güvenlik uygulamaları ise bu yeni atak metoduna karşı filtreleme özelliklerini güçlendirmeli.
Daha detaylı bilgi için: http://www.owasp.org/images/b/ba/AppsecEU09_CarettoniDiPaola_v0.8.pdf
- Yorum göndermek için giriş yapın veya kayıt olun
İlgili Yazılar
Telif Hakkı
Bu yazının telif hakkı, içeriğinde aksi belirtilmemişse yazarına aittir ©. Yazının izin alınmadan ya da kaynak gösterilmeden kopyalanması ve kullanılması 5846 sayılı Fikir ve Sanat Eserleri Yasasına göre suçtur (forum ve bloglar dahil olmak üzere). Telif haklarına aykırı bir durumla karşılaşırsanız lütfen site yetkililerine bildiriniz.
Son yorumlar
1 gün 5 saat önce
1 gün 15 saat önce
2 gün 4 saat önce
2 gün 5 saat önce
5 gün 4 saat önce
6 gün 10 saat önce
6 hafta 9 saat önce
6 hafta 9 saat önce
8 hafta 2 gün önce
8 hafta 6 gün önce