Разработка программы для фиксации попыток атаки на защищаемый объект

«name» — содержит имя формы, которое может быть использовано в обращениях к элементам формы через структуру иерархии HTML-документа.

«action» — содержит название php-скрипта, которому будет передано содержание формы для обработки.

«method» — важный параметр указывающий каким способом мы будем передавать данные php-скрипту, используется метод POST, который безопаснее метода GET, т. к. в этом случае, данные формы передаются в теле HTTP-запроса, а не в URL, который видим пользователю и соответственно его легко подделать.

Листинг 1.

if ($_GET['fail'])

echo «Ошибка авторизации!» ;

else echo «» ;

Приведенная в Листинге 1 вставка php-кода просто отлавливает переменную-флаг «fail», присутствие которой в переменной-массиве $_GET говорит об ошибке предыдущей авторизации. Если этот флаг обнаружен в URL страницы, скрипт при выводе вставляет в страницу надпись «Ошибка авторизации!» в соответствии с Рисунком 7.

Рисунок 7. Страница авторизации с сообщением об ошибке.

Следующим рассмотрим маленький конфигурационный файл config.php.

В нем всего 4 строки содержащие параметры соединения с базой данных:

«$dbhost="localhost» «- строка содержит url хоста, на котором находится БД, в данном случае значение localhost означает, что БД на этом-же сервере.

«$dbadmin="root» «— имя администратора СУБД.

«$dbpass="c2h5oh» «- пароль администратора СУБД.

«$dbname="attack_logger» «— имя БД в которой хранятся таблицы имеющие отношения к нашему проекту.

Далее рассмотрим файл logger. php, который и выполняет всю основную работу. Начинается скрипт со строки «require_once './config.php'», которая подключает к данному скрипту конфигурационный файл config. php, в результате чего, переменные объявленные в нем становятся доступными для кода текущего скрипта.

В следующей строке проверяется установлена-ли в глобальном массиве $_POTS переменная-флаг «go», наличие которой означает, что скрипту передаются данные из формы для обработки. Вот эта строка:

Листинг 2.

if ($_POST['go'])

Ее наличие необходимо, т. к если скрипт будет вызван не из index. php после заполнения формы, а каким — то иным образом, то переменные необходимые для работы скрипта не будут установлены, что вызовет сбой и вывод ошибок в браузер, что в свою очередь может скомпрометировать ресурс, указав какие переменные не установлены, что поможет злоумышленнику лучше понять структуру скрипта работающего с авторизацией.

Далее следует блок объявления и инициализации переменных. Рассмотрим его построчно:

$i=0 — переменная выполняющая роль счетчика попыток авторизации.

$rows=0 — переменная нужная для работы с БД.

$flag=$_POST['go'] — переменная хранящая значение флага «go» описанного выше.

$user=$_POST['user'] — переменная получающая от формы имя пользователя, которое извлекается из глобального массива $_POST.

$pass=$_POST['passwd'] — переменная получающая от формы пароль.

$timevisit=date ('Y-m-d H-i-s') — эта переменная хранит текущие время и дату получаемые вызовом функции «date», в формате совместимом с DATETIME, используемым в СУБД MySQL для хранения этого значения.

$ip=$_SERVER['REMOTE_ADDR'] — в эту переменную записывается значение ip-адреса удаленного хоста, с которого выполняется попытка авторизации. Это значение извлекается из глобального массива $_SERVER. $server_ip=$_SERVER['SERVER_ADDR'] — в эту переменную запишем значение ip-адреса нашего сервера, это необходимо для динамического создания ссылок при переадресации пользователя. На этом объявление переменных закончено. Рассмотрим скрипт дальше. В следующих 2-х строках мы выполняем обработку полученных от формы данных функцией htmlspecialchars для удаления HTML-тегов, для исключения написания и использования скриптов на JS или VB и функцией удаления слэшей stripslashes, для исключения написания и использования скриптов на Perl. Это необходимо, т. к. злоумышленник может ввести вместо имени или пароля текст скрипта на вышеперечисленных языках, который может открыть брешь в безопасности системы. Эти строки приведены в Листинге 3. 3]

Листинг 3.

$user=htmlspecialchars (stripslashes ($user));

$pass=htmlspecialchars (stripslashes ($pass));

В Листинге 4 выполняется подключение скрипта к СУБД и выбор БД для работы.

