GreenSQL: Difference between revisions

From ICO wiki
Jump to navigationJump to search
No edit summary
 
(36 intermediate revisions by 2 users not shown)
Line 7: Line 7:
== Muudatuste ajalugu ==
== Muudatuste ajalugu ==


Viimati muudetud: 09.06.2012
Viimati muudetud: 27.05.2013 Veiko Virk
 
Pooleli: 13.05.2013 Veiko Virk


Versioon 1.1
Versioon 1.1
Line 27: Line 25:


Nagu näha saab SQL andmebaas oma käsud läbi GreenSQL  tulemüüri mis omakorda saab oma käsud läbi veebirakendust jagava serveri. GreenSQL tarkvara saab paigaldada koos andmebaasi tarkvaraga kas sama või eraldi serveri peale. Vaikimisi kasutab GreenSQL kuulamiseks lokaalset ühendust ja porti 127.0.0.1:3305 mis suunab SQL päringud edasi 127.0.0.1:3306  pordi pihta (algsed MySQL seaded). Neid seadeid saab muuta kasutades GreenSQL konsooli.
Nagu näha saab SQL andmebaas oma käsud läbi GreenSQL  tulemüüri mis omakorda saab oma käsud läbi veebirakendust jagava serveri. GreenSQL tarkvara saab paigaldada koos andmebaasi tarkvaraga kas sama või eraldi serveri peale. Vaikimisi kasutab GreenSQL kuulamiseks lokaalset ühendust ja porti 127.0.0.1:3305 mis suunab SQL päringud edasi 127.0.0.1:3306  pordi pihta (algsed MySQL seaded). Neid seadeid saab muuta kasutades GreenSQL konsooli.
Järgnevalt tutvustab juhend vabavaralise GreenSQL 1.3.0 paigaldamist, mida saab laadida lehelt http://www.greensql.net/download .
See versioon ühildub MySQL ja PostgreSQL andmebaasidega.
Saadaval on ka uuem versioon GreenSQL Express, mis toetab ka MS SQL andmebaasi, kuid see eeldab registreerimist lehel http://www.greensql.com .


Juhendi koostamisel on kasutatud Ubuntu 10.10, kuid see peaks sobima ka muude Ubuntu versioonide puhul.
Juhendi koostamisel on kasutatud Ubuntu 10.10, kuid see peaks sobima ka muude Ubuntu versioonide puhul.
Line 41: Line 35:
Saadaval on ka uuem versioon GreenSQL Express, mis toetab ka MS SQL andmebaasi, kuid see eeldab registreerimist lehel http://www.greensql.com .
Saadaval on ka uuem versioon GreenSQL Express, mis toetab ka MS SQL andmebaasi, kuid see eeldab registreerimist lehel http://www.greensql.com .


Juhendi koostamisel on kasutatud Ubuntu 10.10, kuid see peaks sobima ka muude Ubuntu versioonide puhul.
GreenSQL paigaldamiseks ja kasutamiseks võiksid olla vähemalt algteadmised linux käsurea keskkonnast ja andmebaasidest.
Paigaldamiseks tuleb alla laadida paigaldusmeedia, mida saab teha käsuga:
Paigaldamiseks tuleb alla laadida paigaldusmeedia, mida saab teha käsuga:


  wget -O greensql-fw-1.3.0.tar.gz http://elab.itcollege.ee:8000/Day3/greensql-fw_1.3.0_amd64.deb
  wget http://elab.itcollege.ee:8000/Day3/greensql-fw_1.3.0_amd64.deb
Arhiivi lahti pakkimiseks käsk:
 
GreenSQL paigalduse alustamiseks kasutada käsku:
dpkg -i greensql-fw_1.3.0_amd64.deb
 
GreenSQL installatsioon küsib paigalduse käigus MySQL või PostgreSQL andmebaasi seadeid, kus hakkab hoidma oma sisemist konfiguratsiooni ja logisid. Seejärel kuvatakse kasutajale andmebaasi seadistusega seotud küsimusi. Kui paroolid välja arvata, sobivad ka vaikimisi seaded.
 
