HE:WA-C5 Attacking Web Authorization

Tipik bir web uygulaması yetkilendirme modeli

1. Sunucu-tarafı ACL'leri
   
2. Ve yetki/oturum token'leri (COTS yada custom-developed) temel alır.
   

Yetkilendirme (Authorization), klasik olarak login olmuş kullanıcının session bilgisi içindeki access token ile sağlanır. Uygulama, token ile ACL (access control list) arasında karşılaştırma yaparak kullanıcının işlem üzerinde yetkisi olup olmadığına karar verir. Logout olunduğunda yada session zaman aşımına uğradığında token da expire olur.

Çoğu zaman session ID ile access token aynı şeydir.

Yetkilendirmeye saldırı 2 ana alanda olur:

1. Yetki/oturum token'ı hırsızlığı
   
2. Sunucu tarafındaki ACL'i bypass etme.
   

Fingerprinting Authorization

• ACL'lerini crawl etme
  
• Erişim/Oturum token'larını tanıma
  • Yaygın COTS session ID etiketleri için: http://webuygulamalariguvenligi.blogspot.com/2010/05/identifying-server-side-technologies.html
    
• Oturum token'larını analiz etme
  

Yaygın session token içerikleri:

Oturum Bileşeni	Özellikleri Tanımlama	Olası Saldırılar
Timestamp – Datestamp	Encoded olsalar bile sabitçe değişirler. Basit bir string, yada periyodik formatlı 10 basamak sayı.	Bu değeri değitirmek oturum login periyodunu uzatabilir. Replay atakları bu bilgiye dayandırılabilir.
Artan sayı	Her talepte mololitik artar.	Bu değer, değiştirmek oturum hırsızlığına yol açabilir.
Kullanıcı profili	Ad-soyad, adres gibi bilinen değerlerin encoded hali.	Oturum hırsızlığı
Sunucu IP adresi	4 byte; örn. 192.168.0.1 0xC0A80001 (big-endian) yada 0X0100A8C0 (little endian) olabilir.	Değeri değiştirmek oturumu bozabilir, fakat server çiftliği haritasını çıkarmaya yardımcı olur.
İstemci IP adresi	Sunucu IP adresi ile aynı	Replay saldırısı ile oturum hırsızlığına yardı olasılığı

• Base64'ü tanıma: Büyük ve küçük latin harfleri (A-Z, a-z), numaralar (0-9), + ve / işaretleri içeriyorsa ve = ile bitiyorsa büyük ihtimal base64 encoded bir anahtardır.
  
• Fark analizi. Web sitesi 2 farklı kullanıcı ile crawl edilir ve farklar not edilir, cookie verilerindeki fark gibi.
  

Role Matrix