Листинг 4.

mysql_connect ($dbhost, $dbadmin, $dbpass) or die («ERROR «.mysql_errno ().» «.mysql_error ());

mysql_select_db ($dbname) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

В этой строке выполняется подключение к СУБД используя параметры из конфигурационного файла. Затем мы выбираем для работы свою БД, так же используя параметр $dbname из конфигурационного файла. Со следующей строки, согласно Листинга 5 начинает выполнение алгоритм проверки имени пользователя и пароля, а также количества неуспешных попыток авторизации с данного ip-адреса. Сначала создаем SQL-запрос, который проверит значение поля num_logon из таблицы log_control для даного ip-адреса, которое содержит номер предыдущей неуспешной попытки авторизации. Далее с помощью функции mysql_query мы выполняем этот запрос к БД и получаем в качестве ответа объект типа «ресурс».

Листинг 5.

$sql_exist_ctrl="select num_logon from log_control where ip='" .$ip." '" ;

$res=mysql_query ($sql_exist_ctrl) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

$rows=mysql_num_rows ($res);

Затем в переменную $rows мы при помощи функции mysql_num_rows помещаем число строк в полученном от БД ответе, преследуя при этом следующую цель: если число строк возвращенных в ответ на запрос окажется равным нулю, это будет означать первую попытку авторизации. В Листинге 6 приведена сама проверка возвращенного результата:

Листинг 6.

if ($rows==0)

{

$sql_begin_ctrl="insert into log_control set time='" .$timevisit." ', ip='" .$ip." ', num_logon=".$i;

mysql_query ($sql_begin_ctrl) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

}

Если запрос на авторизацию первый, создаем SQL-запрос к БД который выполнит вставку данных (ip-адрес и дата/время) о текущем подключении в таблицу log_control и присвоит полю num_logon номер попытки, равный нулю. Затем мы выполняем этот запрос при помощи функции mysql_query. Иначе, если этот ip-адрес уже есть в таблице log_control, что означает имеющиеся предыдущие ошибки авторизации, мы получаем в переменную $i количество неуспешных попыток для данного ip-адреса, как в Листинге 7.

Листинг 7.

else

{

$array=mysql_fetch_array ($res);

$i=$array[0];

}

Теперь пришло время проверки правильности логина и пароля введенных пользователем. Для этого составляется SQL-запрос и выполняется посредством функции mysql_query с проверкой на успешное выполнение запроса. Затем проверяем возвращенный функцией результат. Сначала посчитаем число возвращенных строк. Эти действия приведены в Листинге 8.

Листинг 8.

$sql_autoriz="select id from users where user='" .$user." ' and pass='" .$pass." '" ;

$res=mysql_query ($sql_autoriz) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

$rows=mysql_num_rows ($res);

Число строк может быть равно нулю или больше. Если равно нулю, это означает, что пара логин / пароль была неверна. Я сначала отработаю удачную авторизацию. Код приведен Листинге 9.

Листинг 9.

if ($rows>0)

{

$sql_end_ctrl="delete from log_control where ip='" .$ip." '" ;

mysql_query ($sql_end_ctrl);

switch ($user)

{

case «admin» :

http_redirect («http://» .$server_ip." /attacklogger/admin.php");

break;

default :

http_redirect («http://» .$server_ip." /attacklogger/autorized.php?user=".$user);

break;

}

}

Итак, если автоизация успешна ($rows>0), выполняем удаление данных о текущем подключении из контрольной таблицы log_control. Для этого составляем SQL-запрос и выполняем его в БД. Теперь самое время перебросить пользователя на его личную страницу, делать это мы будем с проверкой имени пользователя, т. к. у разных пользователей системы разные права. В нашем случае в БД было заведено всего 2 пользователя admin и user. Тут логично предположить, что отличающаяся от других личная страница должна быть только у администратора ресурса (ник admin). Тогда мы можем обработать имена пользователей в 2 шага. Сначала проверить в case имя пользователя на соответствие нику admin — если совпадает преадресуем на страницу администратора, если нет, включается вариант default, который используется для всех «не особых» пользователей и переадресует запрос пользователя через фукцию http_redirect, на обычную пользовательскую страницу, с передачей в качестве параметра имени пользователя, для дальнейшей обработки. Вся эта кострукция реализована на базе конструкции switch. Эта конструкция выбрана не случайно — в случае необходимости добавления еще одного или более «особых» пользователей, конструкцию легко расширить добавив проверки на соответствие логинов искомым и в случае соответствия применения каких-то особых процедур обработки. А «обычные» пользователи продолжают обрабатываться через вариант default и не требуют никаких изменений.

Теперь рассмотрим вариант когда логин / пароль не верны. Код исполняющий эту функциональность приведен в Листинге 10.

