Для разминки победим статический анализ с помощью динамического. То есть найдём баги в Rizin с помощью Natch (+фаззер). Natch — это инструмент, использующий динамический анализ, для определения поверхности атаки отдельных приложений и сложных систем. Для этого исследуемое приложение помещается в виртуальную машину, которая запускается под контролем Natch. Водителям, которые оформляли полис ОСАГО онлайн в Интач предлагаем поделиться своим опытом и рассказать, как заказывали защиту. Для этого необходимо оставить комментарий о своем опыте, после прочтения статьи.
- Для этого необходимо оставить комментарий о своем опыте, после прочтения статьи.
- Получив отчёты Natch о работе Rizin с файлом sh.rizin, можно приступать к их анализу.
- А это намного опаснее, ведь неизвестно, что пользователь захочет прислать.
В 2013 году АО «Интач страхование» вышло в немоторный сегмент, предложив страхование выезжающих за рубеж, страхование имущества и страхование от несчастного случая и болезней. В 2012 году компания приступила к развитию партнерского канала продаж, предоставив клиентам возможность приобретать полисы в банках, у автомобильных дилеров и пр. Это обусловлено тем, что на начальном этапе подобным компаниям требуются значительные инвестиции на создание call-центра, программного обеспечения и т. С 2016 года АО «Интач страхование» является частью группы компаний «Благосостояние»[6].
Движение за ответственное вождение[править править код]
Для тестирования это намного проще, потому что можно подключить библиотеку, а не вытаскивать из неё функции. Виртуальная машина немного усложняет работу, но зато так можно анализировать системы, где обычный отладчик не справится. Одновременно запущенные программы, обменивающиеся данными, веб-сервисы, драйверы, NGFW и тому подобное. Там код на питоне может вызывать Java-код, а тот писать в сокет, к которому подключилась программа на C++.
Сначала надо его собрать (в виртуальной машине, конечно), а затем интегрировать в веб-приложение. Потом нужно выгрузить бинарные файлы из каталога виртуальной машины build_tools/out/linux_64/. Отладочная информация из них понадобится Natch https://forexww.org/ для вывода имён функций и номеров строк в исходном коде. Довольно скоро фаззер подберёт ввод, при котором произойдёт heap buffer overflow. Опция ASSIMP_BUILD_ASSIMP_TOOLS нужна для сборки утилиты, работу которой мы будем анализировать.
Проверьте подлинность ОСАГО онлайн
Один сервис получает данные из сети, а потом отправляет их другим сервисам. А мы пытаемся найти для всей этой системы поверхность атаки, не ознакомившись с кодом заранее. Тем не менее, Natch помогает найти подходящие функции для анализа и тестирования, чтобы обезопасить веб-сервис. Выловить такие функции отладчиком будет непросто, ведь обработка сколь-нибудь сложного файла будет состоять из тысяч вызовов.
Важнейшая черта прямого страхования, которую реализует компания – удаленное урегулирование убытков. Во время исследований проектов, поучаствовавших в примерах для статьи, мы нашли 10 ошибок (семь в rizin, одну в Assimp, две в ONLYOFFICE Docs). Они не очень серьёзные, но и ведь и мы почти не старались, а тестировали поверхностно. Основная цель-то была в проверке возможностей Natch. Создадим проект Natch и пробросим в виртуальную машину порты 8080 и 8000.
Конечно это не означает, что остальные ошибки можно проигнорировать, но эти вроде как поважнее. А раз статического анализа оказалось мало, на помощь придёт анализ динамический. Этот пример был самым сложным – большая система из нескольких частей.
Однако функция чтения буфера не гарантирует, что там окажется терминальный ноль. Буфер целиком заполняется из файла, что и приводит к ошибке, если нуля в файле нет. Такая недостаточная проверка корректности загружаемых файлов может приводить к возможности выполнения произвольного кода пользователем. Конечно, выбор входных данных также влияет на найденную поверхность атаки.
