Tehtävänanto
h2
a) Ratkaise jokin WebGoatin tehtävä. Hyödynsitkö jotain OWASP10 -haavoittuvuutta? Mitä niistä?
b) Mainitse esimerkki MITRE:n Att&ck tekniikasta, joka soveltuu weppiin. Osaatko antaa esimerkin hyökkäyksestä tai haittaohjelmasta, jossa sitä on käytetty?
Vastaukset
a) LAB: Client Side Filtering STAGE 1: Tarkoituksena on selvittää Toimitusjohtaja Neville Bartholomewin palkka. Tämän sain selville Firefoxin inspector toolia käyttämällä, valitsemalla ensin Select user elementin sivulta ja katsomalla sitä vastaavaa html-pätkää. Kaikkien työntekijöiden id-numerot ovat järjestyksessä 101:stä 110:een, joten kokeilin muuttaa yhden vaihtoehdon id:tä ensin 111:ksi, joka oli John Waynen id ja sitten 112:ksi, joka osoittautui oikeaksi. OWASP10 -haavoittuvuuksista tässä on tuntomerkkejä sekä Sensitive Data Exposuresta, että Broken Access Controllista. Jälkimmäinen lienee oikeampi luokitus sillä tässä tapauksessa käyttäjä oli oikea autentikoitunut käyttäjä, joka pääsi kuitenkin käsiksi myös sellaisiin tietoihin, joihin hänellä ei olisi pitänyt olla oikeuksia.
b) Exploit Public-Facing Application on laaja kategoria Web-hyökkäyksiä, joissa käytetään hyväksi julkisten web-sivujen tai muiden internettiin auki olevien palveluiden haavoittuvuuksia. SQL-injektio on klassinen esimerkki tälläisestä haavoittuvudesta. Havij on esimerkki sekä hyökkääjien että tunkeutumistestaajien käyttämästä ohjelmasta, joka automatisoi SQL-injektioita.