UNIVERSIDADE ESTÁCIO DE SÁ

LETÍCIA MARTINSMAITHÊ RODRIGUES

MARCELA ROSATAYNA BARROSO

VULNERABILIDADE EM SISTEMA OPERACIONAL

RIO DE JANEIRO

1

2015UNIVERSIDADE ESTÁCIO DE SÁ

LETÍCIA MARTINSMAITHÊ RODRIGUES

MARCELA ROSATAYNA BARROZO

VULNERABILIDADE EM SISTEMA OPERACIONAL

2

Trabalho apresentado à disciplina de Segurança da Informação do Curso técnico de informática para Web da Universidade Estácio de Sá como requisito parcial para avaliação bimestral.

RIO DE JANEIRO 2015

VULNERABILIDADE EM SISTEMA OPERACIONAL

Resumo:

Este módulo trata dos principais aspectos de vulnerabilidade em sistema operacional. Inicialmente são apresentados conceitos básicos de segurança;em seguida, são descritos aspectos conceituais e mecanismos relacionados à autenticação de usuários, controle de acesso a recursos e serviços, integridade e privacidade do sistema operacional, das aplicações e dos dados armazenados.

3

VULNERABILIDADE EM SISTEMA OPERACIONAL

Sumário:

Vulnerabilidade ..................................................................................................5Vulnerabilidades do Windows...........................................................................5.5Buffer Overflow.................................................................................................5.5

Exemplo.................................................................................................5.6Proteção contra Buffer Overflow............................................................7.7Proteção ponteiro...................................................................................7.7

Cross-site scripting (xss)......................................................................................9Ataque....................................................................................................9.9Não persistente......................................................................................9.9Proteção...............................................................................................9.10Validação de Entrada...........................................................................9.10Validação de Saída............................................................................10.11

Vírus Lovsan......................................................................................................11Sintomas da infecção.........................................................................11.11Erradicar o vírus.................................................................................11.11

Worm-Vírus........................................................................................................13Combatendo o worm-vírus.................................................................13.13Observação........................................................................................13.14

Vulnerabilidade Mac..........................................................................................15Ataques dirigidos................................................................................15.15Infecções de redes Mac-PC...............................................................15.15

Vulnerabilidade Linux.........................................................................................16Conclusão..........................................................................................................18Referencias Bibliográficas ................................................................................19

4

Vulnerabilidade

Em segurança de computadores, uma vulnerabilidade é uma fraqueza que permite que um atacante reduza a garantia da informação de um sistema. Vulnerabilidade é a interseção de três elementos: uma suscetibilidade ou falha do sistema, acesso do atacante à falha e a capacidade do atacante de explorar a falha.Para explorar uma vulnerabilidade, uma atacante deve ter pelo menos uma ferramenta ou técnica aplicável que possa conectar a uma fraqueza do sistema. Desta forma, vulnerabilidade também é conhecida como superfície de ataque.

Gerenciamento de vulnerabilidade é a prática cíclica de identificar, classificar, remediar e mitigar vulnerabilidades. Esta prática geralmente refere-se a vulnerabilidades de software nos sistemas de computador. Esta mesma pode ser explorada em um determinado sistema ou serviço vulnerável que esteja rodando na máquina.

Vulnerabilidades do Windows

Buffer Overflow

Em segurança de computadores e programação, um estouro de buffer, ou saturação de buffer, é uma anomalia em que um programa, ao escrever dados para um tampão, derrapagens limite do buffer e substitui adjacentes de memória locais. Este é um caso especial de violação da segurança de memória.Estouro de buffer pode ser desencadeado por fatores de produção que são projetados para executar código ou alterar a forma como o programa funciona. Isso pode resultar em um comportamento errático do programa, incluindo erros de memória de acesso, incorretas, os resultados de um acidente ou uma violação da segurança do sistema.As linguagens de programação comumente associados com estouros de buffer incluem C e C++, que não fornecem nenhuma proteção embutida contra o acesso ou substituição de dados em qualquer parte da memória e não verificar automaticamente os dados gravados em uma matriz (o built-in tipo buffer) está dentro os limites dessa matriz.

5

Um buffer overflow ocorre quando dados gravados em um tampão também corrompe os valores de dados em endereços de memória adjacentes à reserva destino, devido à insuficiência de verificação de limites. Isso pode ocorrer quando copiar dados de um buffer para outro sem primeiro verificar que os dados se encaixam dentro do buffer de destino.

