投影片 1

Size: px

Start display at page:

Download "投影片 1"

回为闵
4 years ago
Views:

1 ModSecurity 報告人 : 吳惠麟

2 大綱網站系統漏洞 Shell shock (CVE ) Heartbleed (cve ) Apache killer (cve ) ModSecurity 2

3 ShellShock Bash 對環境變數的解析 Gnu bash 4.3 之前 3

4 ShellShock 偵測 env VAR='() { :;}; echo Bash is vulnerable!' bash -c "echo Bash Tes 4

5 test-cgi Apache 預設測試檔案利用環境變數顯示 HTTP 相關資訊 5

6 Heartbleed 洩漏記憶體內容受影響版本 :OpenSSL ~1.0.1f 程式撰寫錯誤, 非 SSL 通訊協定的問題 6

7 Heartbleed 建議確認 openssl 版本是否在受影響的版本內利用 telnet 測試網站所搭配的 SSL 版本 7

8 Heartbleed 建議可利用線上偵測網站或偵測程式更新 openssl 至 1.0.1g 利用相關資安設備阻擋 heartbleed 的攻擊 iptables -A INPUT -p tcp --dport 443 -m u32 --u32 "52=0x :0x1803FFFF" -j DROP 如果可能, 更換所有的密碼 8

9 攻擊手法 - (Denial of Service) 癱瘓攻擊程式本身的漏洞大量封包服務網路通訊的弱點型式單一拒絕服務攻擊分散式拒絕服務攻擊 9

10 D.o.S (Apache Killer) 10

11 D.o.S (Windows) 11

12 Apache Killer 利用通訊協定的漏洞攻擊 (apache 之前版本 ) 利用表頭 (Header) 的 range 欄位攻擊正常一個 Request 即回覆一個頁面 Range 允許一個 Request 可回覆頁面中多個不同區段的內容, 籍此消耗光主機資源無需利用太多機器即可攻擊成功 12

13 Apache Killer 預設存取網頁方式 ( 一個 Request, 一個 Response) telnet [ 網站伺服器所在的主機位址 ] 80 GET /index.html HTTP/1.1 13

14 Apache Killer 以 range 欄位存取頁面 telnet [ 網站伺服器所在的主機位址 ] 80 GET /index.html HTTP/1.1 Range: bytes= , ,

15 ModSecurity Apache 模組 WEB 應用程式防火牆 (WAF) 完整的 HTTP 封包記錄功能提供彈性正規化規則表示法來過濾惡意的 HTTP 存取即時監控及偵測惡意的 HTTP 行為抵擋 SQL injection attacks cross-site scripting path traversal attacks 等相關的 WEB 攻擊 15

16 Embed 內嵌於 WEB 16

17 Proxy- 獨立 17

18 網站伺服器存取 18

19 網站伺服器存取 19

20 ModSecurity Phase 20

21 ModSecurity Phase Request headers (REQUEST_HEADERS,phase 1) 當網站伺服器接收到客戶端的 http 要求, 正在解析 http 表頭 (header) 的階段 Request body (REQUEST_BODY,phase 2) 當網站伺服器接收到客戶端的 http 要求, 正在解析 http 內容 (body) 的階段 21

22 ModSecurity Phase Response headers (RESPONSE_HEADERS,phase 3) 當網站伺服器回覆到客戶端的 http 要求, 在回覆 http 標頭 (header) 的階段 Response body (RESPONSE_BODY,phase 4) 當網站伺服器回覆到客戶端的 http 要求, 在回覆 http 內容 (body) 的階段 22

23 ModSecurity Phase Logging (LOGGING,phase 5) 在網站伺服器要寫入 log( 如 access.log error.log) 的階段 23

24 Configuration Directives SecRuleEngine On Off DetectionOnly 是否開啟解析規則 (RULE) 功能 DetectionOnly: 僅偵測不做破壞性 (disruptive ) 動作 24

25 Configuration Directives SecServerSignature 偽裝為其它網站伺服器 EX:SecServerSignature Microsoft-IIS/6.0 25

26 Configuration Directives SecRule VARIABLES OPERATOR [ACTIONS] VARIABLES:HTTP 通訊協定相關資料 OPERATOR: 比對條件 ACTIONS: 執行動作 26

27 SecRule Request variable 變數名稱 REQUEST_HEADERS REQUEST_LINE REQUEST_METHOD REQUEST_BODY QUERY_STRING ARGS_POST ARGS_GET 說明所有的 Request Header 的欄位 REQUEST_LINE 資訊所使用的 HTTP 方法 (GET POST ) Request 的內容 Request 利用 GET 傳遞的參數以 POST 的方式上傳的參數資訊以 GET 的方式上傳的參數資訊 27

28 SecRule Response variable 變數名稱 RESPONSE_HEAD ERS RESPONSE_PROT OCOL RESPONSE_STATU S RESPONSE_CONT ENT_LENGTH RESPONSE_CONT ENT_TYPE RESPONSE_BODY 說明回覆 (Response) 的標頭 (HEADER) 資訊網站回覆狀態 (ex:404) 網站回覆狀態資訊回覆網頁的大小回覆網頁的型態 (TYPE) 回覆網頁的內容 28

29 SecRule-OPERATOR (ge, eq,gt,le,lt) : 大於, 等於, 小於 beginswith: 比對輸入的開頭是否符合 Contains: 比對輸入有包含的字串是否符合 endswith: 比對輸入的結尾是否符合 ipmatch: 比對輸入中的 IP 字串是否符合 Strmatch: 比對字串是否符合正規表示法 29

