Teste de invasão de aplicações web

513 Pages·2013·11.449 MB·Portuguese

by  Nelson Uto

Teste de Invasão
Aplicações
de
Web

Nelson Uto

Teste de Invasão
de Aplicações
Web
Nelson Uto

Teste de Invasão
de Aplicações
Web
Nelson Uto
Rio de Janeiro
Escola Superior de Redes
2013
Copyright © 2013 – Rede Nacional de Ensino e Pesquisa – RNP
Rua Lauro Müller, 116 sala 1103
22290-906 Rio de Janeiro, RJ
Diretor Geral
Nelson Simões
Diretor de Serviços e Soluções
José Luiz Ribeiro Filho
Escola Superior de Redes
Coordenação
Luiz Coelho
Edição
Pedro Sangirardi
Coordenação Acadêmica de Segurança e Governança de TI
Edson Kowask
Equipe ESR (em ordem alfabética)
Celia Maciel, Cristiane Oliveira, Derlinéa Miranda, Elimária Barbosa, Lanusa Silva,
Lourdes Soncin, Luciana Batista, Luiz Carlos Lobato, Renato Duarte e Sergio de Souza
Capa, projeto visual e diagramação
Tecnodesign
Versão
1.1.0
Este material didático foi elaborado com fins educacionais. Solicitamos que qualquer erro encon-
trado ou dúvida com relação ao material ou seu uso seja enviado para a equipe de elaboração de
conteúdo da Escola Superior de Redes, no e-mail [email protected]. A Rede Nacional de Ensino e
Pesquisa e os autores não assumem qualquer responsabilidade por eventuais danos ou perdas, a
pessoas ou bens, originados do uso deste material.
As marcas registradas mencionadas neste material pertencem aos respectivos titulares.
Distribuição
Escola Superior de Redes
Rua Lauro Müller, 116 – sala 1103
22290-906 Rio de Janeiro, RJ
http://esr.rnp.br
[email protected]
Dados Internacionais de Catalogação na Publicação (CIP)
U91s UTO, Nelson.
Teste de invasão de aplicações web / Nelson Uto. – Rio de Janeiro: RNP/ESR, 2013.
510 p. : il. ; 27,5 cm
ISBN 978-85-63630-17-9
1. Computadores – Medidas de segurança. 2. Hackers. 3. Software –Manutenção. –
Testes. 4. Crime por computador – Prevenção. I. Título.
CDD 005.8
Sumário
1. Segurança em aplicações web
Introdução 1
Exercício de nivelamento 1 – Desenvolvimento de software 3
Ciclo de desenvolvimento de software seguro 3
Exercício de fixação 1 – Atividades de segurança 5
OWASP 5
Arquiteturas e tecnologias de aplicações web 6
Exercício de nivelamento 2 – Requisitos de segurança 8
Revisão de criptografia 8
Cifras 9
Funções de hash criptográficas 11
MACs 11
Assinaturas digitais 12
Certificados digitais 12
Protocolos SSL e TLS 13
Exercício de fixação 2 – Segurança da informação 15
Revisão dos protocolos HTTP e HTTPS 16
Requisição 16
Resposta 17
Métodos 18
Códigos de estado 18
Cabeçalhos 18
Cookies 19
Autenticação HTTP 19
Exercício de fixação 3 – Protocolo HTTP 20
iii
Esquemas de codificação 20
Codificação de URL 20
Codificação HTML 21
Roteiro de Atividades 1 23
Atividade 1 – Arquiteturas e tecnologias de aplicações web 23
Atividade 2 – Mecanismos criptográficos 23
Bibliografia 1 34
2. Reconhecimento e mapeamento
Introdução  37
Exercício de nivelamento 1 – Teste de invasão 38
Metodologia de teste de invasão 39
Exercício de fixação 1 – Etapas de um teste de invasão 42
Ferramentas básicas 42
Navegadores web 43
Proxies de interceptação 44
Web spiders 46
Fuzzers 47
Varredores de portas e serviços 47
Varredores de vulnerabilidades 48
Outras ferramentas 49
Exercício de fixação 2 – Tipos de ferramentas 50
