DE112012000279T5

DE112012000279T5 - Ermitteln der Anfälligkeit von Computer-Software-Anwendungen gegenüber Rechteausweitungsangriffen

Info

Publication number: DE112012000279T5
Application number: DE112012000279T
Authority: DE
Inventors: Marco Pistoia; Ori Segal; Omer Tripp
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2011-01-31
Filing date: 2012-01-30
Publication date: 2013-10-10
Also published as: JP5852676B2; GB2499353B; GB2499353A; WO2012103646A1; US8914890B2; US20120272322A1; US8910293B2; CN103339635B; GB201310455D0; CN103339635A; US20120198557A1; JP2014507718A

Abstract

Ermitteln der Anfälligkeit von Computer-Software-Anwendungen gegenüber Rechteausweitungsangriffen, wobei zum Beispiel ein Befehlsklassifizierungsprogramm so konfiguriert wird, dass es zum Identifizieren eines möglichen zugriffsbeschränkten Bereichs der Befehle einer Computer-Software-Anwendung verwendet werden soll, und ein statisches Analyseprogramm so konfiguriert wird, dass es den möglichen zugriffsbeschränkten Bereich statisch analysiert, um zu ermitteln, ob eine bedingte Anweisung vorhanden ist, die einen Ausführungsablauf in den möglichen zugriffsbeschränkten Bereich steuert, dass es eine statische Analyse durchführt, um zu ermitteln, ob die bedingte Anweisung von einer Datenquelle innerhalb der Computer-Software-Anwendung abhängig ist, und dass es den möglichen zugriffsbeschränkten Bereich mangels entweder der bedingten Anweisung oder der Datenquelle als anfällig gegenüber Rechteausweitungsangriffen kennzeichnet.

Description

GEBIET DER ERFINDUNG
Die Erfindung bezieht sich auf die Sicherheit von Computer-Software und auf die Analyse im Allgemeinen.
HINTERGRUND DER ERFINDUNG
Ein Angriff durch Rechteausweitung (privilege escalation, PE) bezieht sich auf einen Typ eines Angriffs auf der Grundlage eines Computers, bei dem ein Angreifer versucht, unzureichende oder nicht vorhandene Steuerungsmechanismen auszunutzen, um Zugriff auf Ressourcen einer Computer-Software-Anwendung zu erlangen, die nur für den Zugriff durch gültige Benutzer mit privilegierten Rechten bestimmt sind oder die für den Zugriff durch gültige Benutzer bestimmt sind, die sogar über nichtprivilegierte Rechte verfügen, die jedoch für den Angreifer gesperrt sein sollen. Es wäre zweckmäßig, Computer-Software-Anwendungen während ihrer Entwicklung zu überprüfen, um zu ermitteln, ob sie anfällig gegenüber PE-Angriffen sind.
KURZDARSTELLUNG DER ERFINDUNG
In einem Aspekt der vorliegenden Erfindung wird ein Verfahren zum Ermitteln der Anfälligkeit von Computer-Software-Anwendungen gegenüber Rechteausweitungsangriffen bereitgestellt, wobei das Verfahren beinhaltet:
Identifizieren eines möglichen zugriffsbeschränkten Bereichs von Befehlen einer Computer-Software-Anwendung; statisches Analysieren des möglichen zugriffsbeschränkten Bereichs, um zu ermitteln, ob eine bedingte Anweisung vorhanden ist, die den Ausführungsablauf in den möglichen zugriffsbeschränkten Bereich steuert; Durchführen einer statischen Analyse, um zu ermitteln, ob die bedingte Anweisung von einer Datenquelle innerhalb der Computer-Software-Anwendung abhängig ist; und Kennzeichnen des möglichen zugriffsbeschränkten Bereichs mangels entweder der bedingten Anweisung oder der Datenquelle als anfällig gegenüber Rechteausweitungsangriffen. Außerdem werden ein System und ein Computerprogrammprodukt bereitgestellt, die die Erfindung verkörpern.
KURZBESCHREIBUNG DER VERSCHIEDENEN ANSICHTEN DER ZEICHNUNGEN
Die vorliegende Erfindung wird anhand der folgenden ausführlichen Beschreibung in Verbindung mit den beigefügten Zeichnungen besser verständlich und nachvollziehbar, für die gilt:
1 ist eine konzeptionelle Darstellung eines Systems zum Ermitteln der Anfälligkeit von Computer-Software-Anwendungen gegenüber Rechteausweitungsangriffen gemäß einer Ausführungsform der vorliegenden Erfindung;
2 ist ein Ablaufplan einer beispielhaften Arbeitsweise des Systems von 1 gemäß einer Ausführungsform der vorliegenden Erfindung;
3 ist ein Beispiel für Befehle einer Computer-Software-Anwendung gemäß einer Ausführungsform der vorliegenden Erfindung; und
4 ist ein Blockschaubild einer beispielhaften Hardware-Ausführung eines Datenverarbeitungssystems gemäß einer Ausführungsform der vorliegenden Erfindung.
AUSFÜHRLICHE BESCHREIBUNG
Die vorliegende Erfindung wird nun im Zusammenhang mit einer oder mehreren Ausführungsformen beschrieben, wenngleich die Beschreibung zur Veranschaulichung der vorliegenden Erfindung insgesamt bestimmt und nicht so auszulegen ist, dass sie die vorliegende Erfindung auf die dargestellten Ausführungsformen beschränkt. Es ist ersichtlich, dass Fachleuten verschiedene Modifizierungen einfallen können, die, auch wenn sie nicht ausdrücklich hierin dargestellt werden, dennoch vom Wesensgehalt und Umfang der vorliegenden Erfindung umfasst sind.
