Secure programming/pl: what changed
Revision 2 to 3. Removed lines have a minus sign; added lines have a plus sign.
| Old | New | Line | |
|---|---|---|---|
| 1 | 1 | Bezpieczne programowanie | |
| 2 | 2 | ||
| 3 | 3 | ## Przedmowa | |
| 4 | 4 | ||
| 5 | 5 | Ta strona wiki jest próbą nauczenia innego podejścia do tworzenia oprogramowania. Strona wykorzystuje bardzo proste przykłady, aby pokazać, że wiele problemów można wykorzystać w celu wykonania ataku bezpieczeństwa na komputer, program lub cały system. | |
| 6 | 6 | ||
| 7 | 7 | Należy pamiętać, że dokument jest tylko początkiem nauki pisania lepszego i nieco bezpieczniejszego kodu, ale nie stanowi kompletnego przewodnika, jak to zrobić. W rzeczywistości jest to tylko krótki przegląd tego, jak musimy widzieć nasz kod i program oraz jak uniknąć wielu typowych problemów, które tam występują. | |
| 8 | 8 | ||
| 9 | 9 | Proszę pamiętać, że ten dokument dotyczy edukacji w celu lepszego kodowania, a nie przewodnika po hakowaniu i łamaniu programów. | |
| 10 | 10 | ||
| 11 | 11 | Możesz być także zainteresowany zasadami [[The Power of 10/pl|The Power of 10]], aby uzyskać bardziej zwięzłą poradę. | |
| 12 | 12 | ||
| 13 | 13 | ## Nie ufaj danym wejściowym | |
| 14 | 14 | ||
| 15 | 15 | Podczas tworzenia programu jest prawdopodobne, że będzie on w jakiś sposób wchodził w interakcję z użytkownikiem, nawet jeśli oznacza to jedynie odczytywanie plików w systemie i prezentację danych. | |
| 16 | 16 | ||
| 17 | 17 | Zwykle w szkołach i na uniwersytetach, gdy zaczyna się pisać programy, osoba ta uczy się, jak otrzymywać dane wejściowe, podczas gdy nauczyciele zwykle mówią tej osobie „załóż, że dane, które otrzymujesz, są prawidłowe”. Wtedy zaczynają się problemy: | |
| 18 | 18 | ||
| 19 | 19 | > **Note:** Nie możemy ufać żadnym danym wejściowym, których nie możemy kontrolować, ponieważ ich zawartość jest nieznana i może wykorzystywać lukę w naszym oprogramowaniu. | |
| 20 | 20 | ||
| 21 | 21 | Czytanie z pliku to odczytywanie niezaufanych danych wejściowych, podobnie jak odczytywanie danych wejściowych użytkownika lub akceptowanie danych wejściowych z sieci. | |
| 22 | 22 | ||
| 23 | 23 | ### Dlaczego nie mogę ufać danym wejściowym? | |
| 24 | 24 | ||
| 25 | 25 | Aby zrozumieć, dlaczego dane wejściowe są niebezpieczne, najpierw musimy zrozumieć, czym są dane wejściowe. | |
| 26 | 26 | ||
| 27 | 27 | Dane wejściowe mogą pochodzić z naciśnięcia klawisza, ruchu myszy lub kliknięcia przycisku myszy, lub z odczytywania i akceptowania informacji z wielu innych sposobów, takich jak strumień danych lub nawet funkcje systemowe. W rzeczywistości wszystko, co Twój program otrzymuje z zewnątrz, to są dane wejściowe. | |
| 28 | 28 | ||
| 29 | 29 | Nie ma znaczenia, jaki jest rodzaj danych wejściowych: na przykład użytkownik lub inny system może podać nam błędne dane, a przyczyny mogą być celowe lub pomyłka. Nie możesz kontrolować tego wejścia, a głównym powodem jest to, że nie możesz odgadnąć, jakie będą to dane wejściowe. | |
| 30 | 30 | ||
| 31 | 31 | Wynikiem mogą być puste (NULL) „dane”, które podaje nam użytkownik, liczba wykraczająca poza nasz oczekiwany zakres lub większa ilość znaków niż oczekiwaliśmy, a nawet próba zmiany adresu zmiennej, która akceptuje dane wejściowe od użytkownika. Po prostu nie wiemy, jakie dane wprowadzi użytkownik. | |
| 32 | 32 | ||
| 33 | 33 | Każde „niebezpieczne” postępowanie z danymi wejściowymi może spowodować pobranie krytycznych informacji, których użytkownik nie może zobaczyć, lub modyfikację danych, do której użytkownik nie jest upoważniony, uszkodzenie danych, a nawet uszkodzenie (zawieszenie) samego programu. | |
| 34 | 34 | ||
| 35 | 35 | ### Jakich problemów możemy się spodziewać? | |
| 36 | 36 | ||
| 37 | 37 | Przy każdym typie błędu prawdopodobnie znajdziesz inny sposób ataku, ale chciałbym podać krótką listę bardzo powszechnych rodzajów ataków, zamiast opisywać wiele ich typów. | |
| 38 | 38 | ||
| 39 | 39 | Najczęstsze rodzaje ataków to: | |
| 40 | 40 | ||
| 41 | 41 | #### Przepełnienie bufora | |
| 42 | 42 | ||
| 43 | 43 | Gdy otrzymane dane przepełnią ilość pamięci, która została dla nich przydzielona: | |
| 44 | 44 | ||
| 45 | 45 | ``` pascal | |
| 46 | 46 | var | |
| 47 | 47 | iNums : array [0..9] of integer; | |
| 48 | 48 | ... | |
| 49 | 49 | FillChar (iNums[-1], 100, #0); | |