Reconhecimento 51
Levantamento de informações em fontes públicas 52
Google hacking 52
Identificação de sistema operacional, serviços e portas 55
Identificação do servidor web 56
Levantamento dos métodos suportados pelos servidores web 59
Detecção de hosts virtuais 59
Descoberta de arquivos e diretórios 60
Exercício de fixação 3 – Fase de reconhecimento 62
Mapeamento 62
Cópia das páginas e recursos da aplicação 62
Identificação dos pontos de entrada de informação 63
Relacionamento com as informações de reconhecimento 64
Exercício de nivelamento 2 – Validação unilateral 64
iv
Descoberta de vulnerabilidades e exploração 65
Exploração de controles no lado cliente 65
Exercício de fixação 4 – Segurança de controles 67
Contramedidas 67
Roteiro de Atividades 2 69
Atividade 1 – Ferramentas básicas 69
Atividade 2 – Reconhecimento 74
Atividade 3 – Mapeamento 79
Atividade 4 – Descoberta e exploração de vulnerabilidades 82
Bibliografia 2 85
3. Teste do mecanismo de autenticação
Introdução 87
Exercício de fixação 1 – Autenticação de usuário 88
Exercício de nivelamento 1 – Autenticação de entidades 88
Tecnologias de autenticação empregadas em aplicações web 89
Exercício de nivelamento 2 – Vulnerabilidades  94
Descoberta de vulnerabilidades e exploração 94
Uso de informações obtidas nas fases de reconhecimento e mapeamento 95
Usuário e senha padronizados 97
Enumeração de identificadores de usuários 98
Mecanismo vulnerável de recuperação de senhas 101
Funcionalidade ‘Lembrar usuário’ 103
Transporte inseguro de credenciais de acesso 103
Falhas na implementação do mecanismo 104
Mecanismo vulnerável de troca de senhas 107
Autenticação com múltiplos fatores 108
Ataque de força bruta 109
Ataque de dicionário 110
Ataque contra senhas armazenadas 114
Inexistência de política de senhas forte 117
Negação de serviço direcionada a usuários 119
Engenharia social 119
Exercício de fixação 2 – Vulnerabilidades em mecanismos de autenticação 120
Contramedidas 120
v
Roteiro de Atividades 3 123
Atividade 1 – Tecnologias de autenticação  123
Atividade 2 – Descoberta de vulnerabilidades e exploração 123
Bibliografia 3 132
4. Teste do gerenciamento de sessões
Introdução 133
Exercício de fixação 1 – Identificador de sessão 135
Exercício de nivelamento 1 – Gerenciamento de sessões 136
Descoberta de vulnerabilidades e exploração 136
Identificadores de sessão previsíveis 136
Domínio de identificadores com baixa cardinalidade 140
Transmissão em claro de identificadores de sessão 141
Manipulação de identificador de sessão por meio de scripts 142
Atributos de cookies 144
Exercício de fixação 2 – Atributos para proteção 146
Sequestro de sessão 146
Ataque de fixação de sessão 147
Encerramento vulnerável de sessão 152
Sessões simultâneas de um mesmo usuário 152
Cross site request forgery 153
Exercício de fixação 3 – Cross site request forgery 157
Clickjacking 157
Contramedidas 163
Roteiro de Atividades 4 165
Atividade 1 – Introdução ao gerenciamento de sessões  165
Atividade 2 – Descoberta de vulnerabilidades e exploração 165
Bibliografia 4 177
5. Cross-site scripting
Introdução 179
Exercício de nivelamento 1 – Cross-site scripting 180
Tipos de XSS 180
XSS refletido 181
XSS armazenado 182
vi