I L'area dell'e-commerce

Caso: attacco ad Acme Art

1 Linguaggi Web: la Babilonia del ventunesimo secolo
Introduzione
Linguaggi del Web
HTML
Dynamic HTML (DHTML)
XML
XHTML
Perl
PHP
ColdFusion
CGI
Java
Riepilogo

2 Server Web e server di database
Introduzione
Server Web
Apache
Microsoft Internet Information Server (IIS)
Server di database
Microsoft SQL Server
Oracle
Riepilogo

3 Carrelli elettronici e gatway di pagamento
Introduzione
Evoluzione dei negozi nel tempo
Shopping elettronico
Sistemi di carrello elettronico
Validita' e durata di vita di un carrello elettronico
Raccogliere, analizzare e confrontare articoli scelti
Tenere traccia del prezzo totale
Cambiare idea
Elaborare l'acquisto
Implementazione di un'applicazione di carrello elettronico
Catalogo dei prodotti
Gestione della sessione
Interfacce di database
Integrazione con il gateway di pagamento
Esempi di carrelli elettronici implementati inadeguatamente
Carrello elettronico Carello
Carrello elettronico DCShop
Carrello elettronico Hassan Consulting
Carrello elettronico Cart32 e altri
Elaborare i pagamenti
Finalizzare l'ordine
Metodo di pagamento
Verifica e protezione dalle frodi
Evazione dell'ordine ed emissione della ricevuta
Panoramica del sistema di elaborazione dei pagamenti
Pagina di conferma ordine
Interfaccia al gateway di pagamento
Interfaccia di database per le transizioni
Interfacciamento con un gateway di pagamento: un esempio
Problemi di implementazione dei sistemi di pagamento
Integrazione
Informazioni temporanee
SSL
Memorizzazione di profili utente
PayPal: abilitare gli individui ad accettare i pagamenti elettronici
Riepilogo

4 HTTP e HTTPS: i protocolli preferiti dagli hacker
Introduzione
Protocolli del Web
HTTP
HTTPS (HTTP su SSL)
Riepilogo

5 URL: l'arma del Web hacker
Introduzione
Struttura di un URL
URL e passaggio di parametri
Codifica degli URL
Meta-caratteri
Specificare i caratteri speciali nella stringa dell'URL
Codifica Unicode
Abuso della codifica URL
Vulnerabilita' di Unicode
La vulnerabilita' double decode o superfluous decode
Form HTML
Anatomia di un form HTML
Elementi di input
Passaggio di parametri tramite GET e POST
Riepilogo

II Chiarire il mistero degli URL

Caso: anticipare un ribasso azionario

6 Il Web sotto la superficie
Introduzione
I componenti di un'applicazione Web
Il server Web front-end
L'ambiente di esecuzione dell'applicazione Web
Il server di database
Scrivere i componenti
L'ambiente di elaborazione nativo dell'applicazione
API dei server Web e plug-in
Mapping degli URL e proxying interno
Proxying con un'applicazione server back-end
Esempi
Connessione al database
Utilizzare API di database native
Utilizzare ODBC
Utilizzare JDBC
Server di applicazioni Web specializzati
Identificare i componenti delle applicazioni Web dagli URL
Fondamenti dell'identificazione della tecnologia
Esempi
Altri esempi
Tecniche avanzate per l'identificazione della tecnologia
Esempi
Identificare i server di database
Contromisure
Regola 1: ridurre al minimo le informazioni indicate dall'header HTTP
Regola 2: impedire che informazioni errate siano inviate al browser
Riepilogo

7 Leggere fra le righe
Introduzione
Dispersione di informazioni tramite l'HTML
Cosa i browser non mostrano
Visualizzare il codice HTML in Netscape Navigator
Visualizzare il codice HTML in Internet Explorer
Indizi da cercare
Commenti HTML
Cronologia delle revisioni
Informazioni relative allo sviluppatore o all'autore
Riferimenti incrociati ad altre aree dell'applicazione Web
Promemoria e segnaposti
Commenti inseriti dal server delle applicazioni Web
Vecchio codice commentato
Collegamenti ipertestuali interni ed esterni
Indirizzi e-mail e username
UBE, UCE, posta indesiderata e spam
Parole chiave e tag < META >
Campi nascosti
Script lato-client
Tecniche di source sifting automatico
Utilizzare wget
Utilizzare grep
Sam Spade, Black Widow e Teleport Pro
Riepilogo

8 Analisi dei collegamenti di un sito
Introduzione
HTML e analisi dei collegamenti di un sito
Metodologia di analisi dei collegamenti di un sito
Passo 1: crawling manuale di un sito
Un esame piu' approfondito dell'header della risposta HTTP
Alcuni diffusi strumenti per l'analisi dei collegamenti di un sito
GNU wget
BlackWidow di SoftByteLabs
Funnel Web Profiler di Quest Software
Conclusione del passo 1
Passo 2: creare gruppi logici nella struttura dell'applicazione
Conclusione del passo 2
Passo 3: analizzare ogni risorsa Web
1. Analisi delle estensioni
2. Analisi dei percorsi URL
3. Analisi delle sessioni
4. Determinazione dei form
5. Identificazione delle applet e degli oggetti
6. Valutazione degli script lato-client
7. Analisi dei commenti e degli indirizzi e-mail
Conclusione del passo 3
Passo 4: inventariare le risorse Web
Riepilogo