Exemplo

Para mais detalhes sobre estouros baseadas em pilha, consulte Pilha de estouro de buffer.

No exemplo a seguir, um programa tem dois elementos de dados que são adjacentes na memória: um string buffer de 8 bytes de comprimento, A, e um dois-byte big-endianinteiro,B.Char A [8] = "“; Não assinado curto B = 1,979;

Inicialmente, A contém nada além de zero bytes, e B contêm o número 1979.

Nome da variável A B

Valor [cadeia nula] 1979

Valor hexadecimal 00 00 00 00 00 00 00 00 07 BB

Agora, o programa tenta armazenar a cadeia terminada com nulo “Excessivo” com ASCII codificação no tampão A.Strcpy (A, “Excessivo”);“Excessivo” é de 9 caracteres de comprimento e codifica para 10 bytes, incluindo o terminador, mas um pode tomar apenas 8 bytes. Ao não verificar o comprimento da corda, ele também substitui o valor de B:

Nome da variável A B

Valor 'E' 'X' 'C' 'E' 'S' 'S' 'Eu' 'V' 25856

Feitiço 65 78 63 65 73 73 69 76 65 00

6

Valor do B já foi inadvertidamente substituído por um número formado a partir de parte da cadeia de caracteres. Neste exemplo, "e", seguida por um zero byte se tornaria 25.856.Escrevendo dados passados ao final de memória alocada às vezes pode ser detectado pelo sistema operacional para gerar uma falha de segmentação de erro que encerra o processo.Medidas de proteçãoVárias técnicas têm sido utilizadas para detectar ou evitar sobrecargas de buffer, com várias vantagens e desvantagens. A maneira mais confiável para evitar ou prevenir buffer overflows é usar proteção automática no nível da linguagem. Este tipo de proteção, no entanto, não pode ser aplicado a código legado, e muitas vezes técnico, negocial ou restrições culturais chamar para uma linguagem vulnerável. As seções seguintes descrevem as opções e implementações disponíveis.

Proteção contra buffer overflow 

Proteção contra buffer overflow é usado para detectar os buffer overflows mais comuns, verificando que a pilha não foi alterado quando uma função retorna. Se ele tiver sido alterada, o programa sai com uma falha de segmentação . A implementação da Microsoft de Data ExecutionPrevention modo (DEP) protege explicitamente o ponteiro para a StructuredExceptionHandler (SEH) de ser substituído. Mais forte proteção pilha é possível através da divisão da pilha em duas: uma para dados e outra para função retorna. Esta divisão está presente na linguagem Forth. Embora não fosse uma decisão de design baseada em segurança. Independentemente disso, esta não é uma solução completa para o buffer overflows, como outros do que o endereço de retorno de dados sensíveis ainda pode ser substituído.

Proteção ponteiro

Buffer overflows trabalho manipulando ponteiros (incluindo endereços armazenados). PointGuard foi proposto como um compilador de extensão para impedir que os atacantes sejam capazes de manipular de forma confiável ponteiros e endereços. A abordagem funciona por ter o código compilador addto automaticamente ponteiros XOR-codificam antes e depois que eles são usados. Porque o atacante (teoricamente) não sabe o valor será usado para codificar / decodificar o ponteiro, ele não pode prever o que irá apontar para ele se substitui-lo com um novo valor. PointGuard nunca foi lançado, mas a Microsoft implementou uma abordagem semelhante começando no Windows

7

Server 2003 SP1 e Windows XP SP2. Ao invés de implementar a proteção ponteiro como um recurso automático, a Microsoft adicionou uma rotina de API que pode ser chamado a critério do programador . Isto permite um melhor desempenho (porque não é usado o tempo todo), mas coloca o ónus sobre o programador para saber quando é necessário.Porque XOR é linear, um invasor pode ser capaz de manipular um ponteiro codificado, substituindo apenas os bytes mais baixos de um endereço. Isso pode permitir que um ataque de sucesso se o atacante é capaz de tentar a façanha várias vezes ou é capaz de completar um ataque de causando um ponteiro para apontar para um dos vários locais (como qualquer local dentro de um trenó NOP). Microsoft adicionou uma rotação aleatória ao seu esquema de codificação para abordar esta fraqueza para substituições parciais.

8

Cross-site scripting (XSS)

É um tipo de vulnerabilidade do sistema de segurança de um computador, encontrado normalmente em aplicações web que activam ataques maliciosos ao injectarem client-side script dentro das páginas web vistas por outros usuários. Um script de exploração de vulnerabilidade cross-site pode ser usado pelos atacantes para escapar aos controlos de acesso que usam a política de mesma origem.

