|
Adatösszezavarás
2007.11.11. 13:56
|
Új technika a szoftveres biztonsági rések felderítésére | |
2006.06.10. | |
H. D. Moore, az egykori hacker, most biztonsági szakértő elhatározta, hogy ír egy egyszerű programot, amely elrontja a weblapokban található kódokat és méri, hogy az oldal milyen hatást vált ki a legnépszerűbb böngészőkben. Az eredmény: leállások százai, több tucat hiba felfedezése |
Szinte naponta értesülünk újabb és újabb biztonsági problémák felfedezésérõl széles körben használt szoftvereinkben. Szerencsére a védelem lehetõségei is fokozatosan bõvülnek. Ennek elsõ lépcsõfoka, hogy minél hatékonyabban azonosítsuk a hibás vagy nem kívánt mûködés eseteit és kiváltó okait.
 H. D. Moore biztonsági szakértõ elhatározta, hogy ír egy egyszerû programot, amely elrontja a weblapokban található kódokat, és méri, hogy az oldal milyen hatást vált ki a legnépszerûbb böngészõkben. Az eredmény: leállások százai, több tucat hiba felfedezése. Ezt a - csomag- vagy adatösszezavarásnak nevezett - technikát gyakran használják hálózati alkalmazások hibáinak megtalálására. Moore és társai most ezt az eszközt a böngészõkre kezdték el alkalmazni - megdöbbentõ eredménnyel. Néhány hét alatt a kutató több száz különbözõ módot talált arra, hogy az Internet Explorer és - kisebb mértékben - a többi böngészõ "elszálljanak". "Az összezavarás (fuzzing) valószínûleg a legegyszerûbb módja a hibák megtalálásának, mivel nem kell kitalálni, hogyan kezeli az alkalmazás a bemeneti adatokat." - mondja Moore, a jólismert hekker és a Metasploit Project egyik alapítója. "Lehetõvé teszi, hogy a sebezhetõ pontok keresésére kevesebb idõt fordíthassunk."
 A leállások kiváltó okainak vizsgálata több mint 50 hiba felismeréséhez vezetett az Internet Explorer-ben, amelyek közül néhányat arra is fel lehet használni, hogy a webhely látogatója megszerezze az ellenõrzést a Windows operációs rendszer felett - állítja Moore. Más böngészõkben sokkal kevesebb hiba fordult elõ, de mindegyikben volt legalább egy olyan, távolról is sebezhetõ pont, amely a futtató rendszer ellenõrizetlen célra való kihasználását eredményezheti - közölte Moore.
A cikk eredeti változata megtalálható az Nemzeti Hírközlési és Informatikai Tanács által kiadott IT3 Körképben. |
|
AJÁNLOM AZ OLDALT