| 50 | 50 | ... | |
| 51 | 51 | for i := -10 to 10 do | |
| 52 | 52 | readln (iNums[i]); | |
| 53 | 53 | ... | |
| 54 | 54 | ``` | |
| 55 | 55 | ||
| 56 | 56 | Na tym przykładzie widać, że dla statycznej tablicy iNums daliśmy możliwość przyjęcia tylko 10 liczb, podczas gdy potem próbujemy wprowadzić 21 liczb. | |
| 57 | 57 | ||
| 58 | 58 | Należy pamiętać, że chociaż kompilator może ostrzegać w prostych przypadkach, to nie zawsze będzie on reagował w bardziej rozbudowanych formach. | |
| 59 | 59 | ||
| 60 | 60 | Jeśli użytkownik może wprowadzić dane, które są wysyłane do bufora, może on podać pewne wartości, które można zinterpretować jako instrukcje kodu maszynowego, a te zostaną zapisane poza naszym buforem. Komputer mógłby wtedy wykonać ten kod zamiast kodu, który powinien tam być. To jest własnie przepełnienie bufora. | |
| 61 | 61 | ||
| 62 | 62 | #### Atak DoS | |
| 63 | 63 | ||
| 64 | 64 | Denial of Service to nie tylko problem sieciowy, ale może istnieć również na wiele innych sposobów: | |
| 65 | 65 | ||
| 66 | 66 | ``` pascal | |
| 67 | 67 | procedure Recurse; | |
| 68 | 68 | begin | |
| 69 | 69 | while (True) do | |
| 70 | 70 | begin | |
| 71 | 71 | Recurse; | |
| 72 | 72 | end; | |
| 73 | 73 | end; | |
| 74 | 74 | ``` | |
| 75 | 75 | ||
| 76 | 76 | Ta procedura będzie działać, dopóki system nie wyczerpie zasobów, ponieważ przy każdej rekursji przydziela więcej pamięci stosu i spowoduje, że system przestanie odpowiadać, a nawet ulegnie awarii. Chociaż niektóre systemy – takie jak Linux – będą próbowały dać ci możliwość zaprzestania uruchamiania programu, zajmie ci to dużo czasu. | |
| 77 | 77 | ||
| 78 | 78 | Należy pamiętać, że jest to tylko statyczny przykład, ale przeprowadziliśmy atak DoS na system uruchamiając ten kod. | |
| 79 | 79 | ||
| 80 | 80 | Innym znanym atakiem DoS jest brak zwolnienia zasobów systemowych, takich jak pamięć, gniazda, deskryptory plików itp. | |
| 81 | 81 | ||
| 82 | 82 | Na przykład: | |
| 83 | 83 | ||
| 84 | 84 | ``` pascal | |
| 85 | 85 | ... | |
| 86 | 86 | begin | |
| 87 | 87 | while True do | |
| 88 | 88 | begin | |
| 89 | 89 | Getmem(OurPtr, 10); | |
| 90 | 90 | OurPtr := Something; | |
| 91 | 91 | end; | |
| 92 | 92 | end. | |
| 93 | 93 | ``` | |
| 94 | 94 | ||
| 95 | 95 | Ten przykład pokazuje alokację pamięci (Getmem jest jak malloc w C: rezerwuje pamięć do jakiegoś użycia), ale kończymy wykonywanie kodu bez zwalniania pamięci pod koniec jej używania. | |
| 96 | 96 | ||
| 97 | 97 | #### Wstrzyknięcia | |
| 98 | 98 | ||
| 99 | 99 | Kiedy użytkownik podaje nam dane wejściowe, a my pracujemy na danym wejściu bezpośrednio bez oczyszczania go, użytkownik może umieścić coś w niektórych tagach SQL lub kodzie (takim jak kod skryptu lub kod maszynowy), co sprawi, że nasz program będzie wykonywał pewne dodatkowe działania (np. usunięcie niektórych rekordów/tabeli, wysłanie użytkownikowi pewnych zastrzeżonych danych, takich jak struktura bazy danych/tabeli, użytkownik bazy danych i hasło, zawartość katalogu lub pliku, a nawet uruchomienie programu na komputerze). | |
| 100 | 100 | ||
| 101 | 101 | Przykład wstrzyknięcia SQL: | |
| 102 | 102 | ||
| 103 | 103 | Dane wejściowe użytkownika: Podaj swoje imię i nazwisko: a' OR 1=1 | |
| 104 | 104 | ||
| 105 | 105 | Wewnątrz kodu: | |
| 106 | 106 | ||
| 107 | 107 | ``` pascal | |
| 108 | 108 | ... | |
| 109 | 109 | Write('Proszę, wpisać swoje imię: '); | |
| 110 | 110 | ReadLn(sName); | |
| 111 | 111 | Query1.SQL.Add('SELECT Password FROM tblUsers WHERE Name='#32 + sName + #32); | |
| 112 | 112 | ... | |
| 113 | 113 | ``` | |
| 114 | 114 | ||
| 115 | 115 | Przesłanie tej instrukcji SQL jako danych wejściowych użytkownika spowoduje, że nasze zapytanie doda „ OR 1=1” do instrukcji SQL przekazanej do bazy danych: w tym przypadku zawsze skutkuje to prawdą, a użytkownik uzyskał nieautoryzowany dostęp do programu. | |
| 116 | 116 | ||
| 117 | 117 | ## Dostęp do Twoich danych i modyfikacja | |
| 118 | 118 | ||
| 119 | 119 | Nie tylko Twój program będzie miał dostęp do danych, z których korzysta. Jeśli przechowujesz dane w plikach lub (zdalnych) bazach danych, atakujący może uzyskać do nich dostęp za pośrednictwem systemu operacyjnego (i/lub bazy danych i/lub warstwy sieci/protokołu bazy danych). | |
| 120 | 120 | ||
| 121 | 121 | ### Szyfrowanie: czy to wystarczy? | |
| 122 | 122 | ||
