Twórcy aplikacji internetowych (a do tej kategorii w większym lub mniejszym stopniu należy już prawie każdy program) prześcigają się we wprowadzaniu nowych rozwiązań i technologii.
Oprócz oczywistych, pozytywnych skutków wyścig ten niesie jednak ze sobą zagrożenia – nie do końca przetestowane, wprowadzane w pośpiechu technologie dają duże pole do popisu tym, którzy zechcą je wykorzystać w sposób “niestandardowy”. Niekiedy źródłem problemów są nie “nowinki”, a rozwiązania znane i stosowane od wielu lat, których niewielkie usterki w nowym, sieciowym środowisku nabierają zupełnie innego wymiaru. Oczywiście producenci oprogramowania starają się “łatać” dostrzeżone w ich programach usterki, jednak nie zawsze odpowiednie poprawki są dostępne.
| Na witrynie Windows IT Pro znajdziemy wiele porad dotyczących bezpieczeństwa nie tylko w Windows NT. |  |
Szpiegowanie w obcych ramkach
Problem tzw. Frame Spoofingu nie jest wcale nowy, mimo to nadal nie został rozwiązany. Właściciel (twórca) witryny WWW może ją zbudować w taki sposób, aby “udawała” zupełnie inną stronę, przejmując po prostu zawartość poszczególnych ramek oryginału. Tak skonstruowany falsyfikat, udający np. stronę WWW banku, może posłużyć do przechwycenia danych wpisywanych w formularze przez użytkownika. Zostaną one następnie odesłane do oryginalnego formularza tak, że użytkownik w ogóle nie dostrzeże oszustwa.
W tym celu wystarczy napisać króciutki program w języku JavaScript, który ominie mechanizmy zabezpieczające Internet Explorera:
| Frame spoofing umożliwia zmontowanie strony, która będzie miała podmienione w stosunku do oryginału niektóre ramki |  |
Prezentację działania takiego skryptu możemy znaleźć na stronie WWW Georgi Guninskiego, zajmującego się “dziurami” w systemach bezpieczeństwa przeglądarek internetowych.
Następna luka w systemie bezpieczeństwa Internet Explorera stanowi jeszcze poważniejszy problem. Polega on na tym, iż ustawienia przeglądarki zabezpieczające przed rozdzielaniem stron WWW pomiędzy różne serwery (
Cross frame security policy
) można obejść za pomocą funkcji external.NavigateAndFind(). W ten sposób nie tylko można odczytać zawartości ramek wchodzących w skład strony umieszczonej na innym serwerze, ale również uzyskać dostęp do danych z dysku komputera internauty oraz do cookies przeznaczonych dla innych domen.
Problem polega na tym, że funkcję NavigateAndFind można zastosować na stronach z językiem Javascript, które są wówczas wyświetlane z prawami odpowiadającymi obcej ramce.
| Od początku tego roku w witrynie pomocy technicznej Microsoftu (Tech Net) znaleźć można łatę rozwiązującą problem formatu RTF. |  |
Przedstawiony poniżej przykład pokazuje mechanizm zdalnego zarządzania lokalnym plikiem za pośrednictwem przeglądarki. Ta sama technika pozwala również na wysłanie takiego zbioru do sieci internetowej.
Powinniśmy zatem koniecznie wyłączyć opcję
Navigate sub-frames across different domains
(dostępną w menu
Tools | Internet Options | Security
), co pozwoli nam przynajmniej uporać się z pierwszą “dziurą”. W przypadku drugiego problemu nie istnieje na razie żaden skuteczny środek zaradczy.
Georgi Guninski odkrył również problem związany z przekierowaniami HTML w obiektach XML. Przy użyciu odpowiednio przygotowanego obiektu XML hakerzy mogą odczytywać zawartość plików XML lub innych zbiorów zawierających kod XML, a także sprawdzać istnienie dowolnych plików lokalnych na komputerze podłączonym do Internetu.
Wraz ze wzrostem popularności języka XML niebezpieczeństwo staje się coraz większe. Jedynym skutecznym rozwiązaniem jest na razie wyłączenie uruchamiania komponentów ActiveX – przynajmniej dla nieznanych witryn. Microsoft nie przygotował jeszcze żadnej łaty usuwającej tę usterkę.
(Nie)winny Media Player
Aby przejrzeć zawartość cudzych dysków twardych, można skorzystać również z pomocy systemowego (w Windows) programu Media Player, będącego w rzeczywistości kontrolką ActiveX. Na podstawie odesłanego przez Media Playera kodu błędu odpowiedni skrypt jest w stanie ustalić, czy określone pliki istnieją na danym komputerze czy też nie. Jeśli zbiór nie istnieje, to Media Player zwraca zawsze tę samą wartość: 2147220970. Wszystkie inne odesłane kody potwierdzają istnienie danego pliku. Rozwiązanie tego problemu polega na wyłączeniu mechanizmu ActiveX.
“Dziurawy” Outlook
Twórcy wirusów są bardzo zadowoleni z funkcji wbudowanych w Outlooka i Outlook Expressa oraz ich domyślnej konfiguracji – dzięki nim za pośrednictwem poczty elektronicznej mogą oni uruchamiać programy na komputerach swoich ofiar.
