جلسه ۲۲ : بررسی سروریس های وب در تست امنیت

• جزئیات
• نوع محتواآموزشی

سلام به همه پی وی لرنی های عزیز!
به دوره آموزش تست امنیت Security Testing خوش آمدید.
امروزه به صورت گسترده ای از اینترنت و دنیای وب استفاده می شود و جهان ما اکنون یک جهان آنلاین است که در آن بسیاری از مشاغل به سمت اینترنتی شدن پیش می روند. امروزه ما با پدیده های گسترده خرید و فروش در بستر اینترنت رو به رو هستیم؛ نمونه جهانی آن سایت آمازون است و نمونه ایرانی آن هم سایت دیجیکالا است.
خطرات و تهدید های زیادی در اینترنت وجود دارد؛ از هکر هایی که سعی می کنند از طریق روش های گوناگون از جمله فیشینگ اطلاعات کارت بانکی شما را سرقت کنند تا بد افزار هایی که قصد اختلال در سیستم کامپیوتری شما را دارند و البته ویروس های کامپیوتری و تروجان ها و غیره و غیره.
داده ها و اطلاعات کاربران و البته وبسایت ها ممکن است به سرقت برده شوند؛ مورد سوء استفاده قرار بگیرند و یا در فضای عمومی و بدون خواست صاحبان آن عرضه شوند. تست امنیت Security Testing امروزه مبحث داغ امنیت است تا آسودگی خیال افراد را در بستر اینترنت فراهم کند.
در جلسه گذشته به بررسی امنیت AJAX در تست امنیت پرداختیم؛ از آنجا که این یک فناوری جدید است، بسیاری از مسائل امنیتی مربوط به آن و رفع تقص های امنیتی آن  هنوز تکمیل نشده اند و نیاز به بررسی و دقت دارند تا نقص های امنیتی شان برطرف شود.
در این جلسه قرار است به بررسی سروریس های وب در تست امنیت بپردازیم.

بررسی سروریس های وب در تست امنیت

در برنامه های مدرن مبتنی بر وب، استفاده از خدمات وب اجتناب ناپذیر است اما بعضی از این برنامه ها در معرض حملات وب قرار می گیرند؛ از آنجا که سرویس های وب درخواست fetch از چندین وب سایت را دارند، برای جلوگیری از هرگونه نفوذ توسط هکرها، مجبور به انجام اقدامات اضافی هستند.

Hands ON

مرحله ۱ – به قسمت خدمات وب Webgoat و به WSDL Scanning بروید. اکنون باید جزئیات کارت اعتباری ای را از یک شماره حساب دیگر بدست آوریم. عکس زیر نشان دهنده این سناریو است.

یافتن جطئیات کارت اعتباری از یک حساب دیگر – بررسی سروریس های وب در تست امنیت

مرحله ۲ – اگر نام اول را انتخاب کنیم ، فراخوانی تابع ‘getFirstName’ از طریق درخواست SOAP xml انجام می شود.

انتخاب نام اول – بررسی سروریس های وب در تست امنیت

مرحله ۳ – با باز کردن WSDL ، می بینیم که روشی برای بازیابی اطلاعات کارت اعتباری و همچنین “getCreditCard” وجود دارد. اکنون اجازه دهید ورودی ها را با استفاده از مجموعه Burp مطابق شکل زیر – دستکاری کنیم -.

دستکاری ورودی ها با استفاده از مجموعه Burp – بررسی سروریس های وب در تست امنیت

مرحله ۴ – بیایید حالا ورودی ها را با استفاده از مجموعه Burp مطابق شکل زیر اصلاح کنیم.

اصلاح ورودی ها با استفاده از مجموعه Burp – بررسی سروریس های وب در تست امنیت

مرحله ۵ – می توان اطلاعات کارت اعتباری سایر کاربران را نیز بدست آورد.

به دست آوردن اطلاعات کارت اعتباری سایر کاربران – بررسی سروریس های وب در تست امنیت

مکانیسم های پیشگیرانه

• از آنجا که پیام های SOAP مبتنی بر XML هستند، تمام اعتبارنامه/credentials منتقل شده باید به قالب متن تبدیل شوند. از این رو باید در انتقال اطلاعات حساس که باید همیشه رمزگذاری شود مراقب بود.
• حفاظت از یکپارچگی پیام با اجرای سازوکارهایی مانند checksum که برای اطمینان از یکپارچگی بسته اعمال می شود.
• محافظت از محرمانه بودن پیام – رمزگذاری نامتقارن برای محافظت از کلیدهای جلسه متقارن اعمال می شود که در بسیاری از پیاده سازی ها فقط برای یک ارتباط معتبر هستند اما بعد از مدتی از آن دور می شوند.

سخن پایانی

در این جلسه به بررسی سروریس های وب در تست امنیت پرداختیم؛ در برنامه های مدرن مبتنی بر وب، استفاده از خدمات وب اجتناب ناپذیر است اما بعضی از این برنامه ها در معرض حملات وب قرار می گیرند؛ از آنجا که سرویس های وب درخواست fetch از چندین وب سایت را دارند، برای جلوگیری از هرگونه نفوذ توسط هکرها، مجبور به انجام اقدامات اضافی هستند.
در جلسه بعدی به Buffer Overflows خواهیم پرداخت.
با پی وی لرن همراه باشید.