| 123 | 123 | Aby przeciwdziałać opisanemu powyżej wątkowi, programiści często stosują szyfrowanie. Szyfrowanie może służyć do zapewnienia: | |
| 124 | 124 | ||
| 125 | 125 | - ochrony poufności danych | |
| 126 | 126 | - niezaprzeczalności (to dane stworzone przez osobę, która je stworzyła) i integralności (czy dane są niezmienione) (za pomocą dodatkowych mechanizmów, takich jak podpisy cyfrowe/haszowanie) | |
| 127 | 127 | ||
| 128 | 128 | zarówno dla | |
| 129 | 129 | ||
| 130 | 130 | - przekazywania danych | |
| 131 | 131 | - przechowywania/odzyskiwania danych | |
| 132 | 132 | ||
| 133 | 133 | Jeśli korzystasz z tych metod, Twoje dane nie są jednak automatycznie bezpieczne. | |
| 134 | 134 | ||
| 135 | 135 | Istnieje wiele możliwych ataków na zaszyfrowane dane: | |
| 136 | 136 | ||
| 137 | 137 | - atak na niezabezpieczone algorytmy lub implementację (np. przy użyciu ataku ze znanym tekstem jawnym) | |
| 138 | 138 | - atak na klucze szyfrujące (np. poprzez odwrotną inżynierię Twojego programu, np. jeśli przechowuje klucze w pliku lub w sobie, lub poprzez łatanie programu, aby przechwycił klucze/hasła szyfrujące wprowadzane przez użytkownika). | |
| 139 | 139 | ||
| 140 | 140 | Jeśli nie wiesz dokładnie, co robisz (i nie będziesz wiedzieć, chyba że masz przeszkolenie kryptograficzne), użyj (w kolejności malejącej preferencji): | |
| 141 | 141 | ||
| 142 | 142 | - dobrze znane biblioteki, które są utrzymywane/łatane (np. wbudowane biblioteki FPC i biblioteki takie jak DCPCrypt lub biblioteki zewnętrzne, takie jak openssl lub cryptlib), które używają dobrze znane/powszechnie używane protokoły, i które używają dobrze znane/powszechnie używane algorytmy | |
| 143 | 143 | - Użyj np. zaufane uwierzytelnianie/SSPI dla połączeń z bazą danych SQL Server/Firebird, aby uniknąć wysyłania haseł przez sieć (Firebird 2 i niższe: w postaci zwykłego tekstu!) i polegać na bezpieczeństwie systemu operacyjnego do uwierzytelniania. | |
| 144 | 144 | - użyj cryptlib lub openssl z Synapse do wdrożenia SSL/TLS zamiast rozwijania własnego rozwiązania | |
| 145 | 145 | - dobrze znane/powszechnie używane protokoły/API zamiast rozwijania własnych. Protokoły te muszą wykorzystywać dobrze poznane/szeroko stosowane algorytmy kryptograficzne/haszujące. Przykłady: | |
| 146 | 146 | - GPG/PGP | |
| 147 | 147 | - TLS (SSL) z PKI/CA (najlepiej nie ufaj tylko tym urzędom, których potrzebujesz i wykonuj uwierzytelnianie za pomocą certyfikatu klienta, jeśli wymaga tego analiza zagrożeń) | |
| 148 | 148 | - SSH (np. z uwierzytelnianiem klucza publicznego/prywatnego, w razie potrzeby wzmocniony hasłami do kluczy) | |
| 149 | 149 | - w systemie Windows użyj interfejsu API, aby uzyskać aktualnie uwierzytelnionego użytkownika. Jeśli wymuszasz odpowiednie zabezpieczenia systemu operacyjnego (długość hasła, zmiany, dostęp fizyczny itp.), nie musisz zarządzać własnym mechanizmem ogsługi nazwy użytkownika/hasła na poziomie aplikacji. | |
| 150 | 150 | - dobrze poznane algorytmy kryptograficzne/haszujące (takie jak AES/Rijndael, 3DES i SHA512). Zachowaj ostrożność w zakresie akceptowanych algorytmów (np. MD5 jest niezabezpieczony do podpisywania wiadomości). | |
| 151 | 151 | ||
| 152 | 152 | Szyfrowanie jest częścią zestawu możliwych środków bezpieczeństwa; wysiłek/pieniądze na to wydane powinny zostać ocenione w ramach analizy bezpieczeństwa (patrz poniżej). | |
| 153 | 153 | ||
| 154 | 154 | ## Mity i założenia | |
| 155 | 155 | ||
| 156 | 156 | Wiele problemów związanych z bezpieczeństwem wynika z ignorowania ważnych ostrzeżeń i informacji przekazanych przez kompilator oraz z myślenia, że program nie zawiera żadnego możliwego do wykorzystania problemu. | |
| 157 | 157 | ||
| 158 | 158 | Oto kilka przykładów tego typu problemów: | |
| 159 | 159 | ||
| 160 | 160 | ### mity | |
| 161 | 161 | ||
| 162 | 162 | - Bezpieczeństwo przez ukrycie – Gdy nikt nie wie o problemie, nikt nie może z niego skorzystać; np. użyj niejasnej nazwy kolumny do przechowywania haseł w swojej bazie danych. | |
| 163 | 163 | - Bezpieczny język programowania – Istnieją języki takie jak Perl, które wielu ludzi uważa za bezpieczne przed przepełnieniem bufora i innymi lukami, choć nie jest to prawdą. | |