Ataque

Através de um XSS, o cracker injeta códigos JavaScript em um campo texto de uma página já existente e este JavaScript é apresentado para outros usuários, porque persiste na página.Exemplo de ataque: Imaginem que o cracker insira, em um fórum de um website alvo de ataque, um texto que contenha um trecho de JavaScript. Este JavaScript poderia, por exemplo, simular a página de login do site, capturar os valores digitados e enviá-los a um site que os armazene. Quando o texto do fórum for apresentado a outros usuários, um site atacado pelo XSS exibirá o trecho de JavaScript digitado anteriormente nos browsers de todos os outros usuários, provocando a brecha de ataque.O invasor envia um script para o servidor: <script>malicious.js... = SYN onde o servidor recebe o script e interpreta uma nova página inserindo o código como resposta da requisição ao atacante = SYN/ACK.Por fim, o atacante recebe a resposta em seu browser = ACKSe você estiver usando plugins/extensões em seu navegador como: NoScript ou o Google chrome com o "XSS Auditor" habilitado, os ataques de Cross Site Scripting emsites que estejam vulneráveis não irão funcionar.

Não persistente:

A vulnerabilidade cross-site scripting não persistente (ou refletida) é, de longe, o tipo mais comum. Estas falhas aparecem quando os dados fornecidos por um cliente web, mais comumente em parâmetros de consulta HTTP ou envios de formulários HTML, é imediatamente utilizado pelos scripts do lado do servidor para analisar e exibir uma página de resultados de e para o usuário, sem a

9

limpeza adequada do pedido. Como os documentos HTML têm uma estrutura plana e serial que mistura instruções de controle, formatação e conteúdo real, todos os dados fornecidos pelo usuário, não validados incluídos na página resultante sem codificação HTML adequada, pode levar a injeção de marcação.PersistenteA vulnerabilidade XSS persistente (ou armazenados) é uma variante mais devastadora de uma falha de script cross-site: ocorre quando os dados fornecidos pelo atacante são salvos pelo servidor e, em seguida, exibidos em páginas "normais" retornadas para outros usuários no curso de uma navegação normal, sem HTML adequada.

Proteção

Apesar de várias ocorrências de XSS e das diferentes formas de exploração, impedir a própria vulnerabilidade é conceitualmente simples. O que a torna problemática na prática é a dificuldade de identificar todos os campos da aplicação onde há dados manipulados pelo usuário e que serão posteriormente exibidos em tela. A causa do XSS refletido e persistente é que estes dados são inseridos em respostas da aplicação sem validação. Para eliminar tais vulnerabilidades, o primeiro passo é identificar todas as instâncias dentro da aplicação em que os dados são colocados nas respostas das requisições. Uma vez identificados os locais destes dados, é necessário realizar os seguintes procedimentos:

Validação de Entrada Validação de Saída

Validação da entrada

Este é o momento em que a aplicação recebe os dados fornecidos pelo usuário, que podem ser apresentados em respostas futuras. É necessário que a aplicação realize uma validação dentro do contexto daquele conteúdo, tornando-o mais restrito possível, por exemplo: Limitando o tamanho do campo a ser inserido Definindo o conjunto de caracteres aceito pela aplicação Estabelecendo uma expressão regular para os dadosEstas regras de validações variam de acordo com o campo e com o contexto da aplicação, por exemplo, nomes, endereços de e-mails, números de contas e cartões, ou seja, de acordo com o tipo de informação, espera-se um formato pré-determinado de conteúdo.           

10

Validação da Saída

Agora é a vez da aplicação copiar em suas respostas os dados que originados por algum usuário ou até mesmo por terceiros. Estes dados devem ser codificados em HTML para tratar potenciais caracteres maliciosos.

Vírus LovSan

Aparecido durante o Verão de 2003, o vírus LovSan (conhecido igualmente sob os nomes W32/Lovsan.worm, W32/Lovsan.worm.b, W32.Blaster.Worm, W32/Blaster-B, WORM_MSBLAST.A, MSBLASTER, Win32.Poza, Win32.Posa.Worm, Win32.Poza.B) é o primeiro vírus explorar a falha RPC/DCOM (Remote Procedure Call, ou seja, em português, chamada de procedimento distante) dos sistemas Microsoft Windows que permitem a processos distantes comunicar. Explorando a falha graças a uma profusão de tampão, um programa malicioso (como o vírus LovSan) pode tomar o controlo da máquina vulnerável. Os sistemas afectados são os sistemas Windows NT 4.0,2000, XP e Windows Server 2003.

