الهاكرز .. خفايا و أسرار

الهاركز يا مطوري تطبيقات الويب !

هل سمعت عن XSS ؟ ، هل تعرف ما هي حقن لغة الإستعلام SQL Injection ، هل قرأت عن إقتحام الجلسات Session Hijacking ، حسنا ، هل قرأت عن الـ CRLF Injection، ماذا عن الـ Directory Traversal ، و ماذا عن التلاعب بالمتغيرات Parameters Manipulation ?

حسناً ... هذه الأسئلة ستعطي إنطباع عن أن الموضوع متشعب جداً ، لم أذكر هنا الا أهم و أشهر أنواع المشاكل و الثغرات التي يستغلها الهاكرز لتدمير التطبيقات التي تبرمجها ، و اذا كنت لم تسمع بواحد أو أكثر من هذه المصطلحات ، فأنت في خطر !

بما أن هذا الجزء من المقالة يهم مطوري المواقع أكثر من غيرهم ، فلن أسهب كثيراً بشرح هذه المصطلحات و طريقة عملها ، أتوقع أنك كمطور قادر على البحث بنفسك عن تفاصيل هذه المصطلحات و معرفة ما هو المعني البرمجي لها بالضبط ، عموما ، سأذكر رؤوس أقلام عن هذه المصطلحات للمهتمين بتنمية ثقافتهم الأمنية في شتى المجالات.





الـ Cross Site Scripting

يطلق عليها إختصاراً xss وليس CSS تميزاً لها عن صفحات الأنماط المتعددة Cascading Style Sheet، بإختصار هي نوع من الهجمات التخريبية على تطبيقك يحدث عندما يتمكن أحدهم من إدخال بيانات مختطلة مع بعض الأوامر في نماذج صفحات موقعك ينتج عن ذلك تشويه شكل صفحة موقعك أو إظهار رسائل خطأ متكررة عند زيارة الصفحة التي تم تخريبها، أو سرقة بعض البيانات الحساسة من الزوار أو صاحب الموقع نفسه ! ، تنتج هذه المشكلة نتيجه عدم فحصك لمدخلات الزوار في النماذج و سماحك لهم بإدخال وسوم HTML أو Java Script في نماذج الموقع مما يجعلهم قادرين على تلويث صفحات موقعك بشيفرات ليست جزء من شيفرة تطبيقك الذي كتبته ! يمكن للهاكر أيضاً العبث في المتغيرات التي يمررها تطبيقك عن طريق عناوين URL و إضافة أجزاء اليها تجعله قادر على السيطرة جزئيا أو كلياً على تطبيقك ، أو على الأقل تشويه شكل التطبيق ، لعلك تتذكر عزيزي القارئ الثغرة التي كان مصاب بها نظام بريد الـ Hotmail قبل سنتين تقريبا ، و التي كانت تسمح للهاكر بقراءة صندوق البريد الوارد للضحية ، تلك الثغرة كانت تصنف تحت الـ XSS !


الـ SQL Injection

سلاح الدمار الشامل للمواقع

وسوف يتم شرحة تفصيليا على منتدى شباب كفر الجمال

يوم 28\ 7 \ 2008

https://elgemal.ahlamontada.com/portal.htm


إقتحام الجلسات Session Hijacking

إقتحام الجلسات هي عملية السيطرة على جلسة المستخدم Session الذي يقوم بإستخدام النظام ، عملية إقتحام الجلسه تلزم أن يقوم الهاكر بإلتقاط رقم الجلسة Session ID ، أو توليد إجباري لها Brute Force أو إعادة توليد للرقم Reverse Engineering ، قد يبدو المفهوم صعب حالياً لذا سأسترسل بشرحه أكثر.