III Come fanno

Caso: come Boris aiuto' Anna nella sua carriera artistica

9 Cyber graffiti
Introduzione
Alterazione del sito Web di Acme Travel
Mappare la rete obiettivo
Tecnica delle richieste proxy inverse
Tecniche di brute forcing per l'autenticazione HTTP
Visualizzazione delle directory
Upload della pagine alterate
Cosa e' andato storto
Strumenti di brute forcing verso HTTP
Brutus
WebCracker 4.0
Contromisure per casi come quello di Acme Travel
Disattivare il proxyng inverso
Utilizzare un'applicazione HTTP con password piu' robuste
Disattivare la visualizzazione delle directory
Riepilogo

10 E-shoplifting
Introduzione
Costruire un negozio virtuale
L'area espositiva
I carrelli della spesa
La cassa
Il database
Mettere tutto insieme
Evoluzione dei negozi virtuali
Furti in Acme Fashions
Preparazione del negozio virtuale di Acme Fashions
Individuazione del problema
I pericoli occulti dei campi nascosti
Bypassare la convalida lato-client
Revisione di www.acme.fashions.com
Un nuovo problema nel sistema rivisto
Postmortem e ulteriori contromisure
Riepilogo

11 Accesso ai database
Introduzione
Hacking di un rivenditore di automobili
Convalida dell'input
Contromisure
Riepilogo

12 Esecuzione di comandi remoti
Introduzione
Tecnologie basate su Java
Architettura del server di applicazioni Java
Attacco a un server Web Java
Identificare falle nei server di applicazioni Java
Esempio: portale di trading online
Chiamare FileServlet
Contromisure
Rafforzare il server Web Java
Altre contromisure concettuali
Riepilogo

13 Assunzione di identita' altrui
Introduzione
Session hijacking: un'identita' rubata e un appuntamento mancato
Giorno 5 marzo ore 7.00, a casa di Alice
Ore 8.30, nell'ufficio di Alice
Ore 10.00, nell'ufficio di Bob
Ore 11.00, nell'ufficio di Bob
12.30, nell'ufficio di Alice
Ore 21.30, da Bertolini's Italian Cuisine
Session hijacking
Postmortem dell'attacco di session hijacking
Diagrammi dello stato dell'applicazione
HTTP e tracciamento della sessione
Applicazioni stateless e applicazioni stateful
Cookie e campi nascosti
Cookie
Campi nascosti
Implementazione del tracciamento della sessione e dello stato
Gli identificativi di sessione dovrebbero essere univoci
Gli identificativi di sessione non dovrebbero essere facili da indovinare
Gli identificativi di sessione dovrebbero essere indipendenti
Gli identificativi di sessione dovrebbero essere mappati con le connessioni lato-client
Riepilogo

14 Buffer overflow istantanei
Introduzione
Esempio
Buffer overflow
Buffer overflow: la forma piu' semplice
Buffer overflow: un esempio
Contromisure successive
Riepilogo

IV Kung Fu avanzato del Web

Caso: un nuovo worm paralizza le aziende

15 Web hacking: strumenti automatizzati
Introduzione
Netcat
Whisker
Utilizzare tecniche di brute forcing
Brutus
Achilles
Cookie Pal
Teleport Pro
Consigli per la sicurezza
Riepilogo

16 Worm
Introduzione
Worm Code Red
26 gennaio 2000
18 giugno 2001: il primo attacco
12 luglio 2001
19 luglio 2001
4 agosto 2001
Nimda Worm
18 settembre 2001
Condivisione di rete: Nimda e' in grado di diffondersi anche tramite condivisioni di rete non protette o
configurate erroneamente Combattere l'evoluzione dei worm
Reagire e rispondere
Riepilogo

17 IDS
Introduzione
Nozioni di base sugli IDS
IDS di rete
IDS basati sull'host
Precisione degli IDS
Eludere un IDS
Hacking sicuro: su SSL
Esempio
Tunneling degli attacchi su SSL
Rilevare intrusioni via SSL
Intercettare traffico SSL
URL poliformi
Codifica esadecimale
Codifica Unicode/Superfluous non valida
Aggiungere percorsi fittizi
Inserire stringhe barra-punto-barra
Utilizzare separatori di percorso non standard
Utilizzare piu' caratteri barra
Mischiare piu' tecniche
Generare falsi positivi
Contromisure potenziali
Decrittare SSL
Decodificare l'URL
Riepilogo

Appendice A Elenchi di porte Web e di database

Appendice B Definizioni dei metodi e campi di HTTP/1.1 e HTTP/1.0

Appendice C Istruzioni per l'esecuzione di comandi remoti

Appendice D Informazioni per accedere a codice sorgente, file e directory

Appendice E Risorse e link

Appendice F Strumenti di difesa correlati al Web

Indice analitico