Sintomas da infecção:

A exploração da vulnerabilidade RPC provoca diversos disfuncionamentos nos sistemas afetados, vinculados à desativação do serviço RPC (Processo svchost.exe/rpcss.exe). Os sistemas vulneráveis apresentam os sintomas seguintes:

Copiar/colar defeituosos ou impossíveis Abertura de uma ligação hipertexto numa nova janela impossível Deslocação de ícones impossíveis Função busca de ficheiro de windows errática Encerramento da porta 135/TCP Reinício de Windows XP: o sistema é incessantemente relançadopor

AUTORIDADE NT/system com a mensagem (s) seguinte (s): <preclass="code">Windows deve agora arrancar porque o serviço chamada de procedimento distante (RPC) terminou de maneira inesperada 

Erradicar o vírus

Para erradicar o verme LovSan, o melhor método consiste, em primeiro lugar, em desinfectar o sistema com a ajuda do conjunto de desinfecção seguinte :  Fazer o download do conjunto de desinfecção 

11

Se o seu sistema reiniciar continuamente, é necessário desativar o reinício automático: Inicialmente, faça Iniciar/executar e seguidamente escreva o comando

seguinte que permite adiar o reinício automático: Shutdown-a.Clique em O meu computador com o botão direito.

Clique em Propriedades/Avançado/Arranque e recuperação/Parâmetros Desmarque o compartimento “arrancar automaticamente”!

Poderá restabelecer esta opção quando o seu sistema funcionar de novo normalmente. É seguidamente indispensável atualizar o sistema com a ajuda do serviço Windows Update ou atualizando o seu sistema com o patch correspondente de acordo com o seu sistema de exploração.

Patch para Windows 2000 Patch para Windows XP

12

Worm-vírus

A mensagem de erro a seguir ou outro erro semelhante aparece antes de o computador ser automaticamente desligado:Este sistema está sendo desligado. Salve todo o trabalho em andamento e faça logoff. Quaisquer alterações não salvas serão perdidas. Este desligamento foi iniciado pela AUTORIDADE/SISTEMA NT. Tempo antes de desligar: Mensagem 00:00:XX: O Windows precisa ser reiniciado agora porque o serviço de chamada de procedimento remoto (RPC - Remote Procedure Call) foi encerrado inesperadamente.

Figura: A mensagem de erro real

Outros sintomas podem incluir instabilidade, panes e vulnerabilidade do sistema.Esse erro provavelmente é causado por um vírus do tipo worm conhecido como Blaster, LoveSan, MSBlaster ou Welchia (também pode ter outros nomes e variações). O worm pode explorar uma vulnerabilidade da segurança em computadores desprotegidos que estejam executando o Microsoft Windows XP ou Windows 2000. Ele afeta os sistemas que não possuam o patch da Microsoft instalado MS03-039. Encontrar o arquivo "Msblast.exe" indica que o vírus está ativo em seu computador. Entretanto, esse arquivo não está presente em todas as variantes do worm. Mesmo que você não encontre esse arquivo no computador, o worm pode ainda residir em seu sistema.Use as etapas abaixo para atualizar seu computador com o patch de segurança da Microsoft mais recente e remova o vírus do sistema.

13

Combatendo o worm-vírus

Siga as etapas abaixo para impedir que o computador seja reiniciado, para remover o vírus e para impedir que ele reinfecte o computador. A HP não garante o sucesso desse procedimento, uma vez que o vírus pode existir em formas diferentes. 

Quando o computador precisar de reparos ou quando a recuperação do sistema for executada, o software é alterado de volta a sua configuração original, o que significa dizer que é configurado à mesma condição de quando foi comprado. Todas as atualizações de driver e software instaladas no computador desde que foi ligado pela primeira vez são perdidas. Nessa condição de "quase novo", o computador está mais suscetível a vírus, porque todas as atualizações de segurança instaladas anteriormente são removidas.

14

Vulnerabilidade Mac

O Mac OS X, assim como outros sistemas operacionais, possui várias falhas de segurança, inclusive não detectadas e que podem garantir o acesso não autorizado ao sistema. Uma vez que o computador esteja infectado, criminosos podem usar este acesso para instalar outros programas maliciosos.