Wie für einen Fachmann ersichtlich ist, können Aspekte der vorliegenden Erfindung als System, Verfahren oder Computerprogrammprodukt verkörpert werden. Dementsprechend können Aspekte der vorliegenden Erfindung eine reine Hardware-Ausführungsform, eine reine Software-Ausführungsform (darunter Firmware, residente Software, Mikrocode usw.) oder eine Ausführungsform annehmen, in der Software- und Hardware-Aspekte kombiniert werden, die sämtlich hierin verallgemeinernd als „Schaltung”, „Modul” oder „System” bezeichnet werden können. Des Weiteren können Aspekte der vorliegenden Erfindung die Form eines Computerprogrammprodukts annehmen, das in einem oder mehreren computerlesbaren Medien verkörpert wird, auf denen computerlesbarer Programmcode verkörpert ist.
Es kann eine beliebige Kombination eines oder mehrerer computerlesbarer Medien verwendet werden. Bei dem computerlesbaren Medium kann es sich um ein computerlesbares Signalmedium oder ein computerlesbares Speichermedium handeln. Bei einem computerlesbaren Speichermedium kann es sich zum Beispiel um ein(e) elektronische(s), magnetische(s), optische(s), elektromagnetische(s), Infrarot- oder Halbleitersystem, -vorrichtung oder -einheit oder um eine beliebige geeignete Kombination aus Obigen handeln, ohne auf diese beschränkt zu sein. Zu konkreteren Beispielen (einer nicht erschöpfenden Liste) des computerlesbaren Speichermediums würden folgende gehören: eine elektrische Verbindung mit einer oder mehreren Leitungen, eine tragbare Computerdiskette, eine Festplatte, ein Direktzugriffsspeicher (random access memory, RAM), ein Festwertspeicher (read-only memory, ROM), ein löschbarer, programmierbarer Festwertspeicher (erasable programmable read-only memory, EPROM oder Flash-Speicher), ein Lichtwellenleiter, ein tragbarer Compact-Disk-Festwertspeicher (CD-ROM), eine optische Datenspeichereinheit, eine Magnetdatenspeichereinheit oder eine beliebige geeignete Kombination der Obigen. Im Rahmen dieses Dokuments kann ein computerlesbares Speichermedium jedes physische Medium sein, das ein Programm zur Verwendung durch ein System, eine Vorrichtung oder Einheit zur Befehlsausführung bzw. in Verbindung mit diesen enthalten oder speichern kann.
Ein computerlesbares Signalmedium kann ein sich ausbreitendes Datensignal, in dem computerlesbarer Programmcode verkörpert wird, zum Beispiel im Basisband oder als Teil einer Trägerwelle beinhalten. Ein solches sich ausbreitendes Signal kann eine Vielfalt von Formen annehmen, darunter eine elektromagnetische Form, eine optische Form oder eine beliebige geeignete Kombination derselben, ohne auf diese beschränkt zu sein. Bei einem computerlesbaren Signalmedium kann es sich um ein beliebiges computerlesbares Medium handeln, das kein computerlesbares Speichermedium ist und das ein Programm zur Verwendung durch ein System, eine Vorrichtung oder Einheit zur Befehlsausführung bzw. in Verbindung mit diesen austauschen, verbreiten oder transportieren kann.
Auf einem computerlesbaren Medium verkörperter Programmcode kann mithilfe eines beliebigen geeigneten Mediums übertragen werden, zum Beispiel über Funk, Kabel, Lichtwellenleiterkabel, Hochfrequenz (HF) usw. oder über eine beliebige geeignete Kombination der Obigen, ohne auf diese beschränkt zu sein.
Computerprogrammcode zum Ausführen von Vorgängen für Aspekte der vorliegenden Erfindung kann in einer beliebigen Kombination einer oder mehrerer Programmiersprachen geschrieben werden, zum Beispiel in einer objektorientierten Programmiersprache wie etwa Java, Smalltalk, C++ oder dergleichen und in herkömmlichen verfahrensorientierten Programmiersprachen wie zum Beispiel der Programmiersprache „C” oder ähnlichen Programmiersprachen. Der Programmcode kann vollständig auf dem Computer des Benutzers, zum Teil auf dem Computer des Benutzers, als eigenständiges Software-Paket, zum Teil auf dem Computer des Benutzers und zum Teil auf einem entfernt angeordneten Computer oder vollständig auf dem entfernt angeordneten Computer oder Server ausgeführt werden. In letzterem Szenario kann der entfernt angeordnete Computer mit dem Computer des Benutzers durch eine beliebige Art von Netzwerk verbunden sein, zum Beispiel durch ein lokales Netzwerk (local area network, LAN) oder ein Weitverkehrs-Netzwerk (wide area network, WAN), oder die Verbindung kann mit einem externen Computer (zum Beispiel über das Internet mithilfe eines Internet-Dienstanbieters) hergestellt werden.
Aspekte der vorliegenden Erfindung werden nachfolgend unter Bezugnahme auf Ablaufpläne und/oder Blockschaubilder von Verfahren, Vorrichtungen (Systemen) und Computerprogrammprodukten gemäß Ausführungsformen der vorliegenden Erfindung beschrieben. Es versteht sich, dass jeder Block der Ablaufpläne und/oder Blockschaubilder und Kombinationen von Blöcken in den Ablaufplänen und/oder Blockschaubildern durch Computerprogrammbefehle ausgeführt werden kann/können. Diese Computerprogrammbefehle können für einen Prozessor eines Universalcomputers, eines Spezialcomputers oder einer sonstigen programmierbaren Datenverarbeitungsvorrichtung bereitgestellt werden, um eine Maschine zu erzeugen, sodass die Befehle, die über den Prozessor des Computers oder einer sonstigen programmierbaren Datenverarbeitungsvorrichtung ausgeführt werden, ein Mittel zum Ausführen der Funktionen/Vorgänge erzeugen, die in dem Block oder den Blöcken der Ablaufpläne und/oder der Blockschaubilder angegeben sind.
Diese Computerprogrammbefehle können auch in einem computerlesbaren Medium gespeichert werden, das einen Computer, eine sonstige programmierbare Datenverarbeitungsvorrichtung oder sonstige Einheiten so steuern kann, dass sie in einer bestimmten Weise funktionieren, sodass die in dem computerlesbaren Medium gespeicherten Befehle einen Herstellungsgegenstand (article of manufacture) erzeugen, der Befehle beinhaltet, die die/den Funktion/Vorgang ausführen, die/der in dem Block oder den Blöcken der Ablaufpläne und/oder der Blockschaubilder angegeben ist.
