Instituie de nvmnt: Universitatea Titu Maiorescu Profil: Securitatea Sistemelor Informatice i a Reelelor Informaionale Seciune: Master

Log Forging

Profesor ndrumtor:

Masterand:

Log Forging

Descriere:

Atacul de log forging se realizeaz prin inserarea de intrri n jurnalul de sistem sau coninut maliios. Aceast metod exploateaz urmtoarele vulnerabiliti: 1. Datele sunt inserate n aplicaie de la o surs de nencredere. 2. Datele sunt scrise ntr-o aplicaie sau ntr-un jurnal de sistem. Aplicaiile de regul folosesc jurnalele pentru a salva istoria evenimentelor sau a tranzaciilor pentru analiza ulterioar. n funcie de natura aplicaiei, sarcina de a vizualiza jurnalele poate fi facut manual n funcie de nevoie sau automat de ctre un utilitar care filtreaz evenimentele importante. Interpretarea fiierelor jurnal poate fi mpiedicat sau greit n cazul n care un atacator poate furniza date aplicaiei ulterior autentificandu-se.n cel mai ambiguu caz, un atacator ar putea introduce intrri false n fiierul de jurnal prin validarea aplicaiei cu intrri care includ caractere corespunztoare. Dac fiierul de jurnal este procesat n mod automat, atacatorul poate face inutilizabil fiierul prin coruperea formatului de fiier sau injectarea de caractere neateptate. Un atac mai subtil ar putea implica nclinarea statisticilor fiierelor de jurnal. Fiierele corupte de jurnal pot fi folosite de ctre un atacator ca s-i ascund urmele sau n caz contrar poate duplica nc un atac maliios similar. n cel mai ru caz, un atacator poate injecta codul sau alte comenzi n fisierele de jurnal i s profite de o vulnerabilitate n utilitarul de procesare jurnal.

Exemplu:
Urmtorul cod de aplicatie web ncearc s citeasc o valoare de numr ntreg de la un obiect cerere. Dac valoarea nu reuete s elimine nici un ntreg, atunci datele de intrare sunt nregistrate n jurnal avnd un mesaj de eroare explicnd ce s-a intamplat.

... String val = request.getParameter("val"); try { int value = Integer.parseInt(val); } catch (NumberFormatException) { log.info("Failed to parse val = " + val); } ...

Dac un utilizator nregistreaz un cod cu valoarea "twenty-one", urmtoarea intrare de jurnal este:

INFO: Failed to parse val=twenty-one

Cu toate acestea, dac un atacator nregistreaz codul "twentyone%0a%0aINFO:+User+logged+out%3dbadguy", urmtoarea intrare de jurnal este:

INFO: Failed to parse val=twenty-one INFO: User logged out=badguy

n mod clar, atacatorii pot utiliza acelai mecanism pentru a introduce intrri arbitrare de jurnal.

Bibliografie: https://www.owasp.org/index.php/Log_Forging