Ataques dirigidos

Alguns códigos exploram vulnerabilidades com o objetivo de infectar uma pessoa específica e roubar dados que só ela possui. Normalmente este processo ocorre através de um e-mail com um anexo suspeito que é usado para instalar o malware.

Infecções de redes Mac – PC

Alguns malwares foram feitos para se adaptar ao sistema operacional que encontram. Aqueles que se reproduzem por USB, por exemplo, podem infectar tanto Macs quanto PCs.

15

Vulnerabilidade Linux

Abaixo estão listadas as 10 maiores vulnerabilidades do Sistema Operacional Linux/Unix, traduzido de Outubro de 2003 e que são válidas ainda hoje:

1. BIND - O BIND é o principal serviço de ataque dos hackers. A maioria dos bugs já foram resolvidos mas a maioria das pessoas mantém as versões mais antigas por uma questão de funcionalidade e por não disporem de tempo para a migração.

2. RPC - O RPC é um serviço para a chamadas de procedimentos que serão executados remotamente. É extremamente importante para a funcionalidade da rede interna, poissão utilizados para distribuição de carga, processamento distribuído, cliente/servidor, etc. O NFS, que é um dos compartilhamentos de rede mais conhecidos e utilizados, usa diretamente o RPC.

3. Apache - Sem dúvidas nenhuma é um Web Server bem mais robusto que o IIS, mas não deixa de estar exposto à internet. Vários ataques a sistemas operacionais NIX ocorrem pelo Apache, principalmente para servidores com execução de scripts e permissões de acesso à programas.

4. Contas de usuários - Esta vulnerabilidade ocorre principalmente sobre contas com senhas fracas ou nulas. Parece ridículo, mas tem pessoas que conseguem invadir sistemas descobrindo senhas pelo método da tentativa e erro, e, geralmente, as senhas são as mais óbvias possíveis. Não é o sistema que é hackeado mas a conta do usuário. Uma vez tendo acesso ao sistema, o hacker pode se tornar bastante incômodo.

5. Serviço de transferência em ASCII - FTP e e-mail são os programas diretamente relacionados a estes serviços. Tudo que passar por eles e for texto puro, não encriptado (o que ocorre na maioria das instalações), o conteúdo pode ser capturado. Basta alguma informação ou senha secreta para que a porta esteja aberta.

6. Sendmail - É, talvez, o pior serviço de e-mail do NIX, em comparação com os seus próprios concorrentes. Tende a ser lento e problemático. Mas é o mais utilizado, porque é extremamente operacional. É possível colocá-lo para funcionar rapidamente. Por isto é a maior fonte de furos existente na comunidade. Se puder, substitua.

7. SNMP - Uma excelente ferramenta administrativa, principalmente para grandes corporações. Mas por ser um projeto baseado na comunicação com a rede, está sujeito à vulnerabilidades. O serviço é ativado por default no sistema Linux, o que causa o esquecimento por parte dos usuários.

16

8. SSH - É a solução ideal para acesso remoto seguro, abolindo de vez o Telnet. No entanto, pode se tornar totalmente ineficaz se não for administrado corretamente. Escolha o nível de segurança mais desejado, lembrando que ele é diretamente proporcional ao trabalho para configurá-lo. E não se esqueça de proteger chaves privadas dos usuários!

9. Compartilhamento de arquivos- Ocorre principalmente com NIS/NFS. Podem comprometer a segurança abrindo brechas para ataques externos.

10.SSL's - Embora sejam extremamente eficazes para criar conexões seguras entre cliente/servidor, os SSL's permitem o acesso ao servidor por parte do cliente. Pode se tornar uma porta para o acesso de hackers.

17

Conclusão

O Trabalho foi feito no intuito de mostrar que uma vulnerabilidade do computador é especificamente uma falha ou fraqueza, que pode ser explorada por “atacantes” para contornar ou violar, políticas de segurança e obter acesso não autorizado a um sistema de computador ou rede, assim permitindo que seja impossível usar um produto de software sem expor o computador no qual ele está instalado a riscos de segurança desnecessários. 

18

Referencias Bibliográficas

https://www.exacti.com.br/novidade/sistemas-operacionais-mais-vulneraveis-de-2014

http://www.showmetech.com.br/divulgada-lista-dos-sistemas-com-mais-vulnerabilidades-de-2014/

http://info.abril.com.br/noticias/seguranca/2015/02/mac-os-x-e-ios-lideram-lista-de-sistemas-operacionais-mais-vulneraveis.shtml

http://www2.ic.uff.br/~otton/graduacao/informaticaI/Ataques.pdf

19