Mert SARICA
Bir kaç gün önce geceleri rahat uyku uyumanıza yardımcı olan binlerce dolarlık web uygulama güvenlik tarayıcılarının basit bir güvenlik zafiyetini tespit etmekte ne kadar başarısız olduğuna ve bir kurum için 3. parti penetrasyon testlerinin, 3. bir gözün ne kadar değerli olduğuna bir kez daha tanık oldum.
Bir web uygulaması düşünün bu zamana dek web uygulama güvenlik tarama araçlarının ağır topları (HP Webinspect, IBM Appscan, Acunetix ve Netsparker) ile taranmış ve sql injection güvenlik zafiyeti adına bir tane bulgu ortaya çıkmamış. Uygulama oldukça büyük, ister istemez zaman ve kaynak kısıtlarından ötürü manual olarak siteyi baştan aşağıya test etmek mümkün değil. Durum böyle oluncada iş testi gerçekleştiren bilişim güvenlik uzmanlarının Jedi sezgisine ve kullanmış olduğu araçların becerisine kalıyor.
Gerçekleştirilen bu testlerde de olabildiğince fazla araç kullanmakta her zaman fayda var çünkü bir aracın bulamadığı bir güvenlik zafiyeti diğer bir araç, diğer iki aracın bulamadığı bir güvenlik zafiyetini ise diğer araç bulabiliyor. Tabii ki hiç bir araç manual testlerin yerini alamıyor ve yakın gelecektede almasını beklemiyorum.
Gün geliyor bu uygulama, yerli bir firmadan alınan penetrasyon testi hizmetinin kapsamına alınıyor. Tüm güvenlik mekanizmaları devre dışı bırakıldıktan sonra whitebox penetrasyon testi başlıyor ve çok geçmeden bu uygulama üzerinde zaman tabanlı blind sql injection güvenlik zafiyeti tespit ediliyor. Her ne kadar manual testlerin yerini hiç bir araç alamıyor olsada bu kadar üst düzey araçlar ile taranan bir uygulamada nasıl oluyorsa bu zafiyet keşfediliyor sorusu akıllara gelen ilk soru oluyor. Sorunun cevabı ise deyim yerindeyse samanlıkta iğne bulan bilişim güvenlik uzmanının Jedi sezgisi ve bu güvenlik zafiyetini tespit etmesini sağlayan 149 Pound değerindeki Burp Suite PRO aracı oluyor.
Bu anekdottan kurumlar ve bilişim güvenlik uzmanları kendileri için şu dersleri çıkarabilirler;
- 3. parti penetrasyon testlerinin önemi
- Binlerce dolarlık ticari araçlara çok fazla güvenmemek gerektiği
- Manual testlerin önemi
- Güvenlik testlerinde olduğunca fazla araçtan faydalanmak gerektiği
Bir sonraki yazıda görüşmek dileğiyle şimdiden herkese iyi haftasonları dilerim.
Not: Yazının başlığı neden mi Gaarrkkk ? İşte yanıtı :)
Güncelleme (27.10.2010): Netsparker dışındaki ürünler ile gerçekleştirilen testleri bizzat doğrulama imkanım olmuştu fakat Netsparker lisansım olmadığı için testi denetçi gerçekleştirmiş ve bulamadığını iletmişti bende buna istisneden listeye Netsparker ürününüde eklemiştim. Ferruh ile yaptığım görüşmeler neticesinde Netsparker ürünü ile aynı testi bizzat gerçekleştirme imkanım oldu ve ürünün bu zafiyeti tespit edebildiğine tanık oldum.
Denetçi ile yaptığım son görüşmede ise siteyi baştan sona Netsparker ile taratmadığını proxy modunda zafiyete sahip olan bölümü tarattığını öğrendim ve proxy modunda uygulamayı test ettiğimde bu zafiyeti bulamadığını teyit ettim.