Листинг 10.

else

{

$i++;

$sql_up2i_ctrl="update log_control set num_logon=".$i." where ip='" .$ip." '" ;

mysql_query ($sql_up2i_ctrl) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

if (($i % 3)==0)

{

$sql_danger_connect="insert into danger_connect

set time='" .$timevisit." ', ip='" .$ip." '" ;

mysql_query ($sql_danger_connect) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

}

http_redirect («http://» .$server_ip." /attacklogger/index.php?fail=yes");

}

Поглядим теперь, как же это все работает. Данная часть кода и выполняет основное назначение программы — фиксацию попыток атаки на защищаемый объект. Так как атакой на систему при проектировании системы, была признана каждая 3-я попытка неудачной авторизации, выполненная подряд (как при переборе по словарю), то здесь и будет применяться данная аксиома. Сначала выполняем приращение счетчика попыток хранящегося в переменной $i. Затем составляется SQL-запрос который выполнит присвоение приращенного счетчика соответствующей данному ip-адресу строке в БД. После создания запрос выполняется в БД. Теперь пора проверить — данная попытка авторизации кратна 3-м или нет. Для этого используется операция деления по модулю (if (($i % 3)==0)), которая в качестве результата возвращает в вызывающую процедуру целочисленный остаток от деления. Если этот остаток равен нулю (что означает кратность 3-м), выполняется фиксация данной попытки соединения в таблице потенциально опасных соединений danger_connect, для последующего бессрочного хранения с возможностью просмотра администратором системы. Запись в таблицу выполняем стандартно — сначала создание SQL-запроса к БД, затем его исполнение. Далее я сделал перенаправление запроса пользователя назад на страницу index. php, с добавлением к URL флага fail, наличие которого в запросе приведет к выводу страницы авторизации с надписью извещающей пользователя о неуспешной авторизации. Как вариант можно после каждой третьей попытки перенаправлять пользователя не на страницу авторизации, а на какую-нибудь специально подготовленную страницу-заглушку или установить таймер блокирующий на некоторое время попытки соединения с данного ip-адреса и постоянно увеличивающийся, после каждой следующей кратной 3-м попытки авторизации.

Следующей строкой закрываем соединение с СУБД MySQL явным образом, хотя при завершении скрипта ресурсы также освободятся автоматически.

И наконец, завершающая скрипт строка, которая будет работать только в случае какого-либо сбоя, в результате чего переменная «Go» не будет установлена. Строка просто выводит текст извещающий о произошедшем .

На этом рассмотрение скрипта logger. php закончено, можно переходить дальше.

Теперь рассмотрим скрипт странички администратора admin.php. Основную часть файла составляет не скрипт, а HTML-код реализующий GUI страницы администратора. Он выполнен в виде таблицы, для фикисированного расположения элементов и особого интереса не представляет, кроме следующей строки: «

В Листинге 11 проверяется установлена ли переменная «see».

Листинг 11.

if ($_POST[see])

{

mysql_connect ($dbhost, $dbadmin, $dbpass) or die («ERROR «.mysql_errno ().» «.mysql_error ());

mysql_select_db ($dbname) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

Для проверки установки переменной «see» выполняется поиск ее по имени в глобальном массиве $_POST. Далее выполняется подключение к СУБД MySQL. Теперь нужно выбрать в СУБД именно нашу БД для работы. Данные для выполнения подключения и выбора БД берутся из конфигурационного файла config. php, который подключается в начале файла admin. php в строке «require_once './config.php'». Теперь создаем SQL-запрос, при помощи которого извлекаются все данные из таблицы потенциально опасных соединений danger_connect. Затем нужно выполнить этот запрос в БД и получить результат. Далее, чтобы вывод в HTML-документ был структурирован, нужно определить количество полученных от БД строк и столбцов. Это выполняется с помощью функций специально созданных для этого. Функция mysql_numrows возвращает число строк в полученном от БД результате. Функция mysql_numfields возвращает число полей, то бишь столбцов в полученном от БД результате. Код приведен в Листинге 12.

Листинг 12.

$sql_select_hack="select * from danger_connect" ;

$r=mysql_query ($sql_select_hack);

$row= mysql_numrows ($r);

$col= mysql_numfields ($r);

Код из Листинга 13 выводит в виде таблички, данные полученные от БД:

Листинг 13.

echo «

«;

for ($j=0; $j<$row; $j++)

{

for ($y=0; $y<$col; $y++)

{

echo mysql_result ($r, $j, $y);

echo " «;

}

echo «

«;

}

Здесь используются два вложенных цикла «for», которые и осуществляют выборку данных из результата при помощи функции mysql_result, и их вывод при помощи функции «echo». Вид выводимой страницы будет выглядеть в соответствии с Рисунком 8.