Die Computerprogrammbefehle können außerdem auf einen Computer, eine sonstige programmierbare Datenverarbeitungsvorrichtung oder sonstige Einheiten geladen werden, um zu bewirken, dass eine Reihe von Schritten eines Vorgangs auf dem Computer, einer sonstigen programmierbaren Vorrichtung oder sonstigen Einheiten ausgeführt wird, um einen computerausgeführten Prozess zu erzeugen, sodass die auf dem Computer oder einer sonstigen programmierbaren Vorrichtung ausgeführten Befehle Prozesse bereitstellen, um die in dem Block oder den Blöcken der Ablaufpläne und/oder der Blockschaubilder angegebenen Funktionen/Vorgänge auszuführen.
Es wird nun auf 1 Bezug genommen, bei der es sich um eine konzeptionelle Darstellung eines Systems zum Ermitteln der Anfälligkeit von Computer-Software-Anwendungen gegenüber Rechteausweitungsangriffen gemäß einer Ausführungsform der vorliegenden Erfindung handelt. In dem System von 1 wird ein Befehlsklassifizierungsprogramm 100 so konfiguriert, dass es zum Identifizieren von möglichen zugriffsbeschränkten Bereichen der Befehle einer Computer-Software-Anwendung gemäß vordefinierten Kriterien zum Identifizieren von Befehlen als zugriffsbeschränkte Befehle verwendet werden soll. Solche Kriterien können zum Beispiel Befehle beinhalten, die einen Zugriff auf das Dateisystem oder auf Datenbanken regeln. Dies kann manuell gemäß herkömmlichen Techniken geschehen, zum Beispiel indem der Benutzer den Quellcode der Computer-Software-Anwendung manuell durchsucht, um zugriffsbeschränkte Befehle zu identifizieren, und die Position der identifizierten Kandidaten über eine Dateneingabe-Schnittstelle in das Befehlsklassifizierungsprogramm 100 eingibt, woraufhin das Befehlsklassifizierungsprogramm 100 die möglichen Positionen bevorzugt in einem Datenspeicher möglicher Positionen 102 speichert.
Zusätzlich oder alternativ wird das Befehlsklassifizierungsprogramm 100 so konfiguriert, dass es eine Black-Box-Testeinheit 104 so steuert, dass sie Black-Box-Differenztests der Computer-Software-Anwendung durchführt, um mögliche zugriffsbeschränkte Bereiche der Anwendung mithilfe einer Black-Box-Test-Software wie zum Beispiel AppScan SE^TM zu identifizieren, die im Handel von International Business Machines Corporation^TM, Armonk, NY, erhältlich ist. Bei diesem Ansatz simuliert die Black-Box-Testeinheit 104 Interaktionen mit der Anwendung als Benutzer, der berechtigt ist, auf beschränkte Bereiche der Anwendung zuzugreifen, beispielsweise wenn ein Benutzer als „Administrator” bei der Anwendung angemeldet ist. Die Black-Box-Testeinheit 104 simuliert außerdem Interaktionen mit der Anwendung als Benutzer, der nicht berechtigt ist, auf beschränkte Bereiche der Anwendung zuzugreifen, beispielsweise wenn ein Benutzer als normaler Benutzer bei der Anwendung angemeldet ist. Die Ergebnisse beider Black-Box-Tests werden anschließend durch das Befehlsklassifizierungsprogramm 100 verglichen, um diejenigen Dateneingabe-Schnittstellen zu identifizieren, die für den berechtigten Benutzer zugänglich gemacht worden waren, die jedoch nicht für den normalen Benutzer zugänglich gemacht worden waren. Mithilfe herkömmlicher Techniken setzt das Befehlsklassifizierungsprogramm 100 die identifizierten Dateneingabe-Schnittstellen mit den Befehlen des Anwendungsquellcodes oder des Byte-Codes, die den identifizierten Dateneingabe-Schnittstellen zugrunde liegen, in Beziehung, woraufhin solche in Beziehung gesetzten Befehle durch das Befehlsklassifizierungsprogramm 100 als mögliche zugriffsbeschränkte Bereiche gekennzeichnet werden, die bevorzugt an möglichen Positionen 102 gespeichert werden.
Zusätzlich oder alternativ wird das Befehlsklassifizierungsprogramm 100 so konfiguriert, dass es mögliche zugriffsbeschränkte Bereiche der Computer-Software-Anwendung durch statisches Analysieren der Anwendungsbefehle gemäß herkömmlichen Techniken mithilfe einer vordefinierten Spezifikation von sicherheitsrelevanten Operationen und/oder domänenspezifischem Wissen identifiziert, das sich auf solche Operationen bezieht. Beispielsweise kann eine Liste von Anwendungsprogrammierschnittstellen (application programming interfaces, APIs) in der Programmiersprache, in der die Anwendung geschrieben ist, bei denen die APIs bekanntermaßen den Zugriff auf das Dateisystem, Datenbanken und sonstige sensible Bereiche regeln, in der Annahme vordefiniert werden, dass nur Benutzer dazu in der Lage sind, die ausdrücklich die Berechtigung erhalten haben, auf diejenigen Teile der Anwendung zuzugreifen, die diese APIs verwenden. Bereiche der Anwendung, die auf diese APIs zugreifen, werden durch das Befehlsklassifizierungsprogramm 100 als mögliche zugriffsbeschränkte Bereiche gekennzeichnet, die bevorzugt an möglichen Positionen 102 gespeichert werden.