| 164 | 164 | - Hasło haszowane jest bezpieczne — plik z haszowanym hasłem nie jest bezpieczny. Hash może odpowaidać tylko jednej wartości i nie można odzyskać oryginalnych danych. Ale „zahaszowane hasło może zostać odzyskane za pomocą ataku typu brute force lub tęczowej tablicy i dlatego wymaga użycia soli lub wielu rund haszujących”: --BigChimp 16:19, 24 July 2011 (CEST)'' | |
| 165 | 165 | - Nic nie może zepsuć mojego programu – przekonanie, że jesteś jedynym programistą na świecie, który pisze bezbłędny kod, jest prawdopodobnie zbyt optymistyczne. Może masz szczęście i po prostu piszesz kod, który nie działa poprawnie bez luk w zabezpieczeniach, które można wykorzystać... | |
| 166 | 166 | ||
| 167 | 167 | ### założenia | |
| 168 | 168 | ||
| 169 | 169 | - Zespół QA znajdzie i naprawi moje błędy bezpieczeństwa. | |
| 170 | 170 | - Użytkownik (lub ktoś inny) nie zaatakuje mojego programu i jego danych. | |
| 171 | 171 | - Mój program będzie używany tylko do pierwotnego użytku. | |
| 172 | 172 | - Wszystkie wyjątki mogą pozostać nieobsłużone. | |
| 173 | 173 | ||
| 174 | 174 | ## Analizuj, aby zrozumieć zagrożenia i bezpieczeństwo | |
| 175 | 175 | ||
| 176 | 176 | Generalnie programista (lub jego pracodawcy/właściciele firmy) powinien przeprowadzić analizę wszystkich zagrożeń (od fizycznego dostępu/ataku po ataki logiczne i socjotechniczne) dla całego systemu (w tym infrastruktury – OS, bazy danych, sieci a także fizycznej maszyny/okablowanie/budynki/połączenia zewnętrzne), aby przeanalizować, czy nie pozostawiasz otwartej luki w zabezpieczeniach, która jest niedopuszczalna (z perspektywy ryzyka/korzyści). | |
| 177 | 177 | ||
| 178 | 178 | Zakres analizy powinien zależeć od wartości danych/procesów chronionych przez system. Oczywiście nie ma sensu szaleć, próbując przeanalizować fizyczne bezpieczeństwo swojego domu podczas opracowywania programu hobbystycznego, aby śledzić wyniki brydżowe. | |
| 179 | 179 | ||
| 180 | 180 | Korzyści z tego rodzaju analiz: | |
| 181 | 181 | ||
| 182 | 182 | - zagrożenia pozostające po ogłoszeniu lub ujawnieniu środków bezpieczeństwa. Często toczy się dyskusja na temat prawdopodobieństwa wystąpienia tego ryzyka lub związanego z nim wpływu, ale fakt, że istnieje jakiś potencjalny wektor ataku sprawia, że jest on przynajmniej jasny i można podejmować decyzje na podstawie tych informacji | |
| 183 | 183 | - dość łatwo można zobaczyć, jakie środki bezpieczeństwa są przeprojektowane („zbyt bezpieczne”, marnotrawstwo pieniędzy) lub niedopracowane („niewystarczająco bezpieczne”). Jeśli nie możesz teraz wykorzystać tych informacji, możesz przynajmniej uczyć się z nich dla innych projektów, w tym przyszłej konserwacji/modyfikacji programu | |
| 184 | 184 | ||
| 185 | 185 | ## Konkretne rozwiązania | |
| 186 | 186 | ||
| 187 | 187 | Skoro znamy już pewne problemy, które możemy napotkać podczas tworzenia programów, powinniśmy dowiedzieć się, jak je naprawić. Wszystkie problemy, które widzieliśmy powyżej, przejawiają się w dwóch typach: założenia i brak starannego programowania. A żeby nauczyć się je naprawiać, najpierw musimy nauczyć się myśleć w inny sposób niż dotychczas. | |
| 188 | 188 | ||
| 189 | 189 | ### Przepełnienie | |
| 190 | 190 | ||
| 191 | 191 | Aby naprawić przepełnienie danych, takie jak bufory i inne rodzaje danych wejściowych, musimy przede wszystkim zidentyfikować rodzaj danych, z którymi musimy pracować. | |
| 192 | 192 | ||
| 193 | 193 | #### Przepełnienie bufora | |
| 194 | 194 | ||
| 195 | 195 | Jeśli wrócimy do naszego przykładu: | |
| 196 | 196 | ||
| 197 | 197 | ``` pascal | |
| 198 | 198 | var | |
| 199 | 199 | iNums: array [0..9] of Integer; | |
| 200 | 200 | ... | |
| 201 | 201 | FillChar(iNums[-1], 100, #0); | |
| 202 | 202 | ... | |
| 203 | 203 | for i := -10 to 10 do | |
| 204 | 204 | ReadLn(iNums[i]); | |
| 205 | 205 | ... | |
| 206 | 206 | ``` | |
| 207 | 207 | ||
| 208 | 208 | Widzimy tutaj zakres, który został przepełniony naszymi wartościami, nawet nie sprawdzając, czy numer indeksu jest poprawny. | |
| 209 | 209 | ||
| 210 | 210 | W tablicach dynamicznych/otwartych w Pascalu możemy poznać limity przydzielonej pamięci. Więc wszystko, co musimy zrobić, to sprawdzić, czy rozmiar nie jest za mały lub za duży dla naszego bufora i ograniczyć akceptację do rozmiaru, jaki sobie życzymy. | |
| 211 | 211 | ||
| 212 | 212 | Zatem przykład należy zmienić na: | |
| 213 | 213 | ||
| 214 | 214 | ``` pascal | |
| 215 | 215 | var | |