Далее закрываем соединение с MySQL и обрабатываем случай, когда переменная «see» не установлена, выводя в этом случае пробел вместо таблицы.

Рисунок 8. Вывод результата запроса через вложенный цикл.

атака защищенный программа запрос Рассмотрим последний файл autorized. php, реализующий функциональность личной страницы пользователя. Он представляет собой обычный HTML-документ, с вставкой php-кода. Код приведен в Листинге 14.

Листинг 14.

echo «» .strtoupper ($_GET['user'])." " ;

?>

Здесь вся функциональность заключается в выводе большими красными буквами имени пользователя в приветствии. В случае большого количества пользователей реального ресурса было бы уместно создать в БД таблицы хранящие индивидуальные данные каждого пользователя и «вытаскивать» их при выводе страницы ориентируясь по полученному в глобальном массиве ($_GET['user']) имени пользователя, реализовав эти функции в данном файле.

РУКОВОДСТВО ПОЛЬЗОВАТЕЛЯ Руководство пользователя в данном случае очень несложно, т. к. функциональность реализуется автоматически, без активного участия пользователя. Рекомендации предназначены только для администратора. Разобьем использование системы на шаги и рассмотрим их последовательно.

Итак, Шаг 1. Набираем в адресной строке браузера URL или ip-адрес ресурса, в соответствии с Рисунком 9. И попадаем на страницу авторизации, в соответствии с Рисунком 10.

Рисунок 9. Набор URL в адресной строке.

Рисунок 10. Страница авторизации пользователя.

Шаг 2. Вводим имя пользователя и пароль, в соответствии с Рисунком 11.

Рисунок 11. Ввод логина и пароля.

Шаг 3. Попадаем на страницу администратора, в соответствии с Рисунком 12.

Рисунок 12. Страница администратора информационного ресурса.

Шаг 4. Для просмотра списка зафикисрованных данных о потенциально-опасных соединениях нажимаем кнопку «See» в верхнем правом углу интерфейса, в соответствии с Рисунком 13.

Рисунок 13. Вывод сведений о попытках атаки.

ЗАКЛЮЧЕНИЕ

В данной курсовой работе решены задачи разработки программы для фиксации атак на защищаемый объект.

В процессе создания курсовой работы, был разработан и реализован алгоритм решения поставленной задачи. Программа как и было намечено, реализована на языке программирования PHP, с использованием языка разметки гипертекста HTML, используемым для создания графического интерфейса пользователя GUI. В качестве платформы программного комплекса использована связка Linux + Apache + MySQL + PHP. Полученные в результате проведенной работы результаты соответствуют поставленным задачам. Написано приложение выполняющее запись о потенциально-опасных соединениях, коими в рамках решаемой задачи были признаны каждая 3-я не успешная попытка авторизации выполненная подряд. Запись помещается в таблицу БД для долговременного хранения и просмотра администратором системы в любой момент.

Исходя из вышесказанного можно говорить о успешном достижении целей курсовой работы.

ПРИЛОЖЕНИЕ А.

ЛИСТИНГ ПРОГРАММЫ.

Листинг 1.1. Файл index. php

/**********************************************************

* главная страница проекта — страница авторизации *

**********************************************************/

?>

ВХОД //Вставка отслеживающая наличие переменной fail указывающей на //ошибку авторизации. if ($_GET['fail']) echo «Ошибка авторизации!» ; else echo « » ; ?> Login Password Регистрация Забыли пароль?

Листинг 1.2 Файл logger. php

/*****************************************************

* файл выполняющий основную работу по выявлению *

* и логированию попыток взлома перебором *

*****************************************************/

require_once './config.php';

if ($_POST['go'])

{

$i=0;

$rows=0;

$flag=$_POST['go'];

$user=$_POST['user'];

$pass=$_POST['passwd'];

$timevisit=date ('Y-m-d H-i-s');

$ip=$_SERVER['REMOTE_ADDR'];

$server_ip=$_SERVER['SERVER_ADDR'];

//Обработка функциями удаления HTML-тегов (для исключения возможности

//написания скриптов на JavaScript и Visual Basic) и обратных слешей

//(для исключения возможности написания скриптов на Perl).