من المعروف أن هناك نوعين من الجلسات الجلسات الدائمة Persistent وهي التي يتم من أجلها تعريف ملفات الإرتباط (الكوكيز) و حفظها في جهاز المستخدم لكي يتعرف عليه النظام عند عودته في أي وقت مرة أخرى ! ، النوع الثاني هي الجلسات الغير دائمة non-Persistent وهي التي تنتهي بمجرد إغلاق المستخدم للمتصفح ، في كلا النوعين يتم تعريف رقم جلسة Session ID للمستخدم ، رقم الجلسه هذا يستخدم لمعرفة متغيرات المستخدم الذي يرسلها أو يستقبلها خلال جلسته على النظام ، هذا الرقم ينشئ عادة بشكل إفتراضي من لغة البرمجة التي تستخدمها من خلال رقم أي بي المستخدم وقت الجلسه يدمج معها بعض المتغيرات الأخرى ، بعض المبرمجين يكتفي بتوليد هذا الرقم بشكل إفتراضي دون أن يسعى لتشفيره أو إضافة المزيد من العوامل عليه لجعل عملية التوليد الإجباري أو إعادة التوليد له صعبة ، و هنا تكمن المشكلة حيث يقوم الهاكر بمحاولة توليد رقم الجلسه بمعرفة بعض المعطيات اللحظية و يرسلها عن طريق HTTP Request إلى النظام الذي يقرأ رقم الجلسه و يقارنه برقم الجلسه الموجود لديه في الذاكرة ، فإذا تطابق ، فهذا يعني من وجهة نظر النظام أن الهاكر هو المستخدم الحقيقي ، و يمنحه بذلك حق الوصول لمنطقة المستخدم الخاصة ( حسابه البنكي على سبيل المثال !! ) ، الجدير بالذكر أن هجمات الـ xss يمكن أن تستخدم للإستيلاء على الجلسات و ذلك عن طريق تمرير كود جافا سكربت للنظام يقوم بقراءة رقم جلسة المستخدم و ارسال هذا الرقم للهاكر !

نصائح لتجنب هذا النوع من المشاكل

1- حاول تشفير رقم الجلسه و تعقيدها قدر المستطاع

2- إستخدم الـ SSL لتشفير كافة البيانات الحساسة المرسلة و المستقبلة من و إلى نظامك

3- برمجياً قم بإنهاء أي جلسه يمضي عليها وقت كافي تقدر بأن المستخدم خلالها قد إنتهى فعلاً من عمله خلالها أو انه قد ترك شاشة النظام مفتوحة و لم يعد يستخدمها

4- حصن نظامك ضد هجمات الـ XSS




الـ CRLF Injectionمصطلح CRLF هو إختصار لـ Carriage Return , Line Feed ، الـ CR هو رمز الأسكي 13 و الـ LF هو رمز الأسكي 10 ، هذان الرمزان يستخدمها الويندوز عند الضغط على زر Enter ( أي للنزول إلى سطر جديد )، نظام لينكس يستخدم فقط الرمز LF ، بإختصار هذا النوع من الهجمات ليس خطير للغاية ، أقصى ما يمكن للهاكر فعله من خلال هذه النوعية من الثغرات هو تشويه شكل الصفحة ، بالتأكيد هذه المشكلة قد تكون حساسه حسب نوعية التطبيق الذي تقوم ببرمجته. هذا النوع من الهجوم يكون أيضا بسبب عدم فحص مدخلات المستخدم ( تماما كالـ SQL Injection و الـ xss ) ، تأكد من أن المستخدم لا يدخل علامة \n\r في المدخلات ( الا في الأماكن التي يسمح بها للمستخدم بإستخدام هذه الرموز للنزول الى سطر جديد ) ، مثلا في نص الموضوع الذي يكتبه العضو في المنتدى يجب أن تسمح له بإستخدام زر Enter ( الذي يتحول عند الضغط عليه إلى \n\r ولكن غير مرئية ! ) ، ولكن في عنوان الموضوع سيكون السماح للمستخدم بإدخال رمز CRLF مشكلة كبيرة !!