Ein statisches Analyseprogramm 106 wird so konfiguriert, dass es einen möglichen zugriffsbeschränkten Bereich statisch analysiert, um zu ermitteln, ob eine bedingte Anweisung vorhanden ist, die steuert, ob eine Ausführung in den möglichen zugriffsbeschränkten Bereich übergeht. Wenn keine solche bedingte Anweisung gefunden wird, kennzeichnet das statische Analyseprogramm 106 den möglichen zugriffsbeschränkten Bereich in der Annahme, dass ein Zugriff nicht ohne bedingte Berechtigungsprüfung beschränkt werden kann, als PE-anfällig. Wenn eine solche bedingte Anweisung gefunden wird, führt das statische Analyseprogramm 106 bevorzugt eine statische Analyse durch, um zu ermitteln, ob die bedingte Anweisung von einer Datenquelle innerhalb der Anwendung abhängig ist, in der eine Datenquelle als Anweisung definiert ist, die eine Benutzereingabe in die Anwendung einbringt, wie zum Beispiel einen ,getParameter'-Aufruf eines Java^TM-Servlet. Wenn die bedingte Anweisung nicht von einer Datenquelle abhängig ist, kennzeichnet das statische Analyseprogramm 106 den möglichen zugriffsbeschränkten Bereich in der Annahme, dass ohne Zugriff auf Benutzereingaben keine Berechtigungsprüfung des Benutzers hätte durchgeführt werden können, bevorzugt als PE-anfällig.
Wenn ein möglicher zugriffsbeschränkter Bereich identifiziert wird, für den eine bedingte Anweisung vorhanden ist, die a) steuert, ob die Ausführung in den möglichen zugriffsbeschränkten Bereich übergeht, und b) von einer Datenquelle abhängig ist, kann der durch die bedingte Anweisung durchgeführte Test analysiert werden, um zu ermitteln, ob es sich bei dem Test tatsächlich um einen gültigen Berechtigungsprüfungstest handelt. Beispielsweise kann das statische Analyseprogramm 106 eine statische Analyse durchführen, um festzustellen, welche Dateneingabe-Schnittstellen, die durch die Computer-Software-Anwendung zugänglich gemacht werden, zu dem Test führen. Anschließend kann das Befehlsklassifizierungsprogramm 100 für jede dieser Dateneingabe-Schnittstellen die Block-Box-Testeinheit 104 so steuern, dass sie zwei Anforderungen ausgibt, die auf die Dateneingabe-Schnittstelle abzielen, einmal in Form einer simulierten Interaktion durch einen Benutzer, der berechtigt ist, auf beschränkte Bereiche der Anwendung zuzugreifen, wie zum Beispiel wenn ein Benutzer bei der Anwendung als „Administrator” angemeldet ist, und einmal in Form einer simulierten Interaktion durch einen Benutzer, der nicht berechtigt ist, auf beschränkte Bereiche der Anwendung zuzugreifen, etwa wenn ein Benutzer bei der Anwendung als normaler Benutzer angemeldet ist. Wenn nur der erstgenannte Test erfolgreich verläuft, stellt das Befehlsklassifizierungsprogramm 100 bevorzugt fest, dass es sich bei dem Test um einen gültigen Berechtigungsprüfungstest handelt. Zusätzlich oder alternativ kann eine Beschreibung des Tests und/oder des möglichen zugriffsbeschränkten Bereichs und/oder der Datenquelle durch das Befehlsklassifizierungsprogramm 100 einem Benutzer angezeigt werden, der manuell entscheiden kann, ob es sich bei dem Test tatsächlich um einen gültigen Berechtigungsprüfungstest handelt.
Wenn mehrere bedingte Anweisungen gefunden werden, die mehrere Ausführungsabläufe in einen möglichen zugriffsbeschränkten Bereich darstellen, und insbesondere, wenn nicht alle bedingten Anweisungen denselben Test an denselben Quelldaten durchführen, kann diese Feststellung durch das Befehlsklassifizierungsprogramm 100 vermerkt werden, um sie später als Ausdruck schlechter Programmierungspraxis zu melden.
Beliebige der in 1 dargestellten Elemente werden bevorzugt durch einen Computer 108 ausgeführt oder diesem auf andere Weise zugänglich gemacht, beispielsweise durch Ausführen beliebiger der Elemente in Computer-Hardware und/oder in Computer-Software, die in einem physisch greifbaren, nichttransitorischen, computerlesbaren Medium gemäß herkömmlichen Techniken verkörpert sind. Daten, die durch ein beliebiges Element des Systems von 1 erfasst oder erzeugt werden, können einem Benutzer gemäß herkömmlicher Techniken über eine computergesteuerte Ausgabeeinheit wie zum Beispiel einen durch den Computer 108 gesteuerten Drucker oder Computerbildschirm angezeigt werden.
Es wird nun auf 2 Bezug genommen, bei der es sich um einen Ablaufplan einer beispielhaften Arbeitsweise des Systems von 1 gemäß einer Ausführungsform der vorliegenden Erfindung handelt. Bei dem Verfahren von 2 werden mögliche zugriffsbeschränkte Bereiche der Befehle einer Computer-Software-Anwendung gemäß vordefinierten Kriterien zum Identifizieren von Befehlen als zugriffsbeschränkte Befehle identifiziert (200). Wie hierin oben unter Bezugnahme auf 1 beschrieben, kann dies manuell, durch Durchführen von Black-Box-Differenztests der Anwendung und/oder durch statisches Analysieren der Anwendungsbefehle durchgeführt werden. Für jeden identifizierten möglichen zugriffsbeschränkten Bereich wird eine statische Analyse durchgeführt, um zu ermitteln, ob eine bedingte Anweisung vorhanden ist, die steuert, ob die Ausführung in den möglichen zugriffsbeschränkten Bereich übergeht (202). Wenn keine solche bedingte Anweisung gefunden wird (204), wird der mögliche zugriffsbeschränkte Bereich in der Annahme, dass der Zugriff nicht ohne bedingte Berechtigungsprüfung beschränkt werden kann, bevorzugt als PE-anfällig gekennzeichnet (206). Wenn eine solche bedingte Anweisung gefunden wird, wird eine statische Analyse durchgeführt, um zu ermitteln, ob die bedingte Anweisung von einer Datenquelle abhängig ist (208). Wenn die bedingte Anweisung nicht von einer Datenquelle abhängig ist (210), wird der mögliche zugriffsbeschränkte Bereich in der Annahme, dass ohne Zugriff auf Benutzereingaben keine Berechtigungsprüfung des Benutzers hätte durchgeführt werden können, bevorzugt als PE-anfällig gekennzeichnet (206). Wenn ein möglicher zugriffsbeschränkter Bereich identifiziert wird, für den eine bedingte Anweisung vorhanden ist, die a) steuert, ob die Ausführung in den möglichen zugriffsbeschränkten Bereich übergeht, und b) von einer Datenquelle abhängig ist, kann der durch die bedingte Anweisung durchgeführte Test analysiert werden, um zu ermitteln, ob es sich bei dem Test tatsächlich um einen gültigen Berechtigungsprüfungstest handelt (212). Wenn mehrere bedingte Anweisungen gefunden werden, die mehrere Ausführungsabläufe in einen möglichen zugriffsbeschränkten Bereich darstellen, und insbesondere, wenn nicht alle bedingten Anweisungen denselben Test an denselben Quelldaten durchführen, kann diese Feststellung vermerkt werden, um sie später als Ausdruck schlechter Programmierungspraxis zu melden (214). Daten, die, wie oben unter Bezugnahme auf 2 beschrieben, erfasst oder erzeugt werden, können einem Benutzer gemäß herkömmlicher Techniken über eine computergesteuerte Ausgabeeinheit wie zum Beispiel einen Drucker oder Computerbildschirm angezeigt werden.