Esimesest valikaknast valida MySQL andmebaasi tüüp.
 
 
[[File:Greensqldatabase1.JPG]]
 
 
Kuna antud juhul paigaldame GreenSQL tulemüüri kohaliku serveri peale, seega valime selleks localhost.
 
[[File:Greensqldatabase2.JPG]]
 
 
Vaikimisi suunatakse MySQL päringud pordi :3306 pihta.
 
[[File:Greensqldatabase3.JPG]]


tar -zxvf greensql-fw-1.3.0.tar.gz


Kahjuks pole antud arhiivis Debiani/Ubuntu paigaldusfaili, see tuleb ise tekitada.
Sisestada MySQL andmebaasi administraatori kasutajanimi 'root'.
Kuna GreenSQL vajab paigaldamiseks mitmeid teisi rakendusi, siis peab vajalikud rakendused installeerima. Minul tuli paigaldada järgnevad programmid: flex, bison, devscripts, debhelper, libpcre3-dev, libmysqlclient-dev, libpq-dev. Nõutavaid rakendusi võib olla veel, kuid see sõltub sellest, mis masinasse juba paigaldatud on. Antud juhul olid PostgreSQL ja MySQL juba varasemalt paigaldatud. Kui mõni programm puudu on, annab skript selle kohta veateate. Käsurealt paigaldades saab üles-alla kerida kasutades klahve Shift+Page Up/Page Down. Kuna nõutud rakendusi on üsna palju, võtan kasutusele juurkasutaja õigused käsuga
sudo -i


Seejärel tuleb paigaldada vajalikud rakendused kasutades järgnevaid käske:
[[File:Greensqldatabase41.JPG]]
apt-get install flex
apt-get install bison
apt-get install devscripts
apt-get install debhelper
apt-get install libpcre3-dev
apt-get install libmysqlclient-dev
apt-get install libpq-dev


Nüüd saab tekitada GreenSQL paigaldusfaili. Selleks tuleb lahti pakitud kataloogis käivitada käsk:
./build.sh


Kui kõik läheb hästi, teatab skript, et tekitas kataloogi võrra ülespoole .deb faili. Kui mitte, siis tuleb veateateteist välja selgitada, milline programm on puudu ja ka see paigaldada.
Mysql administraatori parooliks määrasime eelnevalt 'student'.


Nüüd saab siis lõpuks asuda GreenSQL installeerimise juurde. Selleks tuleb käivitada käsk:
[[File:Greensqldatabase5.JPG]]
dpkg -i greensql-fw_1.3.0.deb


GreenSQL Debian/Ubuntu installatsioon küsib paigalduse käigus MySQL või PostgreSQL andmebaasi seadeid, kus hakkab hoidma oma sisemist konfiguratsiooni ja logisid. Seejärel seadistatakse vastav andmebaas automaatselt.
Kui paroolid välja arvata, sobivad ka vaikimisi seaded.


[[File:IT-Infra-Greensql.png]]
Edasi kasutame vaikeseadeid kuni kuvatakse välja kus küsitakse GreenSQL andmebaasi kasutajatunnust milleks saab 'student' ja parooliks 'student'.