الـ CRLF Injection

مصطلح CRLF هو إختصار لـ Carriage Return , Line Feed ، الـ CR هو رمز الأسكي 13 و الـ LF هو رمز الأسكي 10 ، هذان الرمزان يستخدمها الويندوز عند الضغط على زر Enter ( أي للنزول إلى سطر جديد )، نظام لينكس يستخدم فقط الرمز LF ، بإختصار هذا النوع من الهجمات ليس خطير للغاية ، أقصى ما يمكن للهاكر فعله من خلال هذه النوعية من الثغرات هو تشويه شكل الصفحة ، بالتأكيد هذه المشكلة قد تكون حساسه حسب نوعية التطبيق الذي تقوم ببرمجته. هذا النوع من الهجوم يكون أيضا بسبب عدم فحص مدخلات المستخدم ( تماما كالـ SQL Injection و الـ xss ) ، تأكد من أن المستخدم لا يدخل علامة \n\r في المدخلات ( الا في الأماكن التي يسمح بها للمستخدم بإستخدام هذه الرموز للنزول الى سطر جديد ) ، مثلا في نص الموضوع الذي يكتبه العضو في المنتدى يجب أن تسمح له بإستخدام زر Enter ( الذي يتحول عند الضغط عليه إلى \n\r ولكن غير مرئية ! ) ، ولكن في عنوان الموضوع سيكون السماح للمستخدم بإدخال رمز CRLF مشكلة كبيرة !!


التجول في المجلدات Directory Traversal

هذا النوع من الهجمات خطر فعلا ، لن أبالغ اذا قلت انه اخطر أنواع الهجمات على الإطلاق ، ما يخفف من وطئته هو أنه صعب التطبيق لأن التطبيقات التي يمكن إستغلال هذا النوع من الثغرات فيها محدودة جداً ، ولكن هذا لا يمنع من أنه خطر و خطر جداً ! فكرة هذا النوع من الهجمات ببساطة هو أن يتمكن الهاكر من الخروج عن نطاق مجلد الجذر للموقع Root directory إلى مجلدات أخرى تعلو المجلد الجذري في المستوى ، دعني أضرب مثال لتوضيح الصورة ، في سيرفرات الويندوز التي تعمل بالـ IIS يكون مجلد الجذر للموقع عادة هو :

C:\Inetpub\wwwroot

وهذا المجلد هو الذي تتواجد فيه ملفات موقعك ، و بالتالي فإن الزوار سيتمكنون فقط من تصفح الملفات الموجودة في هذا المجلد و المجلدات الفرعية الموجود بداخله ، ومنها على سبيل المثال مجلد news ، الصورة في الأسقل تعطيك إنطباع عن التسلسل الشجري للمجلدات التي سأضرب مثال عليها .



الأن تخيل لو أن لديك عنوان في تطبيقك الذي برمجته بهذا الشكل

http://www.yoursite.com/news/show.aspx?view=file.html

العنوان يقوم بإستدعاء الملف file.html و عرضه للمستخدم ، الملف file.html يفترض أن يكون موجود في نفس مجلد news ، إفترض الأن لو أن الهاكر قام بالتلاعب في العنوان و كتبه بهذا الشكل :


http://www.yoursite.com/news/show.aspx?view=../../../../../Windows/system.ini

مصيبة ... لقد تمكن من مشاهدة ملف الـ System.ini !! ماذا لو أن التطبيق الذي برمجته يسمح بالتعديل على محتوى الملف ، سيتمكن الهاكر حينها من التعديل على ملف System.ini ، مما يعني تحكم كامل في موقعك من نظام التشغيل ، ليس فقط في الموقع بل و في كامل السيرفر المستضيف لموقعك ! الأسوء من ذلك تخيل لو ان نظامك يسمح بتشغيل بعض التطبيقات على الموقع عن طريق أوامر الشل ( يفترض أن لا تبرمج هذا النوع من التطبيقات ! ) ، لو تمكن الهاكر من الخروج من المجلد الجذري كما في المثال السابق ، قد يتمكن من الوصول الى سطر الأوامر الرئيسي و تنفيذ أمر Format للسيرفر بأكمله !!

هذا النوع من الهجمات يمكن أن يحل بطريقتين ، و برأيي يجب أن تستخدم الطريقتان لحل المشكلة :

1- من خلال الشيفرة التي تكتبها ، تأكد من فحصك لكافة المدخلات و المتغيرات الممررة إلى النظام ، تأكد من أنها تقع ضمن النطاق المسموح به

2- من خلال إعدادات السيرفر الذي تمتكله ( أو تمتلكه الشركة المستضيفه لموقعك ) يمكن ضبط هذه الإعدادت بحيث يتم منع أي طلب للوصول الى أي ملف خارج المجلد الجذري للموقع نفسه ، قم بفحص السيرفر بنفسك مبدئيا عن طريق السماح من خلال الشيفرة بأن تفتح ملف يقع خارج المجلد الجذري لموقعك ، إن إستطعت ذلك فهذا يعني أن إعدادات السيرفر المستضيف لموقعك غير آمنة و يجب أن تعدل بحيث يمنع السيرفر نفسه طلب أي ملف خارج نطاق المجلد الرئيسي ، أطلب من الشركة المستضيفة لموقعك تعديل ذلك ، و بدورك عدل الشيفرة كما ذكرنا في النقطة رقم 1 لمزيد من الحماية .