Das System von 1 und das Verfahren von 2 können im Zusammenhang mit 3 veranschaulicht werden, die beispielhafte Befehle einer Computer-Software-Anwendung zum Löschen eines Benutzerdatensatzes aus einer Datenbank gemäß einer Ausführungsform der vorliegenden Erfindung darstellt. Die in 3 dargestellten Befehle sind so konfiguriert, dass sie vor PE-Angriffen schützen, indem sie Tests einbeziehen, die überprüfen, ob der Benutzer, der die Operation auslöst, als „Admin” identifiziert wird und ob das angegebene Kennwort korrekt ist. Wenn diese Tests bei denselben Befehlen fehlen, ist die Benutzerentfernungsoperation weiterhin durch einen Test „geschützt”, der überprüft, ob die URL, die die Benutzerentfernungsoperation ausgelöst hat, mit „removeUser” endet. Dieser Test ist jedoch nicht geeignet, um zu ermitteln, ob der aktuelle Benutzer als „Admin” identifiziert wird, und folglich sind die Befehle anfällig gegenüber PE-Angriffen. Black-Box-Tests, wie sie hierin oben beschrieben worden sind, wären in der Lage, zwischen den beiden Fällen des vorhergehenden Beispiels zu unterscheiden. Wenn die „Admin”- und Kennworttests vorhanden sind, werden die Befehle zum Entfernen des Benutzerdatensatzes während der Black-Box-Tests nur aufgerufen, wenn der simulierte Benutzer als „Admin” angemeldet ist. Wenn die „Admin”- und Kennworttests nicht vorhanden sind, wird der Benutzerdatensatz während der Black-Box-Tests unabhängig davon entfernt, ob der simulierte Benutzer als „Admin” angemeldet ist, was darauf hindeuten würde, dass die Anwendung anfällig gegenüber PE-Angriffen ist.
Es wird nun auf 4 Bezug genommen, in der ein Blockschaubild 400 eine beispielhafte Hardware-Ausführung eines Datenverarbeitungssystems veranschaulicht, gemäß der eine oder mehrere Komponenten/Methoden der vorliegenden Erfindung (z. B. im Zusammenhang mit 1 bis 3 beschriebene Komponenten/Methoden) gemäß einer Ausführungsform der vorliegenden Erfindung ausgeführt werden können.
Wie dargestellt wurde, können die Techniken zum Steuern eines Zugriffs auf zumindest eine Ressource gemäß einem Prozessor 410, einem Speicher 412, E/A-Einheiten 414 und einer Netzwerk-Schnittstelle 416, die über einen Computer-Bus 418 oder eine alternative Verbindungsanordnung verbunden sind, ausgeführt werden.
Es ist zu beachten, dass der Begriff „Prozessor” so, wie er hierin verwendet wird, eine beliebige Verarbeitungseinheit beinhalten soll, wie zum Beispiel eine, die eine CPU (central processing unit, Zentralverarbeitungseinheit) und/oder eine sonstige Verarbeitungsschaltung beinhaltet. Es versteht sich außerdem, dass sich der Begriff „Prozessor” auf mehr als eine Verarbeitungseinheit beziehen kann und dass verschiedene einer Verarbeitungseinheit zugehörige Elemente auch von sonstigen Verarbeitungseinheiten genutzt werden können.
So, wie der Begriff „Speicher” hierin verwendet wird, soll er einen Speicher beinhalten, der einem Prozessor oder einer CPU zugehörig ist, wie zum Beispiel einen RAM, einen ROM, eine feste Speichereinheit (z. B. eine Festplatte), eine Wechselspeichereinheit (z. B. eine Diskette), einen Flash-Speicher usw. Ein solcher Speicher kann als computerlesbares Speichermedium betrachtet werden.
Darüber hinaus soll der Ausdruck „Eingabe-/Ausgabeeinheiten” oder „E/A-Einheiten” so, wie er hierin verwendet wird, zum Beispiel eine oder mehrere Eingabeeinheiten (z. B. Tastatur, Maus, Scanner usw.) zum Eingeben von Daten in die Verarbeitungseinheit und/oder eine oder mehrere Ausgabeeinheiten (z. B. Lautsprecher, Anzeige, Drucker usw.) zum Darstellen von Ergebnissen beinhalten, die der Verarbeitungseinheit zugehörig sind.
