Generell säkerhet. Loggning - Hur mycket ska man logga? Inloggningsrutinerna i Unix. Loggning fortsättning

Transkript

1 Generell säkerhet Här finns det inga direkta rätt eller fel. Snarare saker man bör tänka på när man implementerar ett program. Kort sagt: Efter att du kommit på hur du tänkt göra, sov på saken och tänk en gång till... Loggning - Hur mycket ska man logga? Inloggningsrutinerna i Unix loggar alla inloggningsförsök. Om en användare av misstag skriver in sitt lösenord istället för användarnamn kommer det att stå i klartext i logfilerna. Om det sedan loggar in en användare 3sek senare är det inte svårt att lista ut och matcha användarnamn och lösenord. Problemet är att man vill kunna logga ev intrångsförsök. Vid användarnamn som inte finns, ska man logga det automatiskt? Loggning fortsättning Webservern Apache loggar komplett Url, även det som står efter?-tecknet. Det som står efter?-tecknet (query-strängen) brukar innehålla användarnamn och ev lösenord för gästböcker och liknande. Behövs det verkligen dyka upp i log-filerna? Problemet är att man vill kunna se vem som gjort ett inlägg i en gästbok tex. En lösning: använda metoden post istället för get när det gäller känslig data. Då måste man själv göra nödvändiga loggningar för att kunna kontrollera vem som gjort vad på sin hemsida. Tänk på vad som ska loggas när ni skriver ett program. Ska allt loggas även om det riskerar att innehålla känsliga uppgifter? Vem ska kunna läsa logfilerna?

2 Lösenord - Hur säkert är det? Ett lösenord på 8a tecken kan vara ett av 256^8 kombinationer. Men i realiteten kan man lista ut ganska mycket om ett lösenord. För det första brukar man inte tillåta svenska tecken och tecken som man inte kan skriva på ett normalt tangentbord. Redan då är man nere i ca 127^8 kombinationer. Därefter kan man anta att ett lösenord inte innehåller fler siffror än tecken, inte fler specialtecken än vanliga tecken, inte fler versaler än gemener osv... Helt plötsligt är man nere i ännu färre kombinationer. Lösenord forts Dessutom använder många användare samma lösenord på flera ställen. Vad finns det för garantier att ett lösenord lagras på ett säkert sätt på ett annat system? Vid ett nytt system, kan man tvinga användaren att använda ett nytt lösenord? Hur ska man lagra lösenordet så att det inte går att komma åt även om man hackar datorn som det ligger lagrat på? Mer läsning finns på Programinfo - Vem är du? Många datorer och program sprider gladeligen ut information om vad och vilken version de kör. Om nu den versionen har en säkerhetsbrist är det väldigt enkelt för en hackare att skanna runt i ett nätverk för att få reda på vilka datorer som är känsliga för en attack. Om den inte på ett enkelt sätt visar versionsnummer är det svårt för sysadmins att hålla koll på att man har de senaste patcharna. Ska vem som helt kunna få ut information om ett system? Behöver alla användare få reda på vilken tid och med vilka flaggor ett visst program kompilerades? Om man portscannar en dator kan man få en hel del info om möjliga mål för en attack.

3 Protokollsvagheter tankefel från början Protokoll är det som säger hur en kommunikation ska gå till. En svaghet där drabbar inte bara ett program eller en implementation av ett protokoll, utan alla. Tex i ssh v1 kan man lätt lista ut vilka paket som innehåller lösenordet. Normalt skickas en knapptryckning till servern och ett tecken att visa kommer tillbaka. Vid lösenordet skickas endast paket åt ett håll (klienten får inte tillbaka några tecken att visa). Programmering Varje program får ett eget minnesutrymme som det körs i (i exemplet nedan endast 256byte, i verkligheten 4GB. Principen är densamma). Själva programmet läses in och hamnar på ett ställe och variablerna hamnar på ett annat. För att man ska kunna ha lokala variabler i varje funktion reserveras nytt minne varje gång en funktion anropas.