Cała sztuka polega na tym, że załączniki do wiadomości są tymczasowo umieszczane w katalogu roboczym (standardowo jest to c: emp). Jeśli załączonym plikiem jest archiwum CAB, to może ono – bez zgody użytkownika – zostać uruchomione poprzez skrypt umieszczony w poczcie (np. w przesyłce w formacie HTML), co spowoduje zainstalowanie programu zawartego w archiwum.
Aby zabezpieczyć się przed takim działaniem, musimy wyłączyć obsługę kontrolek ActiveX, ActiveX Scripting oraz wtyczek (zmieniając ustawienia w zakładce Tools | Options | Security z
Internet Zone
na
Restricted sites zone
). Ryzyko ataku wirusowego można również zmniejszyć, wybierając jako katalog roboczy obiekt o trudnej do odgadnięcia ścieżce dostępu. Takie rozwiązanie nie blokuje jednak możliwości uruchamiania skryptów – jedynie nie będą one w stanie zlokalizować i uruchomić “podrzutka”.
“Dziura” w formacie RTF
Opracowany przez Microsoft format dokumentów RTF (Rich Text Format) zawiera oprócz tekstu także rozkazy sterujące. W interpreterze RTF zawartym w większości platform systemowych Microsoftu (Windows 9x oraz Windows NT 4.0) odkryto jednak usterkę pozwalającą zawiesić działanie całej aplikacji wykorzystującej ów interpreter (np. edytora Microsoft Word). Zagrożeni są również użytkownicy Outlooka, którzy uaktywnili tzw. tryb Preview. Gdy jako załącznik do wiadomości otrzymają odpowiednio spreparowany plik, wówczas Outlook zawiesi się bez żadnego wyraźnego powodu, gdyż bez pytania użytkownika próbuje on wówczas wyświetlić podgląd graficzny zbioru RTF – korzystając z “felernego” interpretera.
| Jedna z “dziur” Navigatora pozwala na odczytanie zawartości dowolnego katalogu na dysku lokalnym. |  |
Nie jest co prawda możliwe uzyskanie w ten sposób nieautoryzowanego dostępu do jakichkolwiek zasobów komputera, jednak zdezorientowanemu użytkownikowi zlokalizowanie przyczyny kłopotów może sprawić sporo kłopotów. Rozwiązanie tego problemu umożliwia specjalna łata opracowana przez Microsoft. Na razie jest ona jednak dostępna tylko dla amerykańskich wersji Windows 95/98 oraz NT.
W przypadku dokumentów otrzymywanych pocztą elektroniczną powinniśmy w ogóle zrezygnować z mechanizmu automatycznego uruchamiania odpowiedniej aplikacji. Poza ryzykiem zawieszenia programu istnieje poważne niebezpieczeństwo, że tą drogą do naszego komputera przenikną niepostrzeżenie wirusy.
Nie tylko Microsoft
Wbrew powszechnej opinii Internet Explorer nie jest jedyną “zapluskwioną” przeglądarką. O ile za najbardziej “dziurawy” element Internet Explorera uważa się mechanizm kontrolek ActiveX, o tyle główny konkurent, Netscape Navigator, ma błędy związane głównie z obsługą JavaScriptów. Na stronie Guninskiego znaleźć można kilkanaście przykładowych skryptów, które są w stanie odczytać zawartość plików przechowywanych na dysku lokalnym komputera. Szczególnie niebezpieczny jest “exploit” pozwalający na odczytanie zawartości pamięci podręcznej przeglądarki (cache) – w niektórych przypadkach mogą się tam znaleźć hasła użytkownika i inne dane wprowadzane przez niego do formularzy. Podobnie jak większość skryptów prezentowanych przez Guninskiego, jest on bardzo prosty:
| Kolejna zaś zapewnia programom napisanym w JavaScripcie dostęp do zawartości pamięci podręcznej przeglądarki. |  |
Niestety, również w przypadku Netscape Navigatora jedynym rozwiązaniem pozwalającym na załatanie luk w interpretacji JavaScriptów jest całkowite wyłączenie ich obsługi przez przeglądarkę (
Edit | Preferences | Advanced | Enable JavaScript
).
—
| Info Grupy dyskusyjne Uwagi i komentarze do artykułu: # Pytania techniczne do zagadnień poruszanych w tekście: # Internet Microsoft SecurityBulletin:http://www.microsoft.com/security/bulletins/ NT Security http://www.ntsecurity.net/scripts/loader.asp?iD=/security/outlook2.htm http://www.ntsecurity.net/scripts/loader.asp?iD=/security/ie53.htm http://www.ntsecurity.net/scripts/loader.asp?iD=/security/IE54.htm http://www.ntsecurity.net/scripts/loader.asp?iD=/security/ie55.htm http://www.ntsecurity.net/scripts/loader.asp?iD=/security/ie58.htm http://www.ntsecurity.net/scripts/loader.asp?iD=/security/netscape2.htm Georgi Guninski Page:http://www.nat.bg/~joro/ |
Link sponsorowany: SEO Katalog, pozycjonowanie
