JavaScript / Ajax / DOMMutation या SlimerJS + CasperJS + Magic = लाभ के साथ स्कैनिंग

आज, BurpSuite, ModSecurity, Garmr, आदि के साथ संयोजन में PhantomJS का उपयोग करके वेब एप्लिकेशन सुरक्षा परीक्षण को स्वचालित करने का विषय फिर से बहुत सक्रिय रूप से विकसित हो रहा है। मैं कोई अपवाद नहीं था, मैं जावास्क्रिप्ट, अजाक्स और डॉम्यूटेशन के समर्थन के साथ एक कार्य प्रोटोटाइप स्कैनर के बारे में अपने विकास के अनुभव को आपके साथ साझा करना चाहूंगा। शायद यह किसी को अपना समाधान विकसित करने में मदद करेगा, जो बहुत बेहतर होगा। मैं बिल्ली के नीचे सभी दिलचस्पी पूछना :-)

मुझे आशा है कि कोई भी तर्क नहीं देगा कि मौजूदा वेब एप्लिकेशन विभिन्न तकनीकों से एक अवर काढ़ा हैं और आगे सर्वर से क्लाइंट तक अधिक तर्क चलता है। बेशक, यह सूचना सुरक्षा के विभागों को प्रभावित नहीं कर सकता है, जो पहले से ही अक्सर इतने बड़े नहीं होते हैं, और यहां परिचित स्वचालित परीक्षण विधियां बस टूट जाती हैं। एक बिंदु पर, यह स्पष्ट हो गया कि समाधानों के प्रारंभिक विश्लेषण के लिए, स्थैतिक विश्लेषण और सामान्य html-parser + fuzzer योजना अब पर्याप्त नहीं थी। इसलिए इस मुद्दे की जांच करने और इसके बारे में कुछ करने की कोशिश करने का निर्णय लिया गया।

जावास्क्रिप्ट, अजाक्स और म्यूटेशन के लिए समर्थन इतना महत्वपूर्ण क्यों है?

क्योंकि कोई अन्य तरीका नहीं है :-) इतिहास बहुत सारे उदाहरणों को जानता है जब सुरक्षा स्कैनर में भी सबसे सरल जावास्क्रिप्ट समर्थन की अनुपस्थिति ने उनकी प्रभावशीलता को कम कर दिया। उदाहरण के लिए, Yandex.Mail में CSRF - यदि आप उपयोगकर्ता सेटिंग्स को GET मापदंडों पर स्थानांतरित करते हैं, तो बैकेंड ईमानदारी से एक अमान्य CSRF टोकन के बारे में एक त्रुटि के साथ जवाब देगा और फिर जावास्क्रिप्ट इंजन उसी अनुरोध (!) को आगे बढ़ाएगा, लेकिन पहले से ही एक वैध टोकन के साथ अनुरोध को पूरक कर रहा है :) यह पता चला है, साथ! बैकएंड की स्थिति सही से अधिक है, लेकिन क्लाइंट की स्थिति से ... या किसी भाषा में पत्र का अनुवाद करते समय XSS - एक समान कहानी, एक आदिम भेद्यता जो w3af और अन्य जैसे यह पता नहीं लगा सका। वर्तमान समय में जावास्क्रिप्ट समर्थन की कमी केवल अस्वीकार्य है और इसे ठीक करने के लिए कड़ी मेहनत करने की आवश्यकता है।

कैसे हो?