| 216 | 216 | iNums: array [0..9] of Integer; | |
| 217 | 217 | ||
| 218 | 218 | ... | |
| 219 | 219 | FillChar (iNums[Low(iNums)], High(iNums), #0); | |
| 220 | 220 | ... | |
| 221 | 221 | ||
| 222 | 222 | for i := Low(iNums) to High(iNums) do | |
| 223 | 223 | ReadLn(iNums[i]); | |
| 224 | 224 | ... | |
| 225 | 225 | ``` | |
| 226 | 226 | ||
| 227 | 227 | Ale czekaj, coś jest jeszcze nie tak! | |
| 228 | 228 | ||
| 229 | 229 | Readln przyjmie nieograniczoną ilość znaków i nikt nam nie obiecuje, że będzie to liczba całkowita lub nawet z zakresu, który możemy obsłużyć. | |
| 230 | 230 | ||
| 231 | 231 | #### Przepełnienie liczby | |
| 232 | 232 | ||
| 233 | 233 | Podczas gdy łańcuch w Pascalu jest czystą tablicą (hrmm hrmm.. niezupełnie, przynajmniej nie w FPC, ale załóżmy przez chwilę, że jest, OK?), więc *readln* spróbuje znaleźć i zobaczyć, jakie są jego limity i czy nie spróbujemy przekroczyć zakresu, który nadaliśmy temu typowi, ale liczby nie są takie same. | |
| 234 | 234 | ||
| 235 | 235 | Liczby mają ograniczenia, komputer/kompilator ma wiele ograniczeń dotyczących pamięci i liczb. Może dać tylko „małą” ilość pamięci na liczby (liczby zmiennoprzecinkowe i całkowite). I w większości przypadków nie potrzebujemy uzywać dużego zakresu liczb (jak zmienna logiczna, która zwykle potrzebuje tylko dwóch liczb). | |
| 236 | 236 | ||
| 237 | 237 | W powyższym przykładzie możemy mieć przepełnienie bufora, które spowoduje błąd sprawdzania zakresu, który da nam złą liczbę (problemy z przypomnieniem Carry Flag (flaga przeniesienia)... nie będę ich tutaj wyjaśniać), a także mamy efekt DoS, ponieważ nasz program zatrzyma się w tym momencie. | |
| 238 | 238 | ||
| 239 | 239 | Więc co możemy zrobić, aby to naprawić? | |
| 240 | 240 | ||
| 241 | 241 | Przede wszystkim możemy chcieć pracować ze zmienną łańcuchową, która będzie odpowiadała największej długości liczby +1 (dla znaku minus) lub możemy stworzyć własną procedurę/funkcję readln, która będzie specjalizować się w typie integer. | |
| 242 | 242 | ||
| 243 | 243 | Dla pierwszej opcji możemy wykonać następujące czynności (skopiowane z dokumentacji FPC): | |
| 244 | 244 | ||
| 245 | 245 | ``` pascal | |
| 246 | 246 | Program Example74; | |
| 247 | 247 | ||
| 248 | 248 | { Program do demonstracji funkcji Val. } | |
| 249 | 249 | Var | |
| 250 | 250 | I, Code: Integer; | |
| 251 | 251 | begin | |
| 252 | 252 | Val(ParamStr(1), I, Code); | |
| 253 | 253 | If Code <> 0 then | |
| 254 | 254 | Writeln('Błąd na pozycji ', code, ' : ', Paramstr(1)[Code]) | |
| 255 | 255 | else | |
| 256 | 256 | Writeln('Wartość : ', I); | |
| 257 | 257 | end. | |
| 258 | 258 | ``` | |
| 259 | 259 | ||
| 260 | 260 | Tutaj widzimy, jak przekonwertować łańcuch na liczbę całkowitą z bardzo łatwą obsługą błędów. Funkcja *StrToInt* także może załatwić sprawę, ale wtedy musimy przechwycić wyjątek w przypadku obsługi błędów. | |
| 261 | 261 | ||
| 262 | 262 | Oto mały przykład małej procedury typu *readln* dla liczb całkowitych. | |
| 263 | 263 | ||
| 264 | 264 | ``` pascal | |
| 265 | 265 | program MyReadln; | |
| 266 | 266 | uses | |
| 267 | 267 | CRT; | |
| 268 | 268 | ||
| 269 | 269 | procedure MyIntReadLn(var Param: Integer; ParamLength: Integer); | |
| 270 | 270 | var | |
| 271 | 271 | Line: string; | |
| 272 | 272 | ch: char; | |
| 273 | 273 | Error: Integer; | |
| 274 | 274 | begin | |
| 275 | 275 | Line := ''; | |
| 276 | 276 | ||
| 277 | 277 | repeat | |
| 278 | 278 | ch := ReadKey; | |
| 279 | 279 | if (Length (Line) <> ParamLength) then | |
| 280 | 280 | begin | |
| 281 | 281 | if (ch in ['0'..'9']) then | |
| 282 | 282 | begin | |
| 283 | 283 | Line := Line + ch; | |
| 284 | 284 | write (ch); | |
| 285 | 285 | end | |
| 286 | 286 | else | |
| 287 | 287 | if (ch = '-') and (Length(Line) = 0) then | |
| 288 | 288 | begin | |
| 289 | 289 | Line := '-'; | |
| 290 | 290 | write (ch); | |
| 291 | 291 | end; | |
| 292 | 292 | end; | |
| 293 | 293 | ||
| 294 | 294 | if (ch = #8) and (Length(Line) <> 0) then // backspace | |
| 295 | 295 | begin | |
| 296 | 296 | Line := Copy(Line, 1, Length(Line) - 1); | |
| 297 | 297 | gotoxy(WhereX - 1, WhereY); | |
| 298 | 298 | write(' '); | |
| 299 | 299 | gotoxy(WhereX - 1, WhereY); | |
| 300 | 300 | end; | |
| 301 | 301 | until (ch = #13); | |
| 302 | 302 | ||
| 303 | 303 | val(Line, Param, Error); | |
| 304 | 304 | ||
