OWASP TOP 10 | FORCED BROWSİNG
Forced Browsing Nedir?
Zorla göz atma olarak da adlandırılan Forced Browsing, dosyaları numaralandırmayı ve uygulamanın başvurmadığı, ancak yine de alabildiği kaynaklara erişim elde etmeyi amaçlayan bir kaba kuvvet saldırısıdır.
Bu sefer application. security de bulunan OWASP TOP 10 da ki Forced Browsing konusunu ele alacağız vakit kaybetmeden anlatıma ve çözüme başlayalım.
Şimdi ilk olarak shodan arama motorunu açıp OneMED altyapısına karşı OSINT araştırması yapacağız.
Shodan, arama motorunu açtıktan sonra yukardaki search bölümüne onemed yazıp kırmızı arama butonuna basıyoruz ve karşımıza OneMED'in Internet'e yönelik altyapısıyla ilişkili web sunucuları gibi görünenlere atıfta bulunan birkaç bağlantı döndürdü.
Ve bizde ilk önümüze çıkan 41. 208.179. 105 IP adresine giriyoruz.
Ardından karşımıza korumalı bir web arayüzü çıkar.
Şimdi site'de bulunan HTML kaynak kodunu analiz edelim.
<script
Bir web uygulamasının HTML kaynağını gözden geçirmek, uygulamanın yapısını eşlemek ve tarayıcıda görünmeyebilecek geliştirici yorumları, gizli form alanları, URL yolları gibi potansiyel olarak yararlı bilgileri ortaya çıkarmak için kullanılan yaygın bir tekniktir.
"/packs/js/app-ad635b6aa7ee2a229d62.js"
HTML sayfasını analiz ettik ve burda karışık bir javascript kodu içeren küçültülmüş bir JavaScript dosyası var.
Javascript dosyası küçültüldüğünden, aşağıdaki komutu kullanıp LinkFinder aracını çalıştırıp karışık kaynak dosyayı taramaya başlayacağız:
python linkfinder.py -i https://41.208.179.105 -d -o cli
Taramamiz tamamlandı, görseldede gördüğünüz gibi /user/register kırmızı renkte gösteriliyor bunun sebebi Javascript dosyasının taranması, kimlik doğrulaması olmadan potansiyel olarak erişilebilecek gizli bir URL kaynağını ortaya çıkarmasıdır.
Ve şimdi yapıcağımız şey https://41.208.179.105 hedefimize /user/register ekleyip https://41.208.179.105/user/register ilerleyelim.
Değiştirilen URL tarayıcımıza bir kullanıcı kayıt web sayfası yükler.
Not
URL'yi doğrudan çağırarak kısıtlanmış sayfaları veya diğer hassas kaynakları numaralandırma ve bunlara erişim sağlama yeteneği, Forced Browsing güvenlik açığı olarak bilinir.
Korumasız kullanıcı kaydı işlevini belirledikten sonra, görselde verilen bilgiler doğrultusunda bir hesap açmaya çalışalım.
Hesabımızın bilgileri
Ve başardık! listelenmemiş hesap kayıt URL sini keşfederek, OneMED'e üye olurken kimlik doğrulama kontrolünü atladık.
Panoya bakıldığında , uygulamanın dahili bir altyapı ve uygulama izleme aracı olduğu görülüyor ve ayrıca bulutta çalışan OneMED'in tüm uygulama süreçleri, durumları ve çıktılarıyla birlikte listeleniyor.
Peki Bu Saldırıları Nasıl Azaltıcağız?
Forceful Browsing güvenlik açıklarını azaltmak için geliştiriciler, uygulamalarındaki her URL ve web kaynağı için uygun izinlerin ve erişim denetimi ayarlarının uygulandığından emin olmalıdır.
Ayrıca, uygulama sahipleri , üretim ortamlarında geliştirme ve test için kullanılan tüm özel URL yollarını kaldırmalıdır.
Örneğin, bir uygulamanın yalnızca dahili bir web arayüzüne veya API'ye erişmek için özel bir URL yolu varsa, geliştiricilerin özel URL yollarını kapsaması gerekir, böylece yalnızca uygun erişim haklarına sahip kullanıcılar bu arayüzlere erişebilir.
Son olarak, geliştiriciler , belirli IP aralıklarına veya adreslerine erişimlerini kısıtlayarak uygulama hazırlama ve test ortamlarını korumalı ve böylece Shodan gibi arama motorlarının bu varlıkları keşfetmesini ve dizine eklemesini engellemelidir.