4 Buffer overflow Varje instans av en funktion har en egen minnesplats för sina variabler. Men t.ex printf kan ju anropas från flera ställen i koden, hur vet den då vart den var innan anropet? Genom att just innan det "lokala" minnet lägga upp den plats den var på kan den sen hittat tillbaka till vart den var innan funktionsanropet. På så vis kan man anropa samma funktion från flera ställen i koden. När printf avslutar kollar den den sk återhoppsadressen och hoppar tillbaka dit i koden. Det som händer vid en buffer overflow är att man t.ex skriver utanför en array. Eftersom allt ligger i närheten av varandra i minnet (se exempel) riskerar man då att skriva över adressen som den använder för att hitta tillbaka i koden.

5 Buffer overflow - exempel #include <stdio.h> /* * Kompilatorn optimerar minnesanvändandet och lägger variabler efter varandra * i minnet. Om man skriver in för långt förnamn kommer den att skriva över * till command- bufferten. Om command skulle vara ett kommando att köra (via * system) skulle man kunna skriva in "XXXXXXX rm- rf /" som fname varpå * commandskulle bli "rm- rf /" Kanske inte så bra kommando att köra... ;) * * Att tänka på: Läs inte in mer tecken än var bufferten klarar av. * * Kända buggar: Blaster (hade inte fullgod koll på vad som kom in via * nätverket utan skrev när i en för liten buffert.) * * OpenSSH (Egentligen ett integer overflow som gjorde att man * allokerade en för liten buffert.) */ int main(int argc, char *argv[]) { char command[8] = "ls -l"; char fname[8]; printf("ange ditt förnamn: "); fflush(stdout); gets(fname); printf("förnamn: %s\n", fname); printf("kommando: %s\n", command); return 0; } Buffer overflow - exempel boule[33] ~/zip % gcc tst.c /tmp/ccsbaoqk.o(.text+0x41): In function `main': : warning: the `gets' function is dangerous and should not be used. boule[34] ~/zip % a.out Ange ditt förnamn: Mikael Förnamn: Mikael Kommando: ls -l boule[35] ~/zip % a.out Ange ditt förnamn: Mikael12rm -rf Förnamn: Mikael12rm -rf Kommando: rm -rf boule[36] ~/zip %

6 Utnyttja buffer overflow Vid en exploit så gör man en kontrollerad buffer overflow. Istället för att skriva sönder återhoppsadressen skriver man dit ett värde som gör att programmet hoppar till den kod som man själv vill köra. Den programkoden får man oftast in via stdin, inläsning från en fil, en miljövariabel via en nätverksuppkoppling eller liknande. Huvudsaken att den finns någonstans i minnet. KONTROLLERA ALL INDATA!! Speciellt om ni skriver ett nätverksprogram eller ett program som ska köras av root/med root-rättigheter. Annars kan programmet hackas på ett väldigt enkelt sätt... Har man en buffert på 10 byte ska man inte undra några omständigheter kunna försöka fylla den med mer än 10 byte. Olika typer av fel Segmentation fault Får man om man försöker komma åt en minnesadress man inte har tillgång till eller försöker skriva till en adress som är read-only. T.ex (NULL). Vanligen har man tappat kontrollen över en pekare eller att återhoppsadressen är trasig och pekar på någon minnesposition som är fel. Illegal instruction Får man om man försöker köra kod som inte är giltig maskinkod. Trolig orsak: kvaddad återhoppsadressen. Bus error Beror på att processorn försöker optimera läsning till och från minnet. På en 32-bitarsmaskin läser den in 4 byte (32- bitar) åt gången. För att det ska bli snabbt måste adressen som den läser/skriver vara jämt delbar med 4. Är den inte det blir det ett bus error. Trolig orsak: man har tappat kontrollen över en pekare eller, återhoppsadressen är trasig.

