[KacperSzurek]

Podczas tworzenia nowych aplikacji nie zawsze wszystko działa jak należy. #od0dopentestera
Czasami trzeba coś przeanalizować.
Ale co jeśli przez pomyłkę w ostatecznej wersji produktu pozostawimy opcje służące do rozwiązywania problemów?
Jeżeli używasz narzędzia Flask to wiesz, że podczas tworzenia aplikacji udostępnia on Wekzeug Debugger.
Jeżeli gdzieś kod działa nieprawidłowo to zamiast komunikatu błędu otrzymujemy interaktywny interfejs służący do dynamicznej analizy programu.
Możemy wyświetlać wartości zmiennych oraz wykonywać dowolny kod – również złośliwy.
Tak zaatakowano kiedyś serwis Patreon.
Udostępnianie tego interfejsu w Internecie było na tyle częste, że autor modułu zdecydował się na zmiany w kodzie.
Od teraz, aby móc korzystać z konsoli, należy podać specjalny kod składający się z dziewięciu cyfr.
Są one wyświetlane za każdym razem gdy uruchamiamy naszą aplikację.
Teoretycznie problem rozwiązany – nikt nie wykona zdalnego kodu bez znajomości odpowiedniej kombinacji.
Tylko, że kod ten nie jest losowy.
Nie zmienia się z każdym uruchomieniem, ponieważ jest powiązany z konkretnym komputerem.
Jeśli więc często coś poprawiamy, nie musimy za każdym razem sprawdzać konsoli w poszukiwaniu odpowiedniego tekstu.

Tylko, że takie rozwiązanie niesie pewne konsekwencje.
Jeżeli na naszej stronie znajduje się błąd pozwalający na odczytanie dowolnego pliku z dysku serwera – możemy mieć kłopoty.
Kod PIN w głównej mierze oparty jest na wartości adresu MAC serwera oraz tak zwanym machine_id.
W przypadku Linuxa dane te znajdują się w plikach /sys/class/net/%nazwainferfejsu%/address oraz /etc/machine-id.
Znając algorytm oraz wartości tych plików możemy odtworzyć kod PIN i wykonać złośliwy kod na serwerze.
Szersze wytłumaczenie znajduje się w materiale video na YouTube.
Jest to przykład jak wygląda atakowanie nowoczesnych aplikacji.
Czasami pentester potrzebuje znaleźć więcej niż jeden błąd aby osiągnąć swój cel.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Podcast o bezpieczeństwie dostępny na Google i Apple Podcasts oraz Spotify i Anchor.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #gruparatowaniapoziomu #biznes #webdev #security #it #programowanie #programista15k #python

[KacperSzurek]

Wołam zainteresowanych (169) z listy od0dopentestera
Możesz zapisać/wypisać się klikając na nazwę listy.

! @KacperSzurek @Mashe @UrimTumim @porque @NERP @Smevios @Jakplus @Pioneer95 @ThatPart @szczeppan @Zielarz25 @press2210 @Dorrek @hiroszi @jerekp @Dyktus @bovver91 @Campell @ghostd @heow @Bakanany @arais_siara @Pies_Benek @HeinzDundersztyc @johnyboy @MojeTrzecieKonto @Deflaut @cytawek @dziki_bak

[KacperSzurek]

[KacperSzurek]

[KacperSzurek]

[azertyazerty]

dzieki!

[muskel]

@KacperSzurek super kanał oglądam z zaciekawieniem, miła odskocznia od angielskich materiałów a tym bardziej hinduskich. Chyba jedno z moich odkryć 2020 :)

[zortabla_rt]

@KacperSzurek: tym tokiem rozumowania, ssl też jest niebezpieczny bo wystarczy znać tajemny kod

[nastarkill]

Python ... do produkcyjnych stron www ... gdzie ktos zapomina wylaczyc debugger na prod .... kto wogole debuje prod ? ... chyba ze tak, w pythonie sie da, wiec czemu nie , nie potrzeba wtedy srodowiska testowego... generalnie to jak z socjalizmem, rozwiazywane sa problemy nie istniejace w innych systemach

[PruderyjnyPejoratyw]

@nastarkill: widać że zbyt wiele styczności z dzisiejszymi technologiami to ty nie masz :D

[nastarkill]

@PruderyjnyPejoratyw: stycznosc mam, ale czy wszystko co nowe jest super ?:)

[rt_of_vnt]

@nastarkill: to tak jak by pisac gre w PHP ... +

[nastarkill]

@rt_of_vnt: widzialem, gralem w 2005 w gry w PHP na Valheru ;) Takze sa, da sie, szybko mozna od**ć tylko smietnik

[KacperSzurek]

@muskel: Dzięki :)
@zortabla_rt: I tak i nie.
Rozpatrujemy tutaj sytuacje gdy strona posiada błąd pozwalający na pobranie dowolnego pliku z serwera.
I rzeczywiście – jeżeli nie jest wykorzystywany load balancer to istnieje spora szansa, że będzie możliwe pobranie pliku z kluczem prywatnym SSL.
Ten plik można potem w odpowiednich warunkach wykorzystać do podsłuchania transmisji bądź podszycia się pod daną domenę.

[ceerczy]

Działający debugger na prodzie? Debili nie sieją, jak widać.