| 305 | 305 | if (Error <> 0) then | |
| 306 | 306 | Param := 0; | |
| 307 | 307 | ||
| 308 | 308 | writeln; | |
| 309 | 309 | end; | |
| 310 | 310 | ||
| 311 | 311 | var | |
| 312 | 312 | Num : Integer; | |
| 313 | 313 | begin | |
| 314 | 314 | Write('Number: '); | |
| 315 | 315 | MyIntReadLn(Num, 2); | |
| 316 | 316 | WriteLn('The number is: ', Num); | |
| 317 | 317 | end. | |
| 318 | 318 | ``` | |
| 319 | 319 | ||
| 320 | 320 | Pamiętaj, że możesz uczynić go jeszcze lepszym i bardziej wydajnym, jeśli chcesz. To tylko bardzo mały przykład pokazujący, jak to zrobić. | |
| 321 | 321 | ||
| 322 | 322 | #### Jakie są zagrożenia bezpieczeństwa w Przepełnieniach? | |
| 323 | 323 | ||
| 324 | 324 | Przepełnienie pamięci może pozwolić na wykonanie dowolnego kodu procesora, a użytkownicy mogą uruchamiać dowolny typ kodu i nic nie może ich powstrzymać. | |
| 325 | 325 | ||
| 326 | 326 | ### Blokada usług DoS | |
| 327 | 327 | ||
| 328 | 328 | Blokada usług (DoS) to jeden z najtrudniejszych rodzajów ataków, którym należy zapobiec. Powody to: | |
| 329 | 329 | ||
| 330 | 330 | - Blokada usług może być wykonana nawet bez błędów, które można wykorzystać, na przykład przy użyciu programu „ping” na wielu komputerach w celu DoS komputera podłączonego do Internetu. | |
| 331 | 331 | - Każdy zasób systemowy może być ofiarą DoS, taką jak otwieranie gniazd, odczytywanie plików lub przydzielanie pamięci. | |
| 332 | 332 | - Usunięcie plików takich jak moduł jądra może spowodować duży problem. *Nie rozumiem tego wiersza --BigChimp 19:32, 24 lipca 2011 (CEST)* | |
| 333 | 333 | - Brak konfiguracji lub niewłaściwa konfiguracja może również spowodować blokadę usług, jeśli pozwala to na niewłaściwe wykorzystanie wrażliwych zasobów. | |
| 334 | 334 | - Za dużo uprawnień lub ich brak *Nie rozumiem. Niewystarczająca liczba uprawnień może stanowić problem. Ale za dużo? To oczywiście zagrożenie bezpieczeństwa, ale nie problem DoS. --[[Użytkownik:BigChimp|BigChimp]] 19:32, 24 lipca 2011 r. (CEST)*. | |
| 335 | 335 | - Prawie każdy rodzaj exploita może spowodować blokadę usług. | |
| 336 | 336 | ||
| 337 | 337 | Jak widać, blokada usług może być prawie wszystkim, co może uniemożliwić systemowi działanie tak, jak powinien, z powodu wykorzystania błędów lub błędnego kodu lub po prostu wadliwego programu, który przechwytuje zasoby systemowe. | |
| 338 | 338 | ||
| 339 | 339 | W powyższym przykładzie DoS: | |
| 340 | 340 | ||
| 341 | 341 | ``` pascal | |
| 342 | 342 | procedure Recurse; | |
| 343 | 343 | begin | |
| 344 | 344 | while (True) do | |
| 345 | 345 | begin | |
| 346 | 346 | Recurse; | |
| 347 | 347 | end; | |
| 348 | 348 | end; | |
| 349 | 349 | ``` | |
| 350 | 350 | ||
| 351 | 351 | Stworzyłem również przepełnienie stosu (inny rodzaj przepełnienia bufora), który spowodował, że komputer potrzebował więcej zasobów pamięci, aby kontynuować wykonywanie kodu. | |
| 352 | 352 | ||
| 353 | 353 | Każdy zasób systemowy, który jest dostępny dla programu, może zostać nadużyty, nie zwracając go z powrotem do systemu, gdy program „już go nie potrzebuje”. Przetrzymywanie zasobów systemowych, takich jak pamięć lub gniazda, blokuje innym programom możliwość wykonywania niektórych z ich działań. W ten sposób większość programów zatrzyma wykonywanie i zgłosi błąd, a niektóre będą się zawieszać i nadal szukać zasobów systemowych. | |
| 354 | 354 | ||
| 355 | 355 | Należy pamiętać, że niektóre nadużycia zasobów systemowych wynikają z błędu w programowaniu, jak oczekiwanie na bufor 150k, podczas gdy rzeczywisty bufor ma tylko 2 bajty, a gdy program nadal szuka bufora 150k, nowe żądanie tworzy kolejny bufor 150k itd., dopóki system nie będzie już w stanie odpowiedzieć na żadne z żądań (jest to znany typ ataku). | |
| 356 | 356 | ||
| 357 | 357 | Dobrym obejściem tego błędu jest ograniczenie liczby niepełnych buforów, które można przydzielić jednocześnie. Jeśli bufor nie jest pełny po upływie limitu czasu, powinien być wolny. Jednak to rozwiązanie spowoduje również odmowę usługi, ponieważ komunikacja i tak zostanie zatrzymana w pewnym momencie lub powolne połączenie może spowodować utratę danych. | |
| 358 | 358 | ||
| 359 | 359 | ### Wstrzykiwanie | |
| 360 | 360 | ||
| 361 | 361 | Istnieje wiele sposobów na wstrzyknięcie pewnego rodzaju kodu do naszych programów. Jak widzieliśmy na powyższym przykładzie: | |