7 Vidare läsning På kurssidan finns flertalet artiklar att läsa om man är intresserad av att läsa mer. Vill man lära sig hur man skriver en egen exploit och hur buffer overflows fungerar på riktigt rekommenderas smashing.txt som är tagen från Secure-Programs-HOWTO.pdf är en ganska komplett genomgång på olika fel man kan göra. Inte enbart i c- programmering. Rekommenderas att skumma igenom om man vill få en överblick över vilka fallgropar som finns när man skriver kod. Dessa artiklar och de andra som finns där håller ganska hög nivå men är väldigt intressanta om man sätter sig in i de. Sockets Sockets Ett till sätt att kommunicera. Med sockets så kan vi även kommunicera över nätverk eller lokalt på en maskin. Vi måste förs koppla upp förbindelsen mellan de två processerna. Sedan kan vi om vi vill använda read och write för att läsa/skriva info mellan processerna. Många utav funktionerna som jobbar med fildeskriptorer funkar också med sockets Många olika protokoll för kommunikationen kan användas (för internetförbindelser kan vi tex välja mellan TCP och UDP). För mer info -> läs en datakommunikationskurs

8 #include... #define oops(s) {perror(s); exit(-1); } #define PORT 1999 server int main() { char c; int n, s, sfd; struct sockaddr_in saddr; if ((s = socket(pf_inet, SOCK_STREAM, IPPROTO_TCP)) == -1) oops("socket") bzero(&saddr, sizeof (saddr)); /* Build the network address for this server */ saddr.sin_family = AF_INET; saddr.sin_port = htons(port); saddr.sin_addr.s_addr = htonl(inaddr_any); if (bind(s, (struct sockaddr *)&saddr, sizeof (saddr))!= 0) oops("bind") if (listen(s, 1)!= 0) oops("listen") for (;;) { if ((sfd = accept(s, NULL, NULL)) == -1) oops("accept") while ((n = recv(sfd, &c, sizeof(c), 0)) > 0) putchar(c); putchar('\n'); close(sfd); } }

9 #include... #define oops(s) {perror(s); exit(-1); } #define HOSTNAME "boule" client #define PORT 1999 int main(int argc, char *argv[]) { int s; struct sockaddr_in saddr; struct hostent *hp; if (argc!= 2) fprintf(stderr, "usage: %s message\n", argv[0]), exit(1); bzero(&saddr, sizeof (saddr)); /* Build the network address of the server */ saddr.sin_family = AF_INET; if ((hp = gethostbyname(hostname)) == NULL) oops("gethostbyname") bcopy(hp->h_addr, &saddr.sin_addr, hp->h_length); saddr.sin_port = htons(port); if ((s = socket(pf_inet, SOCK_STREAM, IPPROTO_TCP)) == -1) oops("socket") /* Here is the place to bind the socket to a port if the client needs a specific port number*/ if (connect(s, (struct sockaddr *)&saddr, sizeof (saddr))!= 0) oops("socket") if (send(s, argv[1], strlen(argv[1]), 0) == -1) oops("write") close(s); exit(0); } boule[7] % gcc -o server server.c -lnsl boule[8] %./server Hej test Lite mer text 34 ^C boule[9] % test 1 boule[179] % gcc -o client client.c -lnsl boule[180] %./client Hej boule[181] %./client "Lite mer text" boule[182] % peppar[18] % gcc -o sun_client client.c -lsocket -lnsl peppar[19] %./sun_client test peppar[20] %./sun_client 34 peppar[21] %

10 test 2 server: int i;... while ((n = recv(sfd, &i, sizeof(i), 0)) > 0) printf("tal = %d\n", i); client: int i;... sscanf(argv[1], "%d", &i); if (send(s, &i, sizeof(i), 0) == -1) oops("write") boule[11] % gcc -o iserver iserver.c -lnsl boule[12] %./iserver tal = 123 tal = tal = 0 tal = tal = tal = 0 tal = 1 ^C test 2 boule[93] % gcc -o iclient iclient.c -lnsl boule[94] %./iclient 123 boule[95] %./iclient 0 boule[96] %./iclient 1 boule[97] % peppar[36] % gcc -o isun_client iclient.c -lsocket -lnsl peppar[37] %./isun_client 123 peppar[38] %./isun_client 0 peppar[39] %./isun_client 1 peppar[40] %./isun_client 2 peppar[41] %