Die Ablaufpläne und Blockschaubilder in den Figuren veranschaulichen die Architektur, Funktionalität und Arbeitsweise möglicher Ausführungen von Systemen, Verfahren und Computerprogrammprodukten gemäß verschiedener Ausführungsformen der vorliegenden Erfindung. In diesem Zusammenhang kann jeder Block in den Ablaufplänen oder Blockschaubildern ein Modul, ein Segment oder einen Abschnitt eines Codes darstellen, der einen oder mehrere ausführbare Befehle zum Implementieren der angegebenen logischen Funktion(en) aufweist. Es ist außerdem zu beachten, dass bei einigen alternativen Implementierungen die in dem Block vermerkten Funktionen in einer anderen Reihenfolge als in den Figuren vermerkt auftreten können. Beispielsweise können je nach einbezogener Funktionalität zwei nacheinander dargestellte Blöcke sogar im Wesentlichen gleichzeitig ausgeführt werden, oder die Blöcke können bisweilen in der umgekehrten Reihenfolge ausgeführt werden. Es ist ferner zu beachten, dass jeder Block der Blockschaubilder und/oder der Ablaufpläne und Kombinationen von Blöcken in den Blockschaubildern und/oder in den Ablaufplänen durch Spezialsysteme auf der Grundlage von Hardware, die die angegebenen Funktionen oder Vorgänge ausführen, oder durch Kombinationen von Spezial-Hardware und Computerbefehlen ausgeführt werden können.
Es ist ersichtlich, dass beliebige der oben beschriebenen Elemente als Computerprogrammprodukt ausgeführt werden können, das in einem computerlesbaren Medium verkörpert wird, wie zum Beispiel in Form von Computerprogrammbefehlen, die in magnetischen oder optischen Speichermedin gespeichert oder in Computer-Hardware eingebunden sind, und die durch einen (nicht dargestellten) Computer ausgeführt werden oder für diesen auf sonstige Weise zugänglich sein können.
Wenngleich die Verfahren und Vorrichtungen hierin unter Bezugnahme auf bestimmte Computer-Hardware oder -Software beschrieben worden sein mögen, ist doch ersichtlich, dass die hierin beschriebenen Verfahren und Vorrichtungen leicht mithilfe herkömmlicher Techniken in Computer-Hardware oder -Software ausgeführt werden können.
Wenngleich die vorliegende Erfindung unter Bezugnahme auf eine oder mehrere bestimmte Ausführungsformen beschrieben worden sein mag, ist die Beschreibung doch zur Veranschaulichung der vorliegenden Erfindung insgesamt bestimmt und nicht so auszulegen, dass sie die vorliegende Erfindung auf die dargestellten Ausführungsformen beschränkt. Es ist ersichtlich, dass Fachleuten verschiedene Modifizierungen einfallen können, die, auch wenn sie nicht ausdrücklich hierin dargestellt werden, dennoch vom Wesensgehalt und Umfang der vorliegenden Erfindung umfasst sind.

Claims

Verfahren zum Ermitteln einer Anfälligkeit von Computer-Software-Anwendungen gegenüber Rechteausweitungsangriffen, wobei das Verfahren aufweist: Identifizieren eines möglichen zugriffsbeschränkten Bereichs von Befehlen einer Computer-Software-Anwendung; statisches Analysieren des möglichen zugriffsbeschränkten Bereichs, um zu ermitteln, ob eine bedingte Anweisung vorhanden ist, die den Ausführungsablauf in den möglichen zugriffsbeschränkten Bereich steuert; Durchführen einer statischen Analyse, um zu ermitteln, ob die bedingte Anweisung von einer Datenquelle innerhalb der Computer-Software-Anwendung abhängig ist; und Kennzeichnen des möglichen zugriffsbeschränkten Bereichs mangels entweder der bedingten Anweisung oder der Datenquelle als anfällig gegenüber Rechteausweitungsangriffen.
Verfahren nach Anspruch 1, wobei das Identifizieren des möglichen zugriffsbeschränkten Bereichs der Befehle der Computer-Software-Anwendung aufweist: Identifizieren des möglichen zugriffsbeschränkten Bereichs nach vordefinierten Kriterien zum Identifizieren beliebiger der Befehle als zugriffsbeschränkte Befehle.
Verfahren nach Anspruch 1, wobei das Identifizieren des möglichen zugriffsbeschränkten Bereichs der Befehle der Computer-Software-Anwendung aufweist: Empfangen einer manuell eingegebenen Position des möglichen zugriffsbeschränkten Bereichs der Befehle innerhalb der Computer-Software-Anwendung.
Verfahren nach Anspruch 1, wobei das Identifizieren des möglichen zugriffsbeschränkten Bereichs der Befehle der Computer-Software-Anwendung aufweist: Durchführen von Black-Box-Differenztests der Computer-Software-Anwendung, um den möglichen zugriffsbeschränkten Bereich zu identifizieren.
Verfahren nach Anspruch 4, wobei das Durchführen der Black-Box-Differenztests der Computer-Software-Anwendung zum Identifizieren des möglichen zugriffsbeschränkten Bereichs aufweist: Steuern einer Black-Box-Testeinheit so, dass sie einen ersten Test durchführt, der Interaktionen mit der Computer-Software-Anwendung als Benutzer simuliert, der berechtigt ist, auf beschränkte Bereiche der Computer-Software-Anwendung zuzugreifen; Steuern der Black-Box-Testeinheit so, dass sie einen zweiten Test durchführt, der Interaktionen mit der Computer-Software-Anwendung als Benutzer simuliert, der nicht berechtigt ist, auf die beschränkten Bereiche der Computer-Software-Anwendung zuzugreifen; Vergleichen der Ergebnisse beider Tests, um jegliche Dateneingabe-Schnittstellen zu identifizieren, die für den berechtigten Benutzer zugänglich gemacht worden waren, die jedoch nicht für den nicht berechtigten Benutzer zugänglich gemacht worden waren; in Beziehung Setzen der identifizierten Dateneingabe-Schnittstellen mit den Befehlen der Computer-Software-Anwendung, die den identifizierten Dateneingabe-Schnittstellen zugrunde liegen; und Kennzeichnen der in Beziehung gesetzten Befehle als möglichen zugriffsbeschränkten Bereich.