Kui vaja sisestatud seadeid muuta, siis seda saab teha käsuga:
[[File:Greensqldatabase8.JPG]]
 
 
Kui tekib vajadus seadeid muuta, siis selleks saab kasutada käsku:
  dpkg-reconfigure greensql-fw
  dpkg-reconfigure greensql-fw


Line 82: Line 81:


  /etc/init.d/grensql-fw start
  /etc/init.d/grensql-fw start
 
Või:
Juhuks, kui käivitamine ei õnnestu ja vaja põhjus välja selgitada, siis logifaili leiab /var/log/greensql.log
service greensql-fw start
Juhul kui käivitamine ei õnnestu asub GreenSQL logifail /var/log katalogis failinimega greensql.log


== GreenSQL Console seadistamine ==
== GreenSQL Console seadistamine ==


GreenSQL haldamiseks saab kasutada ka veebipõhist liidest, kuid eelnevalt tuleb see seadistada. Veebiliidese failide vaikimisi asukoht on /usr/share/greesnql-fw/
GreenSQL haldamiseks saab kasutada ka veebipõhist liidest, kuid eelnevalt tuleb see seadistada. Veebiliidese failide vaikimisi asukoht on /usr/share/greesnql-fw/
Lihtsaim viis selle kasutamisele võtmiseks on kataloogi linkimine veebilehe kataloogi:
Lihtsaim viis selle kasutamisele võtmiseks on kataloogi nimelingi tegemine veebilehe kataloogi:
  cd /var/www
  cd /var/www
  ln -s /usr/share/greensql-fw/ greensql
  ln -s /usr/share/greensql-fw/ greensql
Line 120: Line 120:
== Testimine ==
== Testimine ==


Et veenduda GreenSQL'i töötamises ja väljareklaamitud SQL Injection rünnete tõrjumises ning omandada esialgne kogemus GreenSQL'i seadistamisest on vaja testida. Allpool ongi samm-sammult toodud välja GreenSQL'i lihtne katsetamiskäik.
Et veenduda GreenSQL'i tulemüüri toimimises SQL Injection rünnete vastu on GreenSQL tarkvara vaja testida. Järgnevalt on samm-sammult kirjeldatud GreenSQL'i lihtne katsetamiskäik.
GreenSQL'i testimiseks on vaja rakendust, mille vastu ründeid sooritada. Kasutame selliseks otstarbeks spetsiaalselt loodud '''Damn Vulnerable Web Application''''it ja '''MySQL''' andmebaasi. DVWA'd installeerimise kohta leiab asjaliku eestikeelse juhendi [[DVWA|siit]].
GreenSQL'i testimiseks on vaja rakendust, mille vastu ründeid sooritada. Selle eesmärgi saavutamiseks kasutame spetsiaalselt loodud '''Damn Vulnerable Web Application'''' teenust ja '''MySQL''' andmebaasi. '''DVWA''' paigaldamise kohta leiab asjaliku eestikeelse juhendi [[DVWA|siit]].


Kui DVWA ja GreenSQL on installeeritud ja GreenSQL ka käivitatud, siis seadistame DVWA suhtlema MySQL'iga läbi GreenSQL'i. Selleks tuleb otsida DVWA konfiguratsioonifailist '''config.inc.php''' üles järgmine rida ja lisada port, mille pealt GreenSQL kuulama seadistati:
Kui DVWA ja GreenSQL on paigaldatud ning mõlemad teenused töötavad, seadistame DVWA suhtlema MySQL'iga läbi GreenSQL'i. Selleks tuleb leida DVWA konfiguratsioonifail '''config.inc.php''' ja muuta  rida ja lisada port, mille pealt GreenSQL kuulama seadistati:


  $_DVWA[ 'db_server' ] = '127.0.0.1:3305';
  $_DVWA[ 'db_server' ] = '127.0.0.1:3305';


Restardime Apache teenuse:
 
Taaskäivitame Apache teenuse:


  sudo service apache2 restart
  sudo service apache2 restart


Logime nüüd GreenSQL'i sisse http://serverinimi/greensql (vaikimisi kasutaja "admin" ja parool "pwd").
Logime sisse GreenSQL'i veebilidesesse http://serverinimi/greensql (vaikimisi kasutaja "admin" ja parool "pwd").
Lisame "dvwa" andmebaasi:
Lisame "dvwa" andmebaasi:


[[File:gsqladddatabase.PNG]]
[[File:Createdatabasedvwa.JPG]]


[[File:gsqladddatabase2.PNG]]
Vaikimisi on GreenSQL seadistatud kohe '''IPS''' režiimi mis blokeerib enamus '''SQL''' ründeid. '''IPS''' kaitse väljalülitamiseks navigeerime DVWA andmebaasi seadete alla ja valime Blocking Mode '''IDS''' režiimi mis ei blokeeri ründeid, aga tekitab logi kuhu salvestatakse erinevaid andmeid kõrge riskiastmega SQL käskudest.