Forced Browsing Nedir?
Zorla göz atma olarak da adlandırılan Forced Browsing, dosyaları numaralandırmayı ve uygulamanın başvurmadığı, ancak yine de alabildiği kaynaklara erişim elde etmeyi amaçlayan bir kaba kuvvet saldırısıdır.
Bu sefer application. security de bulunan OWASP TOP 10 da ki Forced Browsing konusunu ele alacağız vakit kaybetmeden anlatıma ve çözüme başlayalım.
Şimdi ilk olarak shodan arama motorunu açıp OneMED altyapısına karşı OSINT araştırması yapacağız.
Shodan, arama motorunu açtıktan sonra yukardaki search bölümüne onemed yazıp kırmızı arama butonuna basıyoruz ve karşımıza OneMED'in Internet'e yönelik altyapısıyla ilişkili web sunucuları gibi görünenlere atıfta bulunan birkaç bağlantı döndürdü.
Ve bizde ilk önümüze çıkan 41. 208.179. 105 IP adresine giriyoruz.
Ardından karşımıza korumalı bir web arayüzü çıkar.
Şimdi site'de bulunan HTML kaynak kodunu analiz edelim.
<script
Bir web uygulamasının HTML kaynağını gözden geçirmek, uygulamanın yapısını eşlemek ve tarayıcıda görünmeyebilecek geliştirici yorumları, gizli form alanları, URL yolları gibi potansiyel olarak yararlı bilgileri ortaya çıkarmak için kullanılan yaygın bir tekniktir.
"/packs/js/app-ad635b6aa7ee2a229d62.js"
HTML sayfasını analiz ettik ve burda karışık bir javascript kodu içeren küçültülmüş bir JavaScript dosyası var.
Javascript dosyası küçültüldüğünden, aşağıdaki komutu kullanıp LinkFinder aracını çalıştırıp karışık kaynak dosyayı taramaya başlayacağız:
python linkfinder.py -i https://41.208.179.105 -d -o cli
Taramamiz tamamlandı, görseldede gördüğünüz gibi /user/register kırmızı renkte gösteriliyor bunun sebebi Javascript dosyasının taranması, kimlik doğrulaması olmadan potansiyel olarak erişilebilecek gizli bir URL kaynağını ortaya çıkarmasıdır.
Ve şimdi yapıcağımız şey https://41.208.179.105 hedefimize /user/register ekleyip https://41.208.179.105/user/register ilerleyelim.
Değiştirilen URL tarayıcımıza bir kullanıcı kayıt web sayfası yükler.
Not
URL'yi doğrudan çağırarak kısıtlanmış sayfaları veya diğer hassas kaynakları numaralandırma ve bunlara erişim sağlama yeteneği, Forced Browsing güvenlik açığı olarak bilinir.
Korumasız kullanıcı kaydı işlevini belirledikten sonra, görselde verilen bilgiler doğrultusunda bir hesap açmaya çalışalım.
Hesabımızın bilgileri
Ve başardık! listelenmemiş hesap kayıt URL sini keşfederek, OneMED'e üye olurken kimlik doğrulama kontrolünü atladık.
Panoya bakıldığında , uygulamanın dahili bir altyapı ve uygulama izleme aracı olduğu görülüyor ve ayrıca bulutta çalışan OneMED'in tüm uygulama süreçleri, durumları ve çıktılarıyla birlikte listeleniyor.
Peki Bu Saldırıları Nasıl Azaltıcağız?
Forceful Browsing güvenlik açıklarını azaltmak için geliştiriciler, uygulamalarındaki her URL ve web kaynağı için uygun izinlerin ve erişim denetimi ayarlarının uygulandığından emin olmalıdır.
Ayrıca, uygulama sahipleri , üretim ortamlarında geliştirme ve test için kullanılan tüm özel URL yollarını kaldırmalıdır.
Örneğin, bir uygulamanın yalnızca dahili bir web arayüzüne veya API'ye erişmek için özel bir URL yolu varsa, geliştiricilerin özel URL yollarını kapsaması gerekir, böylece yalnızca uygun erişim haklarına sahip kullanıcılar bu arayüzlere erişebilir.
Son olarak, geliştiriciler , belirli IP aralıklarına veya adreslerine erişimlerini kısıtlayarak uygulama hazırlama ve test ortamlarını korumalı ve böylece Shodan gibi arama motorlarının bu varlıkları keşfetmesini ve dizine eklemesini engellemelidir.