| 362 | 362 | ||
| 363 | 363 | Dane wejściowe użytkownika: Podaj swoje imię i nazwisko: a' LUB 1=1 | |
| 364 | 364 | ||
| 365 | 365 | Wewnątrz kodu: | |
| 366 | 366 | ||
| 367 | 367 | ``` pascal | |
| 368 | 368 | ... | |
| 369 | 369 | write('Proszę wpisać swoje imię: '); | |
| 370 | 370 | readln(sName); | |
| 371 | 371 | Query1.SQL.Add('SELECT Password FROM tblUsers WHERE Name='#32 + sName + #32); | |
| 372 | 372 | ... | |
| 373 | 373 | ``` | |
| 374 | 374 | ||
| 375 | 375 | Wstrzyknięcie nastąpiło, ponieważ nie filtrujemy (nie odkażamy) naszego kodu: oznacza to sprawdzenie, czy otrzymujemy dokładnie taki rodzaj wejścia, jakiego szukamy, i nic więcej. | |
| 376 | 376 | ||
| 377 | 377 | Na przykład możemy sprawdzić, czy *sName* zawiera spacje. Jeśli tak, nie kontynuuj sprawdzania reszty zmiennej. To pomaga, jeśli nazwa użytkownika może składać się tylko z jednego słowa składającego się z liter, może znaku apostrofu (`'`) i może nawet podkreślenia (`_`) i na tym koniec. Jeśli wprowadzimy liczbę, powinno to być nielegalne (chyba że chcemy używać „języka hackerskiego” (fonetycznie) lub zezwolić na używanie cyfr. | |
| 378 | 378 | ||
| 379 | 379 | Istnieje wiele sposobów oczyszczenia danych. Mniej skuteczny (ale często używany) to: | |
| 380 | 380 | ||
| 381 | 381 | #### Nieskuteczne odkażanie | |
| 382 | 382 | ||
| 383 | 383 | ``` pascal | |
| 384 | 384 | function ValidVar (const S: AnsiString; AllowChars: TCharset): Boolean; | |
| 385 | 385 | var | |
| 386 | 386 | i: Word; | |
| 387 | 387 | begin | |
| 388 | 388 | i := 0; | |
| 389 | 389 | Result := True; | |
| 390 | 390 | ||
| 391 | 391 | while (Result) and (i <= Length(S)) do | |
| 392 | 392 | begin | |
| 393 | 393 | Inc(i); | |
| 394 | 394 | Result := S[i] in AllowChars; | |
| 395 | 395 | end; | |
| 396 | 396 | end; | |
| 397 | 397 | ``` | |
| 398 | 398 | ||
| 399 | 399 | Funkcja zwraca wartość true, jeśli mamy poprawną strukturę treści podaną przez parametr *AllowChars* w zmiennej *S*. Należy pamiętać, że ta funkcja jest tylko próbką koncepcji i może wymagać więcej pracy, aby mogła zostać w pełni wykorzystana. | |
| 400 | 400 | ||
| 401 | 401 | Innym sposobem na zrobienie tego samego jest użycie wyrażeń regularnych w następujący sposób (jest to próbka koncepcji wzięta z języka Perl. FPC nie ma w pełni obsługiwanego silnika wyrażeń regularnych, który umożliwia modyfikację ciągów): | |
| 402 | 402 | ||
| 403 | - | ||
| 403 | + | ```text | |
| 404 | + | $sName =~ s/[^a-z0-9_\']//gi; | |
| 405 | + | ``` | |
| 404 | 406 | ||
| 405 | 407 | Wyrażenie regularne usuwa wszelkie niepoprawne znaki z łańcucha i zwraca do nas usunięty łańcuch. Zwróć uwagę, że o ile wiem, to wyrażenie regularne będzie działać również w silnikach ereg, ale z minimalnymi korektami (flaga *g* instruuje Perla, aby zastąpił wszystkie znalezione pasujące wzorce, a *i* oznacza *case insensitivity* (niewrażliwość na wielkość liter)). | |
| 406 | 408 | ||
| 407 | 409 | Teraz, gdy wiemy, że nasze dane wejściowe są prawidłowe, musimy zobaczyć, do czego służy zawartość zmiennej. Jeśli zawartość zmiennej trafia do bazy danych, skryptu cgi lub czegokolwiek innego, co ma własną składnię, musimy zmienić treść zgodnie z niedozwolonymi lub kontrolnymi znakami odpowiedniego języka (np. SQL dla baz danych). | |
| 408 | 410 | ||
| 409 | 411 | Istnieje wiele sposobów na uniknięcie tego typu zawartości. Załóżmy na razie, że ta treść trafia do zapytania bazy danych. Teraz przede wszystkim musimy upewnić się, że nasz dodatkowy znak ucieczki, nie zwiększy rozmiaru naszych danych, powyżej limitu długości pól w naszej bazie danych. Ponieważ, jeśli tak się stanie, możemy doprowadzić do wstrzykiwania, do utraty danych, blokady usług lub przepełnienia bufora (poważna baza danych zwykle obcina dane, ale czasami nie we właściwym miejscu). | |
| 410 | 412 | ||
| 411 | 413 | Zwykle jedyną ucieczkę, jaką musimy zrobić, aby użyć ciągu w bazie danych, jest ucieczka jedynie znaku apostrofu (') (chociaż niektóre bazy danych mogą mieć problemy z większą liczbą znaków niż apostrof). Tak więc wszystko, co powinniśmy zrobić, to reprezentować apostrofy w sposób, który nie wpłynie na silnik bazy danych, jak znak odwrotnego ukośnika (\\') lub podwajać każdy apostrof do dwóch apostrofów (''), a może nawet użyć innego znaku, który zastąpi apostrofy w zapytaniu i zamienić je ponownie, gdy musimy pokazać je użytkownikowi. | |