Kuna vaikimisi on GreenSQL seadistatud kohe '''IPS''' režiimi, aga me tahaks ikka oma rünnakutes esialgu õnnestuda ka, siis lülitame ta DVWA baasi jaoks ringi '''IDS''' režiimi:
[[File:Greensqldatabases.JPG]]


[[File:gsqldatabasesettings.PNG]]
[[File:Greensqldatabasessettings.JPG]]


[[File:gsqldatabasesettingsids.PNG]]


Las GreenSQL'i leht jääb avatuks, siis saame pidevalt oma "töö" tulemusi jälgida.
Liigu GreenSQL veebilehel, ''''Dashboardi''' ribale. '''Latest Security Alerts''' tabelsse tekivad nüüdsest SQL päringud mida GreenSQL peab ohtlikeks. GreenSQL'i veebileht jäägu avatuks, siis saame pidevalt oma "töö" tulemusi jälgida.
Avame DVWA, logime sisse ja kontrollime, et DVWA oleks sätitud kõige madalamale turvalisuse tasemele:
Avame DVWA veebilehe, logime sisse ja kontrollime, et DVWA turvalisuse tase '''Security''' oleks sätitud madalamale tasemele:


[[File:gsqldvwasecuritylow.PNG]]
[[File:Dvwaseclow.JPG]]


Alustame häkkimist. Kuna GreenSQL kaitseb SQL serverit, siis lähme SQLInjection lehele ja proovime kõigepealt kõige lihtsamat tautoloogiat:
 
Kuna GreenSQL kaitseb SQL serverit, siis lähme SQL Injection lehele ja proovime kõigepealt lihtsamat tautoloogiat:


  User ID: a'or 1=1 --  
  User ID: a'or 1=1 --  


(kui ei tööta, siis kontrollige, et tühik ka rea lõppu sai)
(Antud näite puhul kui ei tööta, siis kontrollige, et real lõpus oleks tühik)


[[File:gsql1test.PNG]]
[[File:gsql1test.PNG]]
Line 161: Line 162:
[[File:gsql1testtulem.PNG]]
[[File:gsql1testtulem.PNG]]


Proovime midagi põnevamat:
 
Katsetame keerulisemat päringut:


  User ID: ' union all select user, password FROM dvwa.users --  
  User ID: ' union all select user, password FROM dvwa.users --  
Tulemus:


[[File:gsqldvwausersandpasswords.PNG]]
[[File:gsqldvwausersandpasswords.PNG]]


Nüüd hakkame turvama. Lülitame GreenSQL'st dvwa baasi '''IPS''' režiimi (samast kohast, kust enne IDS'i peale sättisime).
 
Turvalisuse taastamiseks. Lülitame GreenSQL'st dvwa andmebaasi '''IPS''' režiimi (samast kohast, kust enne IDS'i peale seati).
Proovime uuesti eelnevaid päringuid:
Proovime uuesti eelnevaid päringuid:


  User ID: a'or 1=1 --  
  User ID: a'or 1=1 --  


Ei õnnestunud. Proovime uuesti virutada kasutajanimesid ja paroole:
 
Ei õnnestunud. Proovime uuesti küsida kasutajanime ja paroole user tabelist:


  User ID: ' union all select user, password FROM dvwa.users --  
  User ID: ' union all select user, password FROM dvwa.users --  