Son durumda Netsparker’ın bu zafiyeti tam tarama seçeneği ile başarıyla tespit edebildiğini, proxy modundayken tespit edemediğini söylemek isterim, kullananlara duyurulur.
Mert SARICA
11 comments
Bu araçlar zaten normal şartlarda günleri alacak işlerde otomatik tarama yapmak ve yanında da manuel tarama yapmayı kolaylaştırmak için varlar. Anladığım kadarıyla sizin söylediğiniz; uçaklar gereksizdir, çünkü beni gitmek istediğim yere, kapı önüne bırakmıyorlar. Ben 149£’a bir çift ayakkabı aldım ve yürüyorum.
Hayır benim ifade etmek istediğim arkasında onlarca, yüzlerce kişinin AR-GE faaliyetlerini sürdürdüğü, büyük yatırımların yapıldığı bu ticari araçların, arkasında bir tane yazılımcının bulunduğu 149 Pound değerindeki aracın bulabildiği basit bir güvenlik zafiyetini bulamadığıdır kısaca fiyat ve performans açısından sınıfta kalmışlardır. Uçak ve ayakkabı aynı segmentte olmadığı için son model spor bir araba ile orta halli bir arabanın kıyaslanma örneği daha doğru olacaktır.
Forza manual tests, Forza Burp :P :))
Kimse manuel testleri gereksiz bulmuyordur heralde. Ama yeterli olduğunu da iddia etmeye gerek yok. İkisi birbirinin tamamlayıcısı.
Bahse konu programlar da bunu kolaylaştırmak için çalışmalar yapmak zorundalar.
Esasında sorun, problemin tanımlanmasındaki kısıtlardan kaynaklanıyor.Probleme en çok yaklaşan çözüme de en çok yaklaşan oluyor.Olabilecek bütün ihtimalleri görebilmek çok zor.., manuelde ise duruma göre yorum kabiliyeti giriyor işin içine…
“arkasında bir tane yazılımcının bulunduğu 149 Pound değerindeki aracın bulabildiği basit bir güvenlik zafiyetini bulamadığıdır kısaca fiyat ve performans açısından sınıfta kalmışlardır.” biraz iddialı bir cümle olmuş. Bulamadıkları “basit bir açık” yüzünden diğer araçları sınıfta bırakmak bence pek insaflı değil. Yada şöyle söyleyeyim diğerlerinin bulduğu herşeyi 149 Pound’lukta bulabiliyorsa bunu söyleyebilirsiniz. Web uygulama güvenliği tarayıcılarını kapsayan birkaç test raporu dolanıyor internette hangisi neyi buldu, performans, zaman vs… bence onları inceledikten sonra tekrar düşünün derim.
Açıkçası o test raporlarını pek kayda değer bulmuyorum çünkü çoğu webgoat üzerinde gerçekleştiriliyor.
Seninde bildiğin gibi IBM ve HP’ninde güvenlik açıklarıyla dolu demo siteleri var ve bu araçlar bu siteler üzerinde güzel tüm güvenlik açıklarını tespit ediyorlar fakat benim için asıl önemli olan benim ortamımda neleri bulup neleri kaçırdıklarıdır.
Burp’te olan basit bir waitfor delay kontrolü diğer 4 ticari üründe yoksa ben isyan bayrağını çekerim kimse kusura bakmasın :)
tek bir durum icin bence yinede fazla siddetli bir yorum olmus, pire icin yorgan yakmak gibi geliyor bana. ayrica bahsi gecen yazilimlardan netsparkerin waitfor delay kontrolu yaptigini biliyorum, onu yapmasa false-positive denmezdi zaten :)
O ürünlerin hepsinde waitfor delay kontrolü var fakat burp suite pro’da yer alan örneklerden bir tanesini kullanmadıkları için tespit ed
O ürünlerin hepsinde o kontrol var fakat burp suite pro’da yer alan örneklerden bir tanesini kullanmadıkları için tespit edemiyorlar kısaca time based sql injection için imza setlerinde eksikler var.
4.5