一线工程师的经验之谈:ERP安全的部署和实现

原创
安全 网站安全
来自于维基的解释说:ERP是企业资源规划的英文缩写,是基于计算机的资源管理系统,包括对有形资产、资金、材料、人力资源的企业管理软件。广义上的ERP涵盖了很多内容,CRM、人力资源管理,财务管理、生产制造管理等等很多内容。

【51CTO.com 独家特稿】来自于维基的解释说:ERP是企业资源规划的英文缩写,是基于计算机的资源管理系统,包括对有形资产、资金、材料、人力资源的企业管理软件。广义上的ERP涵盖了很多内容,CRM、人力资源管理,财务管理、生产制造管理等等很多内容。不管是ERP、CRM、SRM或者是其他一些类似的商业应用管理软件,都涉及到安全问题,因为他们存储了非常重要的业务数据,这些应用如果存在漏洞的话,都会对企业造成重大的经济损失。

一、ERP是安全的吗?

关于ERP的安全,一直以来都缺少足够的关注。在我接触的客户中,通常他们会对ERP安全持有三个态度:

1、第一个观点:ERP的业务应用程序都在内部网络里,因此是可信的。持有这种观点的人绝大多数是业务层面的高管,而非IT部门的主管。实际情况是,除非你还在大型机时代,不然的话你一定需要和别人互联。分支办事处、客户和供应商,以及银行、银联都会在你的网络里有接口,而且很多员工的办公电脑都可以连接到互联网,这就又多了一个高风险的互联网通道。我们在google上输入inrul:sap,就可以看到很多使用sap的内部页面。再比如图1,我们在一个shado的搜索引擎上,输入erp,可以轻易的搜索到很多国家的erp服务器,包括他们的ip,中间件,开发语言等信息。

图1 利用搜索引擎得到的ERP服务器信息 

图1 利用搜索引擎得到的ERP服务器信息

2、第二个观点:ERP是开发商的问题。持有这种观点的人认为,ERP的安全问题,开发商应该在设计之初就充分考虑到,并且确保了安全,持有这种观点的人一般都是对安全不太了解的IT主管。从技术的角度来说,开发商应该对他程序的错误和架构负责。但是,默认/不安全的配置、人为因素、补丁管理、策略和过程则是用户自己的问题。换句话说,即使代码是百分百安全的,在实施部署、日常运维中,你还是有很多机会可以犯错。

3、第三个观点:业务应用是内部的,而且非常具体,黑客不可能了解结构和用途。持有这种观点的人一般认为,系统都在公司内部运行,而且使用的平台也不是windows这种黑客所熟知的,因此他是封闭、隐藏的世界,因此可以高枕无忧。

真的可以高枕无忧吗?第一,越热门的产品越容易被黑客研究,从而招致更多的攻击,因为一旦攻击得手,其可复制性很大,可以获得更多战果。大家熟知的windows就是在这种攻防对抗中慢慢健壮起来的。国内现在的ERP市场,几个大型厂商的占用率非常高,这就提供了研究攻击的土壤。其二,ERP在过去几年的发展中,我们可以清楚的看到,企业发展壮大之后,不可避免的具有地域扩张的需要。所以它越来越依赖于互联网运行,即使现在没有,将来也会有,等到那个时候再来考虑安全问题,已经积重难返了,整改的代价会非常高。第三,不管是供应商还是用户,对安全的防御能力还停留在3-5年前的水平,买个防火墙,装个杀毒软件。他们不知道攻击早已经从2-4层转移到应用层攻击上了。

那么,ERP的主要安全问题是什么呢?根本原因有三个,第一就是ERP具有复杂的结构,系统越复杂,安全问题越难处理。也就是安全界常说的complexity kills security ,复杂性杀死安全。第二,安全层次覆盖网络、应用等各个层面。第三,管理员担心打补丁,会造成系统出问题,所以绝大多数ERP系统里都存在着很多漏洞。所以,从erp的安全生命周期来上来说,想要保证整体安全,要从两个方面来考虑,开发安全,实施部署的安全。

图2 ERP安全生命周期框架

图2 ERP安全生命周期框架#p#

二、开发安全

图3 开发安全框架

图3 开发安全框架

这个图,实际上是针对程序员来说的,开发的安全。中间是最重要的数据。开发安全分两块,一个是代码漏洞,一个是前端漏洞。所谓前端漏洞,就是整个erp的前台,与用户交互的地方。

1、代码安全

在代码的漏洞上,根据常见的ERP安全问题,我们做了一个TOP10的排名。

图4 开发代码漏洞TOP10

图4 开发代码漏洞TOP10

例一:跨站。sap有很多跨站问题,最新发现的一个是在5月份,在RequestParts.htm页面上,有漏洞的变量是sap-ffield,这个页面是sap和互联网的接口交互的地方,通过这个跨站漏洞,可以绕过sap的跨站过滤,获取管理员的cookie。

  1. 提交:/sap(bD1lbiZjPTAwMA==)/bc/bsp/sap/icf/RequestParts.htm?sap-ffield=aaa=<img/src="asas"/onerror="alert('XSS')"> 

例子中使用简单的onerror,一个标准的事件属性,就可以绕过sap的过滤机制,由此可见sap的跨站过滤,应该是非常脆弱的。而且这个页面比较关键,它是互联网交互的,所以如果你google去搜这种页面,就有机会跨站,拿到管理员cookie,也就是说,你完全可以远程渗透sap。#p#