Õnnestus! Kui GreenSQL'ist alertide lehekülge vaadata, siis näeme, et viimane päring on saanud märke "warning", aga mitte "blocked" nagu eelmine päring:
Õnnestus! Kui GreenSQL'ist alert lehekülge vaadata, siis näeme, et viimane päring on saanud märke "warning", aga mitte "blocked" nagu eelmine päring:


[[File:Greensqlalerts2.PNG]]
[[File:Greensqlalerts2.PNG]]


Et selliseid mitte kõikjal maailmas pahasid päringuid ka tõkestada, selleks on GreenSQL'l režiimid "Learning" ning "Firewall". "Learning" režiimis lisatakse kõik andmebaasi vastu tehtud päringud valgesse nimekirja (whitelist) ja "Firewall" režiimis tõkestatakse kõik need päringud, mida valges nimekirjas pole.
 
Et selliseid ohtlike päringuid tõkestada mida tulemüür ei blokeerinud, selleks on GreenSQL'l režiimid "Learning" ning "Firewall". "Learning" režiimis lisatakse kõik andmebaasi vastu tehtud päringud valgesse nimekirja (whitelist) ja "Firewall" režiimis tõkestatakse kõik need päringud, mida valges nimekirjas pole.
Proovime. Lülitame GreenSQL'i dvwa baasi jaoks '''"Learning"''' režiimi (samast kohast, kust enne IPS'i peale sättisime) ja teeme DVWA SQL Injection aknas paar tavalist päringut:
Proovime. Lülitame GreenSQL'i dvwa baasi jaoks '''"Learning"''' režiimi (samast kohast, kust enne IPS'i peale sättisime) ja teeme DVWA SQL Injection aknas paar tavalist päringut:


Line 186: Line 193:


[[File:gsqltavaparing.PNG]]
[[File:gsqltavaparing.PNG]]


Veendume, et GreenSQL on lisanud meie päringu valgesse nimekirja:
Veendume, et GreenSQL on lisanud meie päringu valgesse nimekirja:
Line 191: Line 199:
[[File:gsqlwhitelistafterlearningmode.PNG]]
[[File:gsqlwhitelistafterlearningmode.PNG]]


Lülitame dvwa baasi jaoks sisse '''"Firewall"''' režiimi ja proovime, kas tavaline päring veel töötab:
 
Lülitame dvwa '''"Firewall"''' režiimi ja proovime, kas tavaline päring veel töötab:


  User ID: 3
  User ID: 3


Töötab, üritame veel paroole küsida:
Töötab.
 
 
Üritame uuesti "union all select user, password FROM dvwa.users" päringut:


  User ID: ' union all select user, password FROM dvwa.users --  
  User ID: ' union all select user, password FROM dvwa.users --  
Line 202: Line 214:


[[File:gsqlresultfirewall.PNG]]
[[File:gsqlresultfirewall.PNG]]


== Testimise kokkuvõte ==
== Testimise kokkuvõte ==
Meie veebiteenuse kasutajanimede ja paroolide konfidentsiaalsus on nüüd märgatavalt tõusnud, kuid, kui teenus ei kasuta ainult ühte päringut, ei saa mingist käideldavusest juttugi olla. Töökeskkonnas tuleks "Learning" režiimile palju rohkem rõhku panna ja õpetada GreenSQL'le kõik-võimalike päringuid, mida teenus kasutab.
Testimise käigus kasutatud DVWA andmebaasi kasutajanimede ja paroolide konfidentsiaalsus on nüüd märgatavalt tõusnud. Töökeskkonnas tuleks "Learning" režiimile palju rohkem rõhku panna ja õpetada GreenSQL'le kõik-võimalike päringuid, mida teenus kasutab, et vähendada ründevõimalusi ja teha ründaja elu võimalikult keeruliseks.
Rohkem SQL Injection'i kohta leiab näiteks sellelt lehelt: http://n0security.blogspot.com/2011/04/sql-injection-in-dvwa.html
Rohkem SQL Injection'i kohta leiab näiteks sellelt lehelt: http://n0security.blogspot.com/2011/04/sql-injection-in-dvwa.html