Verfahren nach Anspruch 1, wobei das Identifizieren des möglichen zugriffsbeschränkten Bereichs der Befehle der Computer-Software-Anwendung aufweist: statisches Analysieren der Anwendungsbefehle mithilfe einer vordefinierten Spezifikation von sicherheitsrelevanten Operationen.
Verfahren nach Anspruch 1, wobei das Identifizieren des möglichen zugriffsbeschränkten Bereichs der Befehle der Computer-Software-Anwendung aufweist: statisches Analysieren der Anwendungsbefehle mithilfe einer vordefinierten Spezifikation von domänenspezifischem Wissen, das sich auf sicherheitsrelevante Operationen bezieht.
Verfahren nach Anspruch 1, das des Weiteren aufweist: für jede Dateneingabe-Schnittstelle, die durch die Computer-Software-Anwendung zugänglich gemacht wird und die zu einem Berechtigungsprüfungstest führt, der durch die bedingte Anweisung durchgeführt wird, Durchführen eines ersten Tests, der eine Interaktion mit der Dateneingabe-Schnittstelle als Benutzer simuliert, der berechtigt ist, auf zugriffsbeschränkte Bereiche der Computer-Software-Anwendung zuzugreifen, Durchführen eines zweiten Tests, der eine Interaktion mit der Dateneingabe-Schnittstelle als Benutzer simuliert, der nicht berechtigt ist, auf zugriffsbeschränkte Bereiche der Computer-Software-Anwendung zuzugreifen, und wenn nur der erste Test erfolgreich verläuft, Feststellen, dass es sich bei dem Berechtigungsprüfungstest um einen gültigen Berechtigungsprüfungstest handelt.
Verfahren nach Anspruch 1, das des Weiteren aufweist: Darstellen der Kennzeichnung des möglichen zugriffsbeschränkten Bereichs als anfällig gegenüber Rechteausweitungsangriffen über eine computergesteuerte Ausgabeeinheit.
Computerprogrammprodukt zum Ermitteln einer Anfälligkeit von Computer-Software-Anwendungen gegenüber Rechteausweitungsangriffen, wobei das Computerprogrammprodukt aufweist: ein computerlesbares Speichermedium; und computerlesbaren Programmcode, der in dem computerlesbaren Speichermedium verkörpert wird, wobei der computerlesbare Programmcode konfiguriert ist zum: Identifizieren eines möglichen zugriffsbeschränkten Bereichs von Befehlen einer Computer-Software-Anwendung; statischen Analysieren des möglichen zugriffsbeschränkten Bereichs, um zu ermitteln, ob eine bedingte Anweisung vorhanden ist, die den Ausführungsablauf in den möglichen zugriffsbeschränkten Bereich steuert; Durchführen einer statischen Analyse, um zu ermitteln, ob die bedingte Anweisung von einer Datenquelle innerhalb der Computer-Software-Anwendung abhängig ist; und Kennzeichnen des möglichen zugriffsbeschränkten Bereichs mangels entweder der bedingten Anweisung oder der Datenquelle als anfällig gegenüber Rechteausweitungsangriffen.
Computerprogrammprodukt nach Anspruch 10, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist zum: Identifizieren des möglichen zugriffsbeschränkten Bereichs nach vordefinierten Kriterien zum Identifizieren beliebiger der Befehle als zugriffsbeschränkte Befehle.
Computerprogrammprodukt nach Anspruch 10, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist zum: Empfangen einer manuell eingegebenen Position des möglichen zugriffsbeschränkten Bereichs innerhalb der Computer-Software-Anwendung.
Computerprogrammprodukt nach Anspruch 10, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist zum: Durchführen von Black-Box-Differenztests der Computer-Software-Anwendung, um den möglichen zugriffsbeschränkten Bereich zu identifizieren.
Computerprogrammprodukt nach Anspruch 13, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er Black-Box-Differenztests der Computer-Software-Anwendung durchführt, um den möglichen zugriffsbeschränkten Bereich zu identifizieren, des Weiteren konfiguriert ist zum: Steuern einer Black-Box-Testeinheit so, dass sie einen ersten Test durchführt, der Interaktionen mit der Computer-Software-Anwendung als Benutzer simuliert, der berechtigt ist, auf beschränkte Bereiche der Computer-Software-Anwendung zuzugreifen, Steuern der Black-Box-Testeinheit so, dass sie einen zweiten Test durchführt, der Interaktionen mit der Computer-Software-Anwendung als Benutzer simuliert, der nicht berechtigt ist, auf die beschränkten Bereiche der Computer-Software-Anwendung zuzugreifen, Vergleichen der Ergebnisse beider Tests, um jegliche Dateneingabe-Schnittstellen zu identifizieren, die für den berechtigten Benutzer zugänglich gemacht worden waren, die jedoch nicht für den normalen Benutzer zugänglich gemacht worden waren, in Beziehung Setzen der identifizierten Dateneingabe-Schnittstellen mit den Befehlen der Computer-Software-Anwendung, die den identifizierten Dateneingabe-Schnittstellen zugrunde liegen, und Kennzeichnen der in Beziehung gesetzten Befehle als möglichen zugriffsbeschränkten Bereich.
Computerprogrammprodukt nach Anspruch 10, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist zum: statischen Analysieren der Anwendungsbefehle mithilfe einer vordefinierten Spezifikation von sicherheitsrelevanten Operationen.
Computerprogrammprodukt nach Anspruch 10, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren aufweist: statisches Analysieren der Anwendungsbefehle mithilfe einer vordefinierten Spezifikation von domänenspezifischem Wissen, das sich auf sicherheitsrelevante Operationen bezieht.
