خلال بحثى فى فى مستوى الحماية اللى بتقدمها متصفحات الانترنت "محلياً" المتمثلة فى كلا من Google Chrome و Mozilla Firefox و Apple Safari و (Opera مش هعتبر اوبرا تبعهم لأنه نسخة من كروم فاللى بينطبق على كروم اكيد هينطبق على اوبرا بكل اصداراته سواء اوبرا، اوبرا للمطورين او احدث اصداراته "نيون") اثناء كتابتى ل payload سريعة علشان تساعد ال reverse shell لجلب كل ال cookies أثناء عمل اى نوع من انواع ال engagements اللى بقوم بيها فى شغلى الخاص فى Seekurity اكتشفت الاتى، بص ياسيدى لو كنت بتعتمد على فايرفوكس وسفارى فى شغلك وليك حسابات موجودة عليهم بالفعل فياريت تشيلها حالا ومتسبش اى حسابات حساسة او اى جلسات عمل عليهم لان ببساطة ال cookie database او قاعدة بيانات ملفات الارتباط "الكوكيز" اى malware هتنزل عندك هتقدر توصلها بالكامل وتاخد منها اى قيمة مطلوبة وبالتالى اى مهاجم سواء بتطبيق خبيث malware او بالوصول الفيزيائى لجهازك (الوصول الفعلى) هيقدر ياخد قاعدة بيانات الكوكى الخاصة ب Apple Safari و Mozilla Firefox بالكامل بحتة سطرين ب bash script معفن!
نقاط مهمة:
- طيب ليه Google Chrome واى متصفح مبنى على محرك كروم مبيحصلهمش دا ياترى؟
بناء على البحث اللى انا عملته، قاعدة بيانات كروم كل ال cookie valuess او قيم الكوكى الموجوده فيها متشفرة بكلمة مرور المستخدم اللى بيكون مسجل دخوله فى الوقت الحالى واللى بتكون مخزنة على سبيل المثال على نظام ماك بداخل ال keychain بتاعه.
- ليه اختراق حساباتك عن طريق الكوكى ممكن يكون أسوأ من أى طرق اختراق تانية؟
السبب بسيط ومباشر، لأن اى Web Application له sequencee او اجراءات معينه بياخدها فى عملية تسجيل الدخول زى مثلا فيسبوك بيقوم بتسجيل عملية دخول اى كمبيوتر غير معروف ومش بيسمح بيها، ومن ثم بيقوم بتسجيل عملية تسجيل الدخول دى فى السجل الخاص بجلسات العمل النشطة وبالتالي صاحب الحساب هياخد باله ان في حد تاني بيستعمل نفس الحساب في نفس الوقت، منع المهاجمين من تسجيل الدخول لحسابك بواسطة سؤالهم عن الكود المرسل على رقم التليفون الخاص بك (فى حالة لو كنت مفعل Login Approval) كل الاجراءات الاحترازية وال Security measurements اللى بياخدها ال web application تقدر تتخطاها لو قدرت تسرق ال cookies الخاصة بجلسة العمل ودا اسمه cookie hijacking او session hijacking وبالتالى بعد خطوات بسيطة من حقن الكوكيز دى فى المتصفح الخاص بك "كمهاجم" و بـ refresh واحده هتلاقى نفسك فى نفس جلسة العمل الخاصة بالمستخدم اللى انت سرقت منة الكوكى وبالتالى ولا من شاف ولا من درى وانت وهوا بتستخدموا نفس جلسة العمل.
- ازاى انا كـ Developer او صاحب موقع احل مشكلة زى دى؟
بسيطة جدا، تقوم بعمل Check شبه دورى على ال cookie وتشوف كام ip addresss بيستخدم الجلسة نفسها بنفس قيمة الكوكى cookie value ومنها تقدر تحذر اليوزر قال والله يابرنس فى حد شاقط ال session دى وبيستخدمها معاك فتحب حضرتك نعمل ايه؟ نطلعه هوا ولا نطلعكم انتوا الاتنين، لو اليوزر (اي واحد من اللي معاه السيشن) اختار خيار "طلعه هوا" اسأله عن كلمة المرور، واللي هيقدمها فيهم صح يبقي هوا صاحب الحساب او ابعتله كود علي رقم الموبايل او الايميل المربوط بالحساب ولو قدمه صح يبقي هوا صاحب الحساب فتقوم قابل منه العمليه وتخرج اخونا التاني برا الحساب!
- متستخدمش فايرفوكس او سفارى فى ادارة حساباتك الحساسة، استخدم جوجل كروم (مش حباً فيهم والله بس بناء على تعبى فى البحث ورأيى المهنى فى الموضوع فجوجل كروم يكسب)
- البحث تم على نظام التشغيل macOS Sierra احدث اصدار، وعلى المتصفحات المذكوره فى البوست بأحدث إصداراتها!
- البوست لا متاخد من مكان ولا متترجم ونتاج مجهود ذاتى قمت بيه ودا لكتابتى ك reverse shell helper payload علشان اقدر أ grab كل ال cookies اثناء عمل اى من Physical Penetration Testing engagement او Social Engineering engagement زى ما وضحت فى بداية البوست فياريت متنساش ان فى حد حط مجهود فى كتابة شئ هيفيد أمنك الشخصي واشكره وشير البوست بدل ما تسرقه.
- دا الباش سكربت واللى بيأدى مهمة جمع وضغط ملفات قواعد بيانات الكوكيز دى من متصفحات مختلفة : الباتش سكربت
0 التعليقات:
إرسال تعليق