$user=htmlspecialchars (stripslashes ($user));

$pass=htmlspecialchars (stripslashes ($pass));

//Подключение к БД

mysql_connect ($dbhost, $dbadmin, $dbpass) or die («ERROR «.mysql_errno ().» «.mysql_error ());

mysql_select_db ($dbname) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

//Проверка на наличие данного ip в контрольной таблице

$sql_exist_ctrl="select num_logon from log_control where ip='" .$ip." '" ;

$res=mysql_query ($sql_exist_ctrl) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

$rows=mysql_num_rows ($res);

if ($rows==0) //если ip не записан

{

//Вставка нового ip в контрольную таблицу

$sql_begin_ctrl="insert into log_control set time='" .$timevisit." ', ip='" .$ip." ', num_logon=".$i;

mysql_query ($sql_begin_ctrl) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

}

else //если ip уже есть в таблице

{

$array=mysql_fetch_array ($res); //получаем номер текущей попытки авторизации

$i=$array[0];

}

//проверяем правильность пары логин-пароль

$sql_autoriz="select id from users where user='" .$user." ' and pass='" .$pass." '" ;

$res=mysql_query ($sql_autoriz) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

$rows=mysql_num_rows ($res);

if ($rows>0) //если логин-пароль верны

{

//удаляем записи из контр. таблицы

$sql_end_ctrl="delete from log_control where ip='" .$ip." '" ;

mysql_query ($sql_end_ctrl);

switch ($user)

{

case «admin» :

http_redirect («http://» .$server_ip." /attacklogger/admin.php"); //авторизация администратора

break;

default :

http_redirect («http://» .$server_ip." /attacklogger/autorized.php?user=".$user); //авторизация клиента

break;

}

}

else //ЕСЛИ логин-пароль неверны

{

$i++; //увеличиваем номер попытки на 1

$sql_up2i_ctrl="update log_control set num_logon=".$i." where ip='" .$ip." '" ;

//устан. новое значение номера попытки в контрольную таблицу

mysql_query ($sql_up2i_ctrl) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

if (($i % 3)==0) //если номер этой попытки кратен 3 м

{

$sql_danger_connect="insert into danger_connect set time='" .$timevisit." ', ip='" .$ip." '" ;

//записываем данный ip и время попытки авторизации в постоянную таблицу опасных соединений

mysql_query ($sql_danger_connect) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»);

}

//возвращаем клиента на страницу авторизации с передачей

//параметра указывающего на неудачную аутенификацию пользователя.

http_redirect («http://» .$server_ip." /attacklogger/index.php?fail=yes");

}

mysql_close ();

}

Else

echo «ERROR!!! Not set variable Go!» ;

?>

Листинг 1.3 Файл config. php

/**************************************************

* конфигурационный файл, содержащий параметры *

* используемые для соединения с БД MySQL *

************************************************ */

$dbhost="localhost" ;

$dbadmin="root" ;

$dbpass="c2h5oh" ;

$dbname="attack_logger" ;

?>

Листинг 1.4 Файл admin. php

/*****************************************************

* страничка администратора ресурса позволяющая *

* позволяющая просматривать список ip-адресов *

* и время появления потенциально опасных соединений *

*****************************************************/

require_once './config.php';

?>

Welcome Admin!
	if ($_POST[see]) { //Подключение к БД mysql_connect ($dbhost, $dbadmin, $dbpass) or die («ERROR «.mysql_errno ().» «.mysql_error ()); mysql_select_db ($dbname) or die («ERROR „.mysql_errno ().“ „.mysql_error ().“ n»); //получение записей о подозрительных соединениях $sql_select_hack="select * from danger_connect" ; $r=mysql_query ($sql_select_hack); //вывод результата в html-документ $row= mysql_numrows ($r); $col= mysql_numfields ($r); echo « " ; for ($j=0; $j<$row; $j++) { for ($y=0; $y<$col; $y++) { echo mysql_result ($r, $j, $y); echo " «; } echo « " ; } mysql_close (); } else echo «» ; ?>	See IP hackers?
Profile Friends Messages Back

Листинг 1.5 Файл autorized. php

/**************************************************

* Личная страница пользователя *

**************************************************/

?>

Welcome echo «» .strtoupper ($_GET['user'])." " ; ?>
Profile Friends Messages

ПРИЛОЖЕНИЕ В Список использованной литературы

1. Цирлов В. Основы информационной безопасности информационных систем. Краткий курс. Изд. «Феникс», 2008. -173 стр.

2. Шаньгин В. Информационная безопасность компьютерных систем и сетей. М.: ИД «Форум»; ИНФРА-М, 2008. -416 стр.

3. Шлосснейгл Д. Профессиональное программирование на PHP. Пер. С англ. — Издательский дом «Вильямс», 2006. — 624 стр.

ПРИЛОЖЕНИЕ С Рисунок С. Блок-схема работы приложения