मैंने मौजूदा विचारों का लाभ उठाने और अपने पसंदीदा स्लिमरजेएस और कैस्परजेएस के आधार के रूप में लेने का फैसला किया और "पैथोलॉजी", एक्सएसएस कमजोरियों, और अधिक की पहचान करने के लिए डोम तत्वों + उत्परिवर्तन निगरानी की घटनाओं की पुनरावृत्ति करने की क्षमता के साथ एक क्रॉलर प्राप्त करने का प्रयास किया। फैंटमज क्यों नहीं? क्योंकि यह अभी तक MutationObserver का समर्थन नहीं करता है, जिसे मुझे म्यूटेशन के विश्लेषण के लिए आवश्यक था। और इसलिए, मैंने चार बड़े ब्लॉकों से मिलकर एक समग्र प्रणाली की कल्पना की:
* क्रोबलर, जो एक बंदर के रूप में हमारी ज़रूरत की सभी घटनाओं को दरकिनार कर देता है और औपचारिक नियमों के आधार पर म्यूटेशन को ट्रैक करता है
* एक छद्म जो आगे के संवेदनशील संवेदी चेकों को आगे बढ़ाने और लॉन्च करने के लिए डेटा एकत्र कर सकता है
* वेब अनुप्रयोग में फिक्स्चर, पूर्व-तैयार लेबल के साथ जिन्हें हम परीक्षण प्रक्रिया के दौरान ध्यान केंद्रित कर सकते हैं।
* पिछले स्कैन परिणामों के साथ डिफ-आधारित रिपोर्ट
उनमें से अधिकांश जो मैंने पहले लागू किए थे, और इसलिए मैंने पहले भाग पर ध्यान केंद्रित किया (यदि रुचि है, तो मैं बाकी के बारे में बात करूंगा)। सामान्य ऑपरेशन एल्गोरिथ्म जो मैं देखता हूं, दो बड़े वर्गों में विभाजित है - पृष्ठ प्रसंस्करण और घटना प्रसंस्करण, एक सरलीकृत रूप में कुछ इस तरह दिखता है:

जैसा कि आप देख सकते हैं, सब कुछ काफी सरल है, हालांकि अभी तक सही नहीं है, धारणा की सादगी के लिए, मैंने केवल मुख्य ब्लॉकों को आकर्षित किया। एक वेब एप्लिकेशन की कल्पना करें जो उपयोगकर्ताओं को प्रदर्शित करता है और अजाक्स अनुरोध द्वारा प्राप्त अतिरिक्त जानकारी प्रदर्शित करने के लिए क्लिक करता है:

यहाँ उपलब्ध है: http://crawl-test.mmmkay.info/ ।
प्रारंभिक कदम: https://github.com/dharrya/monkey-crawler/tree/master/tests
उदाहरण के लिए, यदि आप वेबस्पाइडर प्लगइन के साथ w3af चलाते हैं, तो कोई अजाक्स अनुरोधों का पता नहीं लगाया जाएगा, लेकिन इस बीच वे कई स्पष्ट कारणों के लिए अक्सर कमजोर होते हैं। स्किपफिश के पास उसी परिणाम के बारे में होगा।
मैंने एल्गोरिथ्म के काम करने की पुष्टि करने के लिए एक छोटा प्रोटोटाइप तैयार किया है, जो गिथब पर उपलब्ध है। परियोजना के मूल में एक परीक्षण स्क्रिप्ट "test.js" है:

(function start(require) { "use strict"; var Spider = require('lib/spider').Spider; var utils = require('utils'); var startTime = new Date().getTime(); var spider = new Spider(); var url = 'https://github.com/dharrya'; if (spider.cli.has(0)) url = spider.cli.get(0); spider.initialize({ targetUri: url, eventContainer: undefined }); spider.start(url); spider.then(spider.process); spider.run(function() { this.echo('\n<---------- COMPLETED ---------->\n'); var deltaTime = new Date().getTime() - startTime; deltaTime = (deltaTime / 1000).toFixed(2); this.echo('time: ' + deltaTime + 'sec'); this.echo('Processed pages:' + this.pagesQueue.length); utils.dump(this.pages); spider.exit(); }); })(require); 

जिसका सार प्रक्रिया शुरू करना और "कच्चा" परिणाम दिखाना है, हम मेरे उदाहरण का उपयोग करके परीक्षण करेंगे:

 $ ./test.sh http://crawl-test.mmmkay.info <---------- COMPLETED ----------> time: 3.61sec Processed pages:1 [ { "url": "http://crawl-test.mmmkay.info/", "opened": true, "processed": true, "reloadCount": 0, "status_code": 200, "jsErrors": [], "xss": [], "xssHashMap": [], "pages": [], "events": [ { "eventType": "click", "path": "id(\"user-Lisa\")/DIV[3]/BUTTON[1]", "parentEvent": null, "depth": 0, "status": "completed", "completed": true, "deleted": false, "xss": [], "xssHashMap": [], "events": [ { "eventType": "click", "path": "//DIV[4]", "parentEvent": null, "depth": 1, "status": "completed", "completed": true, "deleted": false, "xss": [], "xssHashMap": [], "events": [], "resourses": [] } ], "resourses": [ "http://crawl-test.mmmkay.info/user/Lisa.json" ] }, { "eventType": "click", "path": "id(\"user-Jimmy\")/DIV[3]/BUTTON[1]", "parentEvent": null, "depth": 0, "status": "completed", "completed": true, "deleted": false, "xss": [ { "innerHtml": "Another XSS...", "path": "id(\"userInfoDescription\")/XSSMARK[1]", "initiator": null, "dbRecord": null } ], "xssHashMap": [ 0 ], "events": [], "resourses": [ "http://crawl-test.mmmkay.info/user/Jimmy.json" ] }, { "eventType": "click", "path": "id(\"user-Mark\")/DIV[3]/BUTTON[1]", "parentEvent": null, "depth": 0, "status": "completed", "completed": true, "deleted": false, "xss": [], "xssHashMap": [], "events": [], "resourses": [ "http://crawl-test.mmmkay.info/user/Mark.json" ] }, { "eventType": "click", "path": "id(\"user-Tommy\")/DIV[3]/BUTTON[1]", "parentEvent": null, "depth": 0, "status": "completed", "completed": true, "deleted": false, "xss": [], "xssHashMap": [], "events": [], "resourses": [ "http://crawl-test.mmmkay.info/user/Tommy.json" ] } ], "deferredEvents": [], "startTime": 1391266464847, "endTime": 1391266466787, "resourses": [ "http://crawl-test.mmmkay.info/" ] } ] 

उपयोगकर्ता डेटा के लिए पूछ रहे अजाक्स की घटनाओं को देखें? यह वही है जो हमें चाहिए! मैं सहमत हूं, वर्तमान डिबग आउटपुट थोड़ा बेमानी है, लेकिन जानकारीपूर्ण है। इससे यह देखा जा सकता है कि उन्होंने "अधिक जानकारी" बटन की घटनाओं को संसाधित करते समय अतिरिक्त अनुरोधों की सफलतापूर्वक खोज की, जिसे भविष्य में फिर से बनाया जा सकता है। इसके अलावा, वेब एप्लिकेशन में जुड़नार के लिए धन्यवाद, वह उत्परिवर्तन में XSS का तुरंत पता लगाने में सक्षम था, जिसे उसने रिपोर्ट किया था। अब तक यह बहुत तेजी से काम नहीं कर रहा है, लेकिन मैं अपने खाली समय में इस पर सक्रिय रूप से काम कर रहा हूं। एक और उत्कृष्ट उदाहरण लिंकिन है, यहाँ इसके 5 पृष्ठों के लिए काम का परिणाम है (मुख्य एक से शुरू):

ग्रीन नोड्स - संसाधित आइटम इवेंट
ब्लू - संसाधन जो उनके प्रसंस्करण के दौरान अनुरोध किए गए थे
जैसा कि आप देख सकते हैं, बहुत सारे "चेन" इवेंट्स वाले वेब एप्लिकेशन में, यह दृष्टिकोण प्रभावी हो सकता है!

परिणाम

मुझे लगता है कि भविष्य में इस विचार को एक पूर्ण वेब अनुप्रयोग सुरक्षा स्कैनर के रूप में विकसित करना होगा और इसे बाकी बाइंडिंग (यदि मैनुअल अनुमति देता है) में जोड़ दें, शायद W3af या मिनियन के लिए प्लग-इन के रूप में। लेकिन इससे पहले प्रदर्शन और महत्वपूर्ण विशेषताओं से संबंधित कई अनसुलझे मुद्दे बने हुए हैं।
मुझे आशा है कि मैं आपसे बहुत थक नहीं गया हूँ और यदि मेरा प्रयास किसी को स्पष्ट रूप से व्यक्त करने का प्रबंधन नहीं कर सकता है तो मैं किसी के लिए उपयोगी होगा - कहते हैं, मैं कवर को तोड़ने की कोशिश करूँगा।