Noll
(Bild: stock photo)
Ett ofta använt säkerhetsverktyg som ägs av webbhotell GoDaddy, som avser att hindra webbplatser från att hacka, var lätt kringgås, sätta webbplatser på risken för stöld av data.
Företagets hemsida application firewall (NV), som tillhandahålls av Sucuri och GoDaddy förvärvats av tidigare i år, skyddar webbplatser mot en rad attacker genom att lägga till ett extra lager av säkerhet för att en webbplats för att skydda sig mot cross-site scripting och SQL-injektion tekniker.
Men en säkerhetsforskare berättade ZDNet att brandväggen skulle släppa igenom vissa kommandon, som ger honom möjlighet att få tillgång till utsatta databaser bakom kulisserna. Att, som han sade, lägga platser på risken för stöld av data.
Touseef Gul kunde passera brandväggen med en relativt enkel SQL-injektion sträng, som han visade ZDNet men vi är inte publicera. SQL injektion attacker kan startas från webbläsaren adressfält. Om attacken lyckas kommer den att visa en lista över databasens tabeller på webbplatsen. Där var han förväntar sig att få en meddelandet “åtkomst nekad”, brandvägg låter kommandot genom och returneras en lista av tabeller från målet webbplatsens databas. Han fick också möjlighet att få databas admin konto och MD5-hashar lösenord, som numera är lätt att crackable.
Vad som dock förvånade forskare, sade han, var hur lätt brandväggen var att kringgå.
Han gav ett exempel på en del av den kod som han använde. Han sade att medan brandväggen blockerar ett gemensamt kommando som används i SQL-injektioner, såsom “EU-VÄLJ,” en modifierad, kodad version av samma kommando — såsom “EU-SELE%63T” (där %63 är en kodad “C”) – var inte blockeras av filtret.
För sin del, GoDaddy sa det lagas felet inom en dag av säkerhet forskare är privat information till bolaget.
“Vid granskning av denna situation, det verkar någon kunde hitta en sårbar webbplats och manipulera deras begäran att tillfälligt kringgå våra WAF,” sade Daniel Cid, GoDaddy: s vice-president of engineering.
“Inom mindre än en dag, våra system kunde plocka upp detta försök och sätta stopp för det”, sade han.
Cid säger att företaget “inte medveten om att andra kunder” som påverkas av bypass, men skulle inte säga hur många webbplatser med risk för bypass-teknik.
Lesley Carhart, en digital kriminalteknik och incidenthantering specialist, förklarade att webbapplikation brandväggar efterlikna beteendet hos antivirus-produkter snarare än en traditionell brandvägg.
“På många sätt är webben attacker är långt svårare att brandväggen än trafik in och ut ur ett nätverk,” sade Carhart. “Du kan förneka nästan allt på ett nätverk brandvägg eller host brandvägg.”
“Webbtrafik filtrering förlitar sig mer på svartlistning dåliga saker med hjälp av signaturer än vitlista slews av portar och protokoll som traditionella brandväggar”, tillade hon.
Web application brandväggar blockerar attacker mot webbplatser som kör web applikationer som redan är sårbar för attacker, som out-of-date content management-system som WordPress eller Joomla, förklarade hon.
“I princip är det ett bra drag att lägga ytterligare ett lager av försvar till webbplatser, men det bör aldrig förväxlas med eller underförstådda att vara en ersättning för säker kodning,” sade hon.
Kontakta mig ordentligt
Zack Whittaker kan nås säkert på Signal och WhatsApp på 646-755-8849, och hans PGP fingeravtryck för e-post är: 4D0E 92F2 E36A EC51 DAAE 5D97 CB8C 15FA EB6C EEA5.
Läs Mer
ZDNET UTREDNINGAR
Läckt TSA dokument avslöjar flygplatsen i New York våg av säkerhet upphör
AMERIKANSKA regeringen drivit tech företag att lämna över källkoden
Vid den AMERIKANSKA gränsen: Diskriminerade, fängslade, sökte, förhördes
Miljontals Verizon kundregister exponeras i säkerhet förfaller
Möta den mörka tech mäklare att leverera dina data till NSA
Inne i den globala terror bevakningslista som i hemlighet skuggor miljoner
FCC: s ordförande röstade för att sälja din webbhistorik — så vi bad att få se hans
Med en enda avlyssna ordning, AMERIKANSKA myndigheterna lyssnade på 3,3 miljoner telefonsamtal
198 miljoner Amerikaner drabbas av “största någonsin” väljare poster läcka
Storbritannien har gått den “mest extrema övervakning lag någonsin gått i en demokrati”
Microsoft säger “inga kända ransomware” som körs på Windows-10 S — så vi försökte hacka den
Läckt dokument avslöjar BRITTISKA planer för en bredare övervakning av internet
0