| 412 | 414 | ||
| 413 | 415 | #### Ograniczanie wprowadzania przez parametry zapytania SQL | |
| 414 | 416 | ||
| 415 | 417 | Obowiązkowa [ilustracja wizualna](https://xkcd.com/327/). | |
| 416 | 418 | ||
| 417 | 419 | Po upewnieniu się, że przestrzegamy ograniczeń, możemy kontynuować nasze próby. Aby uciec od kodu, możemy użyć kilku podejść. Mniej przyjazny dla debugowania sposób, ale pewny sposób na poprawną ucieczkę, to użycie techniki parametrów: | |
| 418 | 420 | ||
| 419 | 421 | ``` pascal | |
| 420 | 422 | Query1.SQL.Add('SELECT Password FROM tblUsers WHERE Name=?'); | |
| 421 | 423 | Query1.Parameters.Add(sName); | |
| 422 | 424 | if (Query1.Execute) then | |
| 423 | 425 | ... | |
| 424 | 426 | ``` | |
| 425 | 427 | ||
| 426 | 428 | Ta technika pozwala silnikowi bazy danych uciec przed parametrem w taki sposób, abyśmy mogli korzystać z zawartości bez żadnych problemów związanych z niedozwolonymi znakami. Ponadto niektóre bazy danych mają zwiększoną wydajność w przypadku powtarzających się wywołań tego kodu, ponieważ mogą one przygotować do tego instrukcję wewnętrzną z parametrami. Wadą jest to, że nigdy nie możemy debugować wyniku zapytania. Oznacza to, że nie możemy zobaczyć, w jaki sposób zawartość *sName* osadzona jest w instrukcji SQL i nigdy nie możemy z tego powodu sprawdzić, czy nasze zapytanie było poprawne. | |
| 427 | 429 | ||
| 428 | 430 | Jednak po przetestowaniu zapytania bez parametrów dodawanie parametrów jest dość łatwe, więc w praktyce ten problem nie jest tak duży, jak się wydaje. | |
| 429 | 431 | ||
| 430 | 432 | ### Wydajny kod | |
| 431 | 433 | ||
| 432 | 434 | Wspomniane powyżej środki bezpieczeństwa komplikują kod, jeśli użyłeś najbardziej wydajnego kodu, aby uzyskać potrzebną funkcjonalność. Na szczęście czasami możesz przekazać komplikacje kodu do frameworka/biblioteki, która się tym zajmuje. Na przykład: w przykładzie SQL DoS możesz pozwolić silnikowi bazy danych zająć się ucieknięciem danych za pomocą sparametryzowanych zapytań, przy niewielkim dodatkowym koszcie konieczności użycia parametrów w kodzie. | |
| 433 | 435 | ||
| 434 | 436 | Jednak pisanie wydajnego, ale podatnego na zagrożenia kodu nie pomaga nikomu poza prawnikami od odpowiedzialności cywilnej i ekspertami kryminalistyki. | |
| 435 | 437 | ||
| 436 | 438 | ## Poza tym dokumentem | |
| 437 | 439 | ||
| 438 | 440 | O ile w tym dokumencie podałem kilka krótkich (tak, wiem, że to niedopowiedzenie 😉) przykładów i informacji o tym, jak stworzyć lepszy kod, o tyle jest wiele kwestii, których nie poruszyłem w tym dokumencie. Część z nich to uprawnienia użytkownika do uruchamiania programów, rootkity systemu i inne problemy, które nasz kod musi wziąć pod uwagę (zmienna środowiskowa to tylko jeden przykład). | |
| 439 | 441 | ||
| 440 | 442 | Przeczytaj więcej artykułów dotyczących problemów z bezpieczeństwem, takich jak | |
| 441 | 443 | ||
| 442 | 444 | Przepełnienia bufora: | |
| 443 | 445 | ||
| 444 | 446 | - <http://www.securiteam.com/securityreviews/5QP0L0AFFS.html> | |
| 445 | 447 | - <http://www.securiteam.com/securityreviews/5OP0B006UQ.html> | |
| 446 | 448 | - <http://www.securiteam.com/securityreviews/5IP0G1P8AM.html> | |
| 447 | 449 | - <http://www.securiteam.com/securityreviews/6Q00L00BFI.html> | |
| 448 | 450 | - <http://www.securiteam.com/securityreviews/5UP0B0A60Y.html> | |
| 449 | 451 | ||
| 450 | 452 | Blokada usług (DoS): | |
| 451 | 453 | ||
| 452 | 454 | - <http://www.securiteam.com/securityreviews/5AP0V0AA1W.html> | |
| 453 | 455 | - <http://www.securiteam.com/securityreviews/6Z00T0K95O.html> | |
| 454 | 456 | ||
| 455 | 457 | Wstrzykiwanie SQL: | |
| 456 | 458 | ||
| 457 | 459 | - <http://www.securiteam.com/securityreviews/5DP0N1P76E.html> | |
| 458 | 460 | - <http://www.securiteam.com/securityreviews/5UP010A6AA.html> | |
| 459 | 461 | - <http://www.securiteam.com/securityreviews/5GP0E2K7FO.html> | |
| 460 | 462 | ||
| 461 | 463 | --- | |
| 462 | 464 | *From the Free Pascal wiki, page "Secure programming/pl", as it stood on 2022-10-02 after a change by Slawek, out of the wiki's dump of 2024-05-26. Copyright stays with the author who wrote it, according to the old wiki's [[Licensing]] page. If you have concerns about this material, [message the admin](/wiki-contact).* | |
| 463 | 465 | Category: Code |