Red Security
RED SECURITY
RedSecurity
Testuję bezpieczeństwo aplikacji webowych:
pentesting@redsecurity.pl
Wśród moich klientów znaleźli się między innymi: systemobsluginajmu.pl Referencje skycms.pl Referencje stronyzklasa.pl Referencje
Odnalazłem krytyczne luki w zabezpieczeniach wielu aplikacji webowych,
należących do Europejskiej Organizacji Badań Jądrowych CERN.
Zostałem wpisany na listę osób, które wzmocniły bezpieczeństwo ich serwisów:
Praktyczne przykłady ataków na aplikacje webowe:
Local file inclusion - podatność polegająca na możliwości zmiany pliku, do którego chce odwołać się aplikacja, stosując konwersje na kodowanie base64 możliwe jest odczytanie zawartości plików wykonywalnych zawierających wrażliwe informacje.
W podanym przykładzie zmusiliśmy aplikacje do odczytania pliku ustawienia.php, który przechowuje dane dostępowe do bazy danych.
OS command injection - podatność polegająca na możliwości wstrzyknięcia komend wykonywanych przez system operacyjny serwera. Dzięki temu atakujący może od razu dostać się na serwer i wykonywać komendy z uprawnieniami bieżącego użytkownika co oznacza możliwość modyfikowania plików na serwerze.
W podanym przykładzie wykonaliśmy zapytanie do zdalnego serwera, umożliwiając z nim trwałe połączenie z uprawnieniami użytkownika www-data.
Path traversal - podatność polegająca na możliwości ucieczki z bieżącego katalogu, którego zawartość aplikacja chce odczytać, dając możliwość odczytywania wszystkich plików na serwerze, do których ma uprawnienia bieżący użytkownik.
W podanym przykładzie pobraliśmy prywatny klucz SSH, który daje możliwość zdalnego dostępu do serwera.
SQL injection - podatność polegająca na możliwości wstrzykiwania zapytań SQL wykonywanych przez bazę danych, dzięki czemu atakujący ma możliwość odczytywania wszystkich informacji w niej zawartych, a często też może te informacje modyfikować. Głównym celem w tego typu atakach są dane logowania do panelu administracyjnego aplikacji webowej.
W podanym przykładzie pobraliśmy listę baz danych, do których ma uprawnienia bieżący użytkownik, jak widzimy jeden błąd na stronie dał nam dostęp do 611 baz danych.
Server-side request forgery - podatność polegająca na możliwości zmuszania serwera, aby wykonał zapytania do wewnętrznych zasobów bądź do zewnętrznych aplikacji. Ta podatność umożliwia czytanie wrażliwych informacji na serwerze i również może służyć do maskowania adresu ip, ponieważ wszystkie zapytania będą wychodziły z podatnego serwera.
W podanym przykładzie uzyskaliśmy dostęp do zasobów serwera, który nie udostępniał publicznie informacji o fakturach, ale gdy wykonaliśmy żądanie z serwera, który należał do tej samej firmy, zapytanie zostało zaakceptowane, umożliwiając czytanie wrażliwych danych.

Dlaczego Twoja aplikacja potrzebuje testów bezpieczeństwa?

Każda zapora może zostać przełamana, jest to tylko kwestia czasu i umiejętności. Zawsze istnieje ryzyko. Moja usługa polega na tym, aby je usunąć.

Angażuję się w różnych momentach cyklu rozwoju oprogramowania. To wyróżniające mnie na rynku podejście pozwala mi wspierać moich Klientów na każdym etapie projektu, umożliwiając zaplanowanie niezbędnych prac testowych, identyfikacje potencjalnych zagrożeń i wyznaczenie założeń projektowych dla wdrażanego rozwiązania. Po zakończeniu testów dostarczam praktyczne wnioski w przejrzystej formie. Raport zawiera metody wykorzystania błędów bezpieczeństwa oraz pokazuje możliwe zagrożenia, na jakie narażona jest firma.

Czym jest audyt zewnętrzny?

Jest to test bezpieczeństwa przeprowadzany zdalnie, z poziomu sieci Internet. Celem testu jest określenie stopnia podatności udostępnianych w sieci usług na różnego rodzaju ataki, na jakie narażone są tego typu systemy „od zewnątrz”.

Posiadam wieloletnie doświadczenie w zakresie realizacji testów penetracyjnych. Korzystam z szerokiej gamy narzędzi, umożliwiających przeprowadzenie dogłębnej analizy aplikacji webowych, niezależnie od platformy i środowiska, w jakim pracuje analizowana aplikacja.

Wszystkie testy przeprowadzane są w uzgodnionych terminach, w taki sposób, aby nie wpłynęły one na prawidłowe funkcjonowanie testowanych systemów i udostępnianych przez nie usług.

Kim jestem?