Они нужны, чтобы мы могли использовать ONLYOFFICE Docs, работающий в виртуальной машине, через браузер на хосте. Это также позволит выключить за ненадобностью графический интерфейс гостевой ОС, что значительно ускорит работу. ONLYOFFICE Docs — это офисный пакет, включающий в себя онлайн редакторы текстовых документов, презентаций и электронных таблиц, а также поддерживающий совместную работу над ними. Он предлагает множество готовых вариантов для интеграции, например с Moodle, Nextcloud, ownCloud. Сейчас мы и проверим, насколько хорошо этот проект был протестирован таким “грубым” способом. Будем искать внутренние функции, которые можно было бы фаззить отдельно.
Максим разочаровался в «Интач» из-за отказа в продлении полиса КАСКО
Но что если вы занимаетесь тестированием, а эти программисты постоянно придумывают что-то новое? Компания вышла на российский рынок с моделью прямого страхования[7] — страхования без посредников (оформление договора страхования по телефону и Интернету). Важнейшая черта прямого страхования, которую реализует компания — удаленное урегулирование убытков. Для правильного выбора полиса автогражданки рекомендуем ознакомиться с рейтингом страховых компаний по ОСАГО.
Поскольку наш портал работает только с крупными и проверенными компаниями, то дополнительно мы подбираем предложения по электронному полису ОСАГО в других страховых. Наша цель – предоставить несколько предложений, чтобы вы смогли подобрать наиболее привлекательного для себя страховщика и условия. Потом открыть интерфейс приложения в браузере хостовой машины. Через этот интерфейс загружаем наш тестовый HTML-файл. После загрузки ONLYOFFICE Docs конвертирует его в свой внутренний формат и сохраняет в файле. А мы завершаем работу эмулятора и запускаем анализ.
К примеру, технология Fast Track позволяет выдавать клиентам направление на станцию после поступления звонка на горячую линию. Это существенно экономит время клиента и помогает избежать многочисленных бумажных волокит и очередей. INTOUCH – одна из крупных и стабильных компаний, продуктами которой вы можете воспользоваться. За столь короткий срок своей деятельности компания смогла занять лидирующие позиции и наработать большую клиентскую базу.
21 июля 2016 года «Эксперт РА» подтвердило рейтинг надежности INTOUCH на уровне А+ «Очень высокий уровень надежности»[12]. Чтобы найти, где обрабатываются входные данные (то есть поверхность атаки приложения), лучше всего использовать динамический анализ. Natch умеет отслеживать потоки данных только когда они поступают из файла или по сети.
Желательно, чтобы они не требовали сложной настройки окружения, а на вход принимали простую последовательность байтов или символов. Не имеет большого значения, что именно за команды там будут, так как ищем мы точку входа в парсер для них. Получив отчёты Natch о работе Rizin с файлом sh.rizin, можно приступать к их анализу.
Партнеры по страхованию ОСАГО
Вся процедура электронного страхования займет не дольше 30 минут. Все данные следует проверять внимательно, поскольку исправления допустимы только в офисе финансовой компании. Теперь не нужно подстраиваться под график работы страховой компании и искать время для ее посещения, с целью получения расчета. На нашем портале по ОСАГО Интач калькулятор работает круглосуточно, даже в праздники и выходные дни.
Хорошо, что у Rizin имеется опция -i, которая выполняет команды из переданного файла. В 2014 году компания «Интач страхование» совместно с МТС представилапрограмму «Умное страхование». Для физических лиц данная услуга была представлена впервые. Из исходного кода ясно, что именно она исполняет поступающие команды. Но это приватная функция, а значит придётся модифицировать код, если мы захотим её фаззить. Там находится функция rz_core_cmd_lines, которая служит частью интерфейса библиотеки rz_core и фактически является обёрткой для core_cmd_tsrzcmd.
После того, как виртуальная машина настроена, мы могли бы протестировать Assimp и с бинарными файлами на входе. Это не потребовало бы много времени, но так как мы изучаем разные возможности Natch, то перейдём к другому приложению, которое работает с сетью. А это намного опаснее, ведь неизвестно, что пользователь захочет прислать.