Computerprogrammprodukt nach Anspruch 10, wobei der computerlesbare Programmcode des Weiteren konfiguriert ist: für jede Dateneingabe-Schnittstelle, die durch die Computer-Software-Anwendung zugänglich gemacht wird und die zu einem Berechtigungsprüfungstest führt, der durch die bedingte Anweisung durchgeführt wird, zum Durchführen eines ersten Tests, der eine Interaktion mit der Dateneingabe-Schnittstelle als Benutzer simuliert, der berechtigt ist, auf zugriffsbeschränkte Bereiche der Computer-Software-Anwendung zuzugreifen, Durchführen eines zweiten Tests, der eine Interaktion mit der Dateneingabe-Schnittstelle als Benutzer simuliert, der nicht berechtigt ist, auf zugriffsbeschränkte Bereiche der Computer-Software-Anwendung zuzugreifen, und wenn nur der erste Test erfolgreich verläuft, Feststellen, dass es sich bei dem Berechtigungsprüfungstest um einen gültigen Berechtigungsprüfungstest handelt.
Computerprogrammprodukt nach Anspruch 10, wobei der computerlesbare Programmcode des Weiteren konfiguriert ist zum: Darstellen der Kennzeichnung des möglichen zugriffsbeschränkten Bereichs als anfällig gegenüber Rechteausweitungsangriffen über eine computergesteuerte Ausgabeeinheit.
System zum Ermitteln der Anfälligkeit von Computer-Software-Anwendungen gegenüber Rechteausweitungsangriffen, wobei das System aufweist: einen Prozessor; und ein computerlesbares Speichermedium, das einen computerlesbaren Programmcode aufweist, der darin verkörpert wird, wobei der computerlesbare Programmcode konfiguriert ist zum: Identifizieren eines möglichen zugriffsbeschränkten Bereichs von Befehlen einer Computer-Software-Anwendung; statischen Analysieren des möglichen zugriffsbeschränkten Bereichs, um zu ermitteln, ob eine bedingte Anweisung vorhanden ist, die den Ausführungsablauf in den möglichen zugriffsbeschränkten Bereich steuert; Durchführen einer statischen Analyse, um zu ermitteln, ob die bedingte Anweisung von einer Datenquelle innerhalb der Computer-Software-Anwendung abhängig ist; und Kennzeichnen des möglichen zugriffsbeschränkten Bereichs mangels entweder der bedingten Anweisung oder der Datenquelle als anfällig gegenüber Rechteausweitungsangriffen.
System nach Anspruch 19, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist zum: Identifizieren des möglichen zugriffsbeschränkten Bereichs nach vordefinierten Kriterien zum Identifizieren beliebiger der Befehle als zugriffsbeschränkte Befehle.
System nach Anspruch 19, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist zum: Steuern einer Black-Box-Testeinheit zum Durchführen von Black-Box-Differenztests der Computer-Software-Anwendung, um den möglichen zugriffsbeschränkten Bereich zu identifizieren.
System nach Anspruch 19, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er die Black-Box-Testeinheit so steuert, dass sie Black-Box-Differenztests der Computer-Software-Anwendung durchführt, um den möglichen zugriffsbeschränkten Bereich zu identifizieren, des Weiteren konfiguriert ist zum: Steuern der Black-Box-Testeinheit so, dass sie einen ersten Test durchführt, der Interaktionen mit der Computer-Software-Anwendung als Benutzer simuliert, der berechtigt ist, auf beschränkte Bereiche der Computer-Software-Anwendung zuzugreifen; Steuern der Black-Box-Testeinheit so, dass sie einen zweiten Test durchführt, der Interaktionen mit der Computer-Software-Anwendung als Benutzer simuliert, der nicht berechtigt ist, auf die beschränkten Bereiche der Computer-Software-Anwendung zuzugreifen; Vergleichen der Ergebnisse beider Tests, um jegliche Dateneingabe-Schnittstellen zu identifizieren, die für den berechtigten Benutzer zugänglich gemacht worden waren, die jedoch nicht für den normalen Benutzer zugänglich gemacht worden waren; in Beziehung Setzen der identifizierten Dateneingabe-Schnittstellen mit den Befehlen der Computer-Software-Anwendung, die den identifizierten Dateneingabe-Schnittstellen zugrunde liegen; und Kennzeichnen der in Beziehung gesetzten Befehle als mögliche zugriffsbeschränkte Bereiche.
System nach Anspruch 19, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist zum: Identifizieren der möglichen zugriffsbeschränkten Bereiche der Computer-Software-Anwendung durch statisches Analysieren der Anwendungsbefehle mithilfe einer vordefinierten Spezifikation von sicherheitsrelevanten Operationen.
System nach Anspruch 19, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist zum: Identifizieren möglicher zugriffsbeschränkter Bereiche der Computer-Software-Anwendung durch statisches Analysieren der Anwendungsbefehle mithilfe einer vordefinierten Spezifikation von domänenspezifischem Wissen, das sich auf sicherheitsrelevante Operationen bezieht.
System nach Anspruch 19, das des Weiteren eine Black-Box-Testeinheit aufweist, wobei der computerlesbare Programmcode, der so konfiguriert ist, dass er den möglichen zugriffsbeschränkten Bereich der Befehle der Computer-Software-Anwendung identifiziert, des Weiteren konfiguriert ist: für jede Dateneingabe-Schnittstelle, die durch die Computer-Software-Anwendung zugänglich gemacht wird und die zu einem Berechtigungsprüfungstest führt, der durch die bedingte Anweisung durchgeführt wird, zum Steuern der Black-Box-Testeinheit so, dass sie einen ersten Test durchführt, der eine Interaktion mit der Dateneingabe-Schnittstelle als Benutzer simuliert, der berechtigt ist, auf beschränkte Bereiche der Computer-Software-Anwendung zuzugreifen, Steuern der Black-Box-Testeinheit so, dass sie einen zweiten Test durchführt, der eine Interaktion mit der Dateneingabe-Schnittstelle als Benutzer simuliert, der nicht berechtigt ist, auf zugriffsbeschränkte Bereiche der Computer-Software-Anwendung zuzugreifen, und wenn nur der erste Test erfolgreich verläuft, Feststellen, dass es sich bei dem Berechtigungsprüfungstest um einen gültigen Berechtigungsprüfungstest handelt.