Latest revision as of 17:26, 11 May 2015

Autorid

Priit Lume AK41 (GreenSQL paigaldamine)

Ulvar Petmanson AK31 (GreenSQL testimine)

Muudatuste ajalugu

Viimati muudetud: 27.05.2013 Veiko Virk

Versioon 1.1

Sissejuhatus

Käesolev juhend tutvustab GreenSQL andmebaasi tulemüüri paigaldamist ja testimist.

GreenSQL on vabavaraline andmebaasi tulemüür mida kasutatakse andmebaaside kaitseks SQL Injection rünnete eest. Tulemüüri tööpõhimõtte seisneb SQL päringute riskianalüüsil, kus SQL käske hinnatakse kasutades selleks spetsiaalset riskide maatriksit. Sammuti blokeeritakse enimlevinud administratiivseid andmebaasi käske nagu (DROP, CREATE) jne.

GreenSQL arhidektuur GreenSQL töötab kui vahemehena veebiserveri ja SQL serveri vahel. See tähendab, et ühendus ei tekitata otse veebiserverist SQL serveriga vaid, ühendus suunatakse esmalt GreenSQL server pihta ja seal edasi andmebaasi serverisse. GreenSQL tarkvara analüüsib SQL päringuid ja edastab need SQL serverile.

Järgnev pilt illustreerib GreenSQL arhitektuuri

Nagu näha saab SQL andmebaas oma käsud läbi GreenSQL tulemüüri mis omakorda saab oma käsud läbi veebirakendust jagava serveri. GreenSQL tarkvara saab paigaldada koos andmebaasi tarkvaraga kas sama või eraldi serveri peale. Vaikimisi kasutab GreenSQL kuulamiseks lokaalset ühendust ja porti 127.0.0.1:3305 mis suunab SQL päringud edasi 127.0.0.1:3306 pordi pihta (algsed MySQL seaded). Neid seadeid saab muuta kasutades GreenSQL konsooli.

Juhendi koostamisel on kasutatud Ubuntu 10.10, kuid see peaks sobima ka muude Ubuntu versioonide puhul. GreenSQL paigaldamiseks ja kasutamiseks võiksid olla vähemalt algteadmised linux käsurea keskkonnast ja andmebaasidest.

GreenSQL paigaldamine

Järgnevalt tutvustab juhend vabavaralise GreenSQL 1.3.0 paigaldamist, mida saab laadida lehelt http://www.greensql.net/download . See versioon ühildub MySQL ja PostgreSQL andmebaasidega. Saadaval on ka uuem versioon GreenSQL Express, mis toetab ka MS SQL andmebaasi, kuid see eeldab registreerimist lehel http://www.greensql.com .

Paigaldamiseks tuleb alla laadida paigaldusmeedia, mida saab teha käsuga:

wget http://elab.itcollege.ee:8000/Day3/greensql-fw_1.3.0_amd64.deb

GreenSQL paigalduse alustamiseks kasutada käsku:

dpkg -i greensql-fw_1.3.0_amd64.deb

GreenSQL installatsioon küsib paigalduse käigus MySQL või PostgreSQL andmebaasi seadeid, kus hakkab hoidma oma sisemist konfiguratsiooni ja logisid. Seejärel kuvatakse kasutajale andmebaasi seadistusega seotud küsimusi. Kui paroolid välja arvata, sobivad ka vaikimisi seaded.

Esimesest valikaknast valida MySQL andmebaasi tüüp.



Kuna antud juhul paigaldame GreenSQL tulemüüri kohaliku serveri peale, seega valime selleks localhost.


Vaikimisi suunatakse MySQL päringud pordi :3306 pihta.