30 SecRule-Action Action allow Deny append exec redirect log 說明如果符合條件就允許如果符合條件就中斷如果符合條件就在回覆的訊息上加上字串如果符合條件就設定執行某個程式如果符合條件就設定轉址到某個 URL 如果符合條件即記錄 30

31 Secrule example SecRule ARGS_POST "id:152,log,deny SecRule ARGS_GET "id:154,log,deny SecRule ARGS_POST "id:153,log,deny SecRule ARGS_GET "id:155,log,deny" 31

32 Configuration Directives SecRequestBodyAccess On Off 設定是否要解析 Request 的內容 (BODY) SecRequestBodyLimit 設定能夠處理的要求 (Request) 封包內容 (body) 的大小 (bytes) 32

33 Configuration Directives SecRequestBodyInMemoryLimit 設定可用來處理要求 (Request) 封包內容 (body) 的記憶體容量 SecRequestBodyLimitAction reject ProcessPartial 設定當要求 (Request) 封包內容 (body) 超過所設定的大小, 所要採取的行動 33

34 Configuration Directives SecResponseBodyAccess 設定是否要解析 Response 的內容 (BODY) SecResponseBodyLimit 設定能夠處理的要求 (Response) 封包內容 (body) 的大小 (bytes) 34

35 Configuration Directives SecResponseBodyLimitAction 設定當回覆 (Reponse) 封包內容 (body) 超過所設定的大小, 所要採取的行動 SecResponseBodyMimeType 設定當回覆 (Reponse) 的 MIME 型態 (ex: text/html) 35

36 Configuration Directives SecAuditEngine On Off RelevantOnly On: 開啟, 會記錄所有的資訊 Off: 不記錄資訊 RelevantOnly: 僅記錄有錯誤或警告的記錄 36

37 Configuration Directives SecAuditLogStorageDir 設定稽核 LOG 儲存的目錄 SecAuditLog 設定稽核 LOG 儲存檔案 SecAuditLogParts 設定要儲存 LOG 儲存檔案的欄位 37

38 Configuration Directives SecAuditLogType 儲存稽核 LOG 的類型 ( 單一或多個 ) SecAuditLogRelevantStatus 僅儲存符合相關 HTTP 回覆碼的記錄 38

39 LOG EXAMPLE SecAuditEngine RelevantOnly SecAuditLog logs/audit/audit.log SecAuditLogParts ABCFHZ SecAuditLogType concurrent SecAuditLogStorageDir logs/audit SecAuditLogRelevantStatus ^(?:5 4(?!04)) 39

40 Example 0 ( 初始化設定 ) SecRuleEngine on SecRequestBodyAccess On SecRequestBodyLimit SecRequestBodyInMemoryLimit SecRequestBodyNoFilesLimit SecRequestBodyLimitAction Reject SecResponseBodyAccess On 40

41 Example 1 <IfModule mod_security2.c> SecRuleEngine On SecServerSignature "Microsoft-IIS/5.0 </IfModule> 41

42 Example 2 <IfModule mod_security2.c> SecRule ARGS_POST "@detectsqli" "id:152,log,deny" SecRule ARGS_GET "@detectsqli" "id:160,log,deny" </IfModule> 42

43 Example 3 <IfModule mod_security2.c> SecRule ARGS_POST "@detectxss" "id:153,log,deny" SecRule ARGS_GET "@detectxss" "id:161,log,deny </IfModule> 43

44 Example 4 <IfModule mod_security2.c> SecRule REMOTE_ADDR "140\.117\.71\.25$" "id:200,deny </IfModule> 44

45 Example 5 <IfModule mod_security2.c> SecRule REMOTE_ADDR "140\.117\.71\.25$" "redirect: </IfModule> 45

46 Example 6 <IfModule mod_security2.c> SecContentInjection on SecRule RESPONSE_CONTENT_TYPE ^text/html "phase:3,nolog,pass,prepend:'<script>alert(\"ho..ho.. this module_security\")</script>',id:210" </IfModule> 46

47 Example 7 <IfModule mod_security2.c> SecRule REQUEST_HEADERS:Range REQUEST_HEADERS:Requ est-range "^bytes=(\d+)?\-(\d+)?\,\s?(\d+)?\- (\d+)?\,\s?(\d+)?\-(\d+)?\,\s?(\d+)?\-(\d+)?\,\s?(\d+)?\- (\d+)?\," "phase:1,id:230,log,deny </IfModule> 47

48 Example 8 <IfModule mod_security2.c> SecAuditLog logs/audit.log SecAuditEngine RelevantOnly SecAuditLogParts ABCFHZ SecAuditLogType Serial </IfModule> 48

開源碼 W.A.F 實作主講人演講者單位 : 吳惠麟姓名大綱網站安全威脅通訊協定漏洞 OWASP TOP 開源碼 WAF 軟體實作 2

開源碼 W.A.F 實作主講人演講者單位 : 吳惠麟姓名大綱網站安全威脅通訊協定漏洞 OWASP TOP 開源碼 WAF 軟體實作 2 開源碼 W.A.F 實作主講人演講者單位 : 吳惠麟姓名大綱網站安全威脅通訊協定漏洞 OWASP TOP 10 2017 開源碼 WAF 軟體實作 2 網站威脅網站威脅通訊協定網站系統程式網站應用程式 3 網站威脅通訊協定 HTTP 通訊協定先天上的漏洞網站系統程式漏洞網站伺服器本身程式漏洞網站應用程式為符合應用需求, 而自行撰寫的應用程式 4 HTTP 通訊 5 Apache