例二:信息泄露问题。

在Oracle财务软件的/pls/DAD/find_web.ping和/OA_HTML/jsp/fnd/fndping.jsp这两个页面上都有这个问题,这两个页面记录了连接的错误信息,而且错误信息非常详细,几点几分,Oracle的http服务器Apache某某版本,与某IP的连接出现问题,在Apache的日志中记录了这个问题,Apache的日志路径是什么,可以使用哪些debug命令来调试确认等等一系列信息。

例三:错误的访问控制/遍历

这个问题是NETWAVER里的,NETWAVER是sap的基本平台,sap所有的新产品都搭建在这个平台上。在NETWAVER里有个rfc库,库里有很多函数可以被调用,但是谁可以调用这些函数,只有几个账户可以调用。其中一个账户是SAPCPIC,他有个默认密码是admin。这个账户不是在线用户,就是说他不能直接登录,它就是用来执行rfc兼容命令的,可以做远程函数调用。使用这个权限你就可以获得共享内容。然后你还可以写idoc,这个idoc是sap的数据交换码,比方说你的商品价格,我就可以通过这个权限,把你的商品价格取出来,或者把你的商品价格改掉放进去。这个攻击就是利用这个账户,因为这个账户一般人根本不会用到,甚至都不知道密码是什么。

图5 NETWAVER中的错误访问控制/遍历漏洞

图5 NETWAVER中的错误访问控制/遍历漏洞

2、前端安全

图6 开发中的前端安全漏洞TOP10

图6 开发中的前端安全漏洞TOP10

这里都是和用户交互的地方,比如BS结构的浏览器页面,信息的传递都在这里。所以这里的风险级别都比较高,也是很多都可以远程去做的。#p#

例一:缓冲区溢出

该例参见宇文先生在09年的《大型企业之患!SAP安全之攻击客户端》这篇文章。http://netsecurity.51cto.com/art/200909/150135.htm,在第二段里,他提到了缓冲区溢出攻击的一个实例。

例二:默认密码

erp里因为账户、权限很多,也记不住,就有个很坏的习惯,把密码写在程序里,而且大多数也不怎么加密,嗅探就可以,而且呢,这种写法的还大多数都是连接数据库,你可以很容易成为他的dba。关于这点,我们在后面会详细提到。 

三、安全的部署和实现

图7 安全的部署、实现框架图

图7 安全的部署、实现框架图

在这一部分,是比较通用的:底层的网络,然后上面跑的系统,数据库、应用,在这里,他也有前端的漏洞问题,这就比开发安全要复杂一些。

1、网络层漏洞

图8 网络层漏洞TOP10

图8 网络层漏洞TOP10

网络漏洞,这个大家都见的多了,一般的安全加固也在做这方面的事情。

例:监听SAP未加密的通信

在SAP网络中,使用

tcpdump -n -i eth0 'tcp[13] & 3 != 0 and (( tcp[2:2] >= 3200

tcp[2:2] < 3300) > or 5 ( tcp[2:2] >= 3600 tcp[2:2] < > 3700))'

进行监听,这个例子是监听tcp的3200,3600几个高端端口,这是NETWAVER的默认专用端口,在这个例子里,我们发现了HR系统的连接密码,权限是最大权限,可以获得hr系统的所有数据。#p#

2、操作系统漏洞

图9 操作系统层漏洞TOP10

图9 操作系统层漏洞TOP10

在erp里面有个很大的问题就是默认密码,那在这一层上,实际上也有很多可利用的地方。这里列出了存储各类密码的不同路径,这是从sap手册上找到的,我相信大多数人不会改这些东西,你只要能够访问这些文件,你就可以拿到相关密码。虽然有的密码是加密的,但是他们的加密机制比较弱。

例:默认敏感文件

数据库文件(数据,加密的Oracle、SAP密码)

路径:/oracle//sapdata/system_1/system.data1

SAP配置文件(加密的密码)

/usr/sap///sec/*

/usr/sap///sec/sapsys.pse

Configtool配置文件(加密的数据库密码)

\usr\sap\DM0\SYS\global\security\data\SecStope.properties

\usr\sap\DM0\SYS\global\security\data\SecStope.key

J2EE Trace文件(明文密码)

/usr/sap///j2ee/cluster/dispatcher/log/defaultTrace.0.trc

图10,在这个文件里抓到的用户名和密码

图10,在这个文件里抓到的用户名和密码

ICM(加密密码)

\usr\sap\DM0\SYS\exe\uc\NTI386\icmauth.txt #p#

3、数据库漏洞

图11 数据库漏洞TOP10

图11 数据库漏洞TOP10

例一:Oracle开启不必要的服务

UTL_HTTP:UTL_HTTP可以读取Oracle里面的网页源码,这个参数比较危险,如果你学过oracle注入的话,这个参数是很常见的Oracle注入测试点,后来Oracle发现了这个问题,在11的版本里头,开始提供针对这个参数的访问控制,但是有多少人知道呢?又有多少人知道,而且会去进行访问控制呢?我看了很多的安全加固手册,对这个完全没有提及。

UTL_TCP:看名字你就知道,它是建立tcpip连接的,可以跨越数据库领域对外通信。他的出名是因为Voyager这个蠕虫,这个蠕虫会把dba的权限授给public,然后利用UTL_TCP去网上下载其他病毒,再然后把数据库