Sisestada MySQL andmebaasi administraatori kasutajanimi 'root'.


Mysql administraatori parooliks määrasime eelnevalt 'student'.


Edasi kasutame vaikeseadeid kuni kuvatakse välja kus küsitakse GreenSQL andmebaasi kasutajatunnust milleks saab 'student' ja parooliks 'student'.


Kui tekib vajadus seadeid muuta, siis selleks saab kasutada käsku:

dpkg-reconfigure greensql-fw

Programmi saab käivitada käsuga:

/etc/init.d/grensql-fw start

Või:

service greensql-fw start

Juhul kui käivitamine ei õnnestu asub GreenSQL logifail /var/log katalogis failinimega greensql.log

GreenSQL Console seadistamine

GreenSQL haldamiseks saab kasutada ka veebipõhist liidest, kuid eelnevalt tuleb see seadistada. Veebiliidese failide vaikimisi asukoht on /usr/share/greesnql-fw/ Lihtsaim viis selle kasutamisele võtmiseks on kataloogi nimelingi tegemine veebilehe kataloogi:

cd /var/www
ln -s /usr/share/greensql-fw/ greensql

Seejärel tuleb anda kõigile kirjutamisõigused kataloogi templates_c, mida kasutatakse lehtede vahemäluna:

cd /var/www/greensql
chmod 0777 templates_c

Samuti tasuks kontrollida, et config.php failis andmebaasiseaded korras oleks. Siis võib juba veebilehitsejat kasutada, vaikimisi kasutajanimi on "admin" ja parool "pwd". Kui sama masin esitab mitut veebilehte, siis näpunäiteid Apache seadistamiseks leiab failist /etc/greensql/greensql-apache.conf


Varundamine ja taastamine

GreenSQL teenuse kiireks taastamiseks oleks kasulik varundada ka teenuse konfiguratsiooni failid. Selleks tuleb kopeerida ohutusse kohta kõik .conf lõpuga failid kataloogist /etc/greensql näiteks nii (asenda allpool näidetes /home/$USER sobiva varukoopia asukohaga):

mkdir /home/$USER/greensqlcfgbackup
cp /etc/greensql/*.conf /home/$USER/greensqlcfgbackup/

Taastamiseks tuleb kopeerida kõik .conf lõpuga failid tagasi /etc/greensql kataloogi ja taaskäivitada greensql teenus:

cp /home/$USER/greensqlcfgbackup/*.conf /etc/greensql/
/etc/init.d greensql-fw restart


GreenSQL sisemiste seadete (k.a. valge nimekirja) varundamine ja taastamine on äärmisel hõlbus veebiliidese abil. Selleks tuleb liideses minna SYSTEM > BACKUB&RESTORE, kus paiknevad vastavad nupud Backup (varunda) ja Restore (taasta). Seaded salvestatakse XML faili.

Testimine

Et veenduda GreenSQL'i tulemüüri toimimises SQL Injection rünnete vastu on GreenSQL tarkvara vaja testida. Järgnevalt on samm-sammult kirjeldatud GreenSQL'i lihtne katsetamiskäik. GreenSQL'i testimiseks on vaja rakendust, mille vastu ründeid sooritada. Selle eesmärgi saavutamiseks kasutame spetsiaalselt loodud Damn Vulnerable Web Application' teenust ja MySQL andmebaasi. DVWA paigaldamise kohta leiab asjaliku eestikeelse juhendi siit.