التلاعب بالمتغيرات Parameters Manipulation

أحد أشهر حيل الهاكر للوصول الى فهم كامل عن طريقة تعاملك مع المتغيرات الممرره الى النظام الذي قمت ببرمجته ، يتم ذلك عن طريق التلاعب بالمتغيرات الممرره إلى العنوان URL و تغيير قيمها أو إرسال قيم مخالفة لنوعية المتغير نفسه ، بحيث يستطيع الهاكر معرفة رسائل الخطأ التي تصدر من النظام حينها ، هذه الرسائل ستساعد الهاكر على فهم أكبر لتركيب النظام لديك . أيضا قد يستخدم الهاكر طريقة التلاعب بالمتغيرات لتمرير متغيرات جلسه Session عن طريق العنوان مباشرة و ليس من خلال المتصفح نفسه بالـ HTTP Request ، في لغة البرمجة التي تستخدمها يفترض أن يكون هناك طريقة لمعرفة ما اذا كان متغير الجلسه هذا ممرر عن طريق الطلب HTTP Request من المتصفح نفسه ، أو من العنوان URL !

كمثال أخر على هذا النوع من الهجمات ، نماذج صفحات الويب التي تقوم بتصميمها ليقوم الزائر بتعبئتها ، إما لغرض المراسلة أو التسجيل في الموقع أو شراء سلعة ... الخ ، يسهل على الهاكر قراءة أسماء عناصر النموذج ، هذه الأسماء بالتأكيد ستسخدمها أنت كمتغيرات في البرنامج الذي قمت ببرمجته ، إنطلاقا من هذه المعلومة يستطيع الهاكر إستخدام النموذج (أو صنع نموذج مشابه ) مع تعديل قيم بعض الحقول لإحداث أثر ما على موقعك ، لكي أوضح المسألة ، دعني أذكر لك هذه القصة ، موقع التسوق الخاص بشبكة ياهوو Yahoo Shopping ، كان يستخدم طريقة محددة لتمرير سعر السلعة إلى صفحة الدفع ، فعند إختيارك للسلعة و تعبئته لنموذج بيانات الشحن ، يكون سعر السلعة أو السلع التي أخترتها موجود في نفس نموذج الشحن و لكن في حقل مخفي Hidden لا يظهر للزوار و لكنه موجود في شيفرة HTML ، قام أحد الهاكر حينها بتعديل شيفرة الـ HTML و قلل من سعر السلعة التي أرادها إلى دولار واحد ، و من ثم قام بتمرير الطلب بشكل طبيعي إلى صفحة الدفع ، التي حسمت السعر (دولار واحد ) من بطاقته الإئتمانية و ظهر لمسؤولي الشحن أن هذا الرجل قد تمت عملية إستخلاص المبلغ من بطاقته بنجاح و أنه يستحق الشحن للسلع التي طلبها !! الجميل في الأمر ان المشكلة أكتشفت فوراً و مصادفةً من أحد مسؤولي أمن المعلومات في أحد الشركات العالمية و الذي قام بتنبيه ياهوو حينها لتراجع سجلات المدفوعات لديها خوفا من أن تكون هذه الثغرة أستغلت بكثرة حيث وجدت أنها أستغلت فقط لمرة واحده !

حسنا أخي المطور ، أعتقد انني إستطعت من خلال هذه النقاط المختصرة تنبيهك إلى خطر محدق قد يسبب في ضياع جهدك في التطوير و التصميم بسبب أخطأ قد تبدو تافهه ، ولكنها تكلف الكثير أحيانا !! أعتقد أنني يجب أن افرد مقالة كاملة عن كل نوع من أنواع هذه الثغرات ، أعدك عزيزي القارئ أنني سأفكر في هذا الأمر بشكل جدي