Denne fejl lade en forsker bypass GoDaddy ‘ s websted sikkerhed værktøj

0
176

Nul

(Billede: stock foto)

En udbredt sikkerhed værktøj, der ejes af web-hosting-udbyder GoDaddy, der er designet til at forhindre, at websteder bliver hacket, var let at omgås, for at sætte hjemmesider på risikoen for tyveri af data.

Selskabets hjemmeside application firewall (WAF), fastsat af Sucuri og erhvervet af GoDaddy tidligere i år, beskytter hjemmesider mod en række af angreb ved at tilføje et ekstra lag af sikkerhed på et website for at beskytte mod cross-site scripting-og SQL injektion teknikker.

Men en sikkerhedsekspert fortalte ZDNet, at firewall ‘ en ville lade nogle kommandoer, som tillader ham at få adgang til sårbare databaser bag kulisserne. Det, han sagde, satte steder på risikoen for tyveri af data.

Touseef Gul var i stand til at omgå firewall med en forholdsvis simpel SQL-injection-streng, som han viste til ZDNet, men vi er ikke publishing. SQL-injection-angreb kan blive lanceret fra web browserens adresselinje. Hvis angrebet er succesfuldt vil det vise en liste af database tabeller på hjemmesiden selv. Hvor han forventer at modtage en “adgang nægtet” vises, firewall lad kommandoen igennem og returneret en liste af tabeller fra målet website ‘ s database. Han var også i stand til at opnå databasen admin-konto og-MD5 krypteret adgangskode, der i dag er nemt crackable.

Det, der overrasker forskeren, han sagde, var, hvor let firewall var at omgå.

Han gav et eksempel på en del af den kode, han brugte. Han sagde, at mens firewall vil blokere en fælles kommando, der bruges i SQL-injektioner, som “EU-VÆLG,” en modificeret, kodet version af den samme kommando — som “EU-SELE%63T” (hvor %63 er en kodet “C”) — var ikke blokeres af filtret.

For sin del, GoDaddy sagde, at det rettet fejlen inden for en dag af den sikkerhed, forsker private oplysninger til selskabet.

“I gennemgangen af denne situation, fremgår det, at nogen var i stand til at finde et sårbart website og manipulere deres anmodninger til midlertidigt at omgå vores KORT,” sagde Daniel Cid, GoDaddy ‘ s vice-president of engineering.

“Inden for mindre end en dag, vores systemer var i stand til at opfange dette forsøg, og sætte en stopper for det,” sagde han.

Cid sagde, at selskabet er “ikke klar over, om andre kunder,” påvirket af bypass, men ville ikke sige, hvor mange hjemmesider, der var i fare for at bypass-teknik.

Lesley Carhart, en digital forensics og incident response specialist, forklarede, at web application firewalls efterligne den adfærd antivirus produkter, snarere end en traditionel firewall.

“På mange måder web-angreb er langt sværere at firewall end trafik ind og ud af et netværk,” sagde Carhart. “Du kan benægte, at næsten alt på et netværk, firewall eller host firewall.”

“Web-trafik filtrering bygger mere på sortlistning dårlige ting ved hjælp af signaturer end whitelisting slews af unødvendige porte og protokoller som traditionelle firewalls,” tilføjede hun.

Web application firewalls blokerer angreb på websteder, der kører web-applikationer, der allerede er sårbare over for angreb, som out-of-date content management systemer som WordPress eller Joomla, forklarede hun.

“I princippet, er det en stor flytte for at tilføje endnu et lag af forsvar til sites, men det må aldrig forveksles med eller stiltiende til at være en erstatning for en sikker kodning,” sagde hun.

Kontakt mig sikkert

Zack Whittaker kan nås sikkert på Signal og WhatsApp på 646-755-8849, og hans PGP fingeraftryk til e-mail er: 4D0E 92F2 E36A EC51 DAAE 5D97 CB8C 15FA EB6C EEA5.

Læs Mere

ZDNET UNDERSØGELSER

Lækket TSA dokumenter afslører New York airport ‘ s bølge af sikkerhed bortfalder

Den AMERIKANSKE regering skubbet tech firmaer, til at udlevere kildekoden

Ved den AMERIKANSKE grænse: Diskrimineret, tilbageholdt, søgte forhørt

Millioner af Verizon kunde registreringer, der vises i sikkerhed bortfalder

Mød den dunkle tech mæglere at levere dine data til NSA

Inde i den globale terror-overvågningsliste, der hemmeligt skygger millioner

FCC-formand stemte for at sælge dine browserdata — så vi bad om at se hans

Med en enkelt telefonaflytning for de AMERIKANSKE myndigheder lyttede på 3,3 mio telefonopkald

198 millioner Amerikanere er ramt af ” største nogensinde fra vælgerne, registreringer lækage

Storbritannien har bestået den “mest ekstreme overvågning lov, der nogensinde er gået i et demokrati”

Microsoft siger, at “ingen kendte ransomware’ kører på Windows-10 S — så vi har forsøgt at hacke det

Lækket dokument, der afslører BRITISKE planer for større internet-overvågning

0