Kui DVWA ja GreenSQL on paigaldatud ning mõlemad teenused töötavad, seadistame DVWA suhtlema MySQL'iga läbi GreenSQL'i. Selleks tuleb leida DVWA konfiguratsioonifail config.inc.php ja muuta rida ja lisada port, mille pealt GreenSQL kuulama seadistati:

$_DVWA[ 'db_server' ] = '127.0.0.1:3305';


Taaskäivitame Apache teenuse:

sudo service apache2 restart

Logime sisse GreenSQL'i veebilidesesse http://serverinimi/greensql (vaikimisi kasutaja "admin" ja parool "pwd"). Lisame "dvwa" andmebaasi:

Vaikimisi on GreenSQL seadistatud kohe IPS režiimi mis blokeerib enamus SQL ründeid. IPS kaitse väljalülitamiseks navigeerime DVWA andmebaasi seadete alla ja valime Blocking Mode IDS režiimi mis ei blokeeri ründeid, aga tekitab logi kuhu salvestatakse erinevaid andmeid kõrge riskiastmega SQL käskudest.


Liigu GreenSQL veebilehel, 'Dashboardi ribale. Latest Security Alerts tabelsse tekivad nüüdsest SQL päringud mida GreenSQL peab ohtlikeks. GreenSQL'i veebileht jäägu avatuks, siis saame pidevalt oma "töö" tulemusi jälgida. Avame DVWA veebilehe, logime sisse ja kontrollime, et DVWA turvalisuse tase Security oleks sätitud madalamale tasemele:


Kuna GreenSQL kaitseb SQL serverit, siis lähme SQL Injection lehele ja proovime kõigepealt lihtsamat tautoloogiat:

User ID: a'or 1=1 -- 

(Antud näite puhul kui ei tööta, siis kontrollige, et real lõpus oleks tühik)

Tulemus:


Katsetame keerulisemat päringut:

User ID: ' union all select user, password FROM dvwa.users -- 

Tulemus:


Turvalisuse taastamiseks. Lülitame GreenSQL'st dvwa andmebaasi IPS režiimi (samast kohast, kust enne IDS'i peale seati). Proovime uuesti eelnevaid päringuid:

User ID: a'or 1=1 -- 


Ei õnnestunud. Proovime uuesti küsida kasutajanime ja paroole user tabelist:

User ID: ' union all select user, password FROM dvwa.users -- 

Õnnestus! Kui GreenSQL'ist alert lehekülge vaadata, siis näeme, et viimane päring on saanud märke "warning", aga mitte "blocked" nagu eelmine päring:


Et selliseid ohtlike päringuid tõkestada mida tulemüür ei blokeerinud, selleks on GreenSQL'l režiimid "Learning" ning "Firewall". "Learning" režiimis lisatakse kõik andmebaasi vastu tehtud päringud valgesse nimekirja (whitelist) ja "Firewall" režiimis tõkestatakse kõik need päringud, mida valges nimekirjas pole. Proovime. Lülitame GreenSQL'i dvwa baasi jaoks "Learning" režiimi (samast kohast, kust enne IPS'i peale sättisime) ja teeme DVWA SQL Injection aknas paar tavalist päringut:

User ID: 2


Veendume, et GreenSQL on lisanud meie päringu valgesse nimekirja:


Lülitame dvwa "Firewall" režiimi ja proovime, kas tavaline päring veel töötab:

User ID: 3

Töötab.


Üritame uuesti "union all select user, password FROM dvwa.users" päringut:

User ID: ' union all select user, password FROM dvwa.users -- 

Ei õnnestunud!


Testimise kokkuvõte

Testimise käigus kasutatud DVWA andmebaasi kasutajanimede ja paroolide konfidentsiaalsus on nüüd märgatavalt tõusnud. Töökeskkonnas tuleks "Learning" režiimile palju rohkem rõhku panna ja õpetada GreenSQL'le kõik-võimalike päringuid, mida teenus kasutab, et vähendada ründevõimalusi ja teha ründaja elu võimalikult keeruliseks. Rohkem SQL Injection'i kohta leiab näiteks sellelt lehelt: http://n0security.blogspot.com/2011/04/sql-injection-in-dvwa.html


Viited

http://www.greensql.net/howto

http://n0security.blogspot.com/2011/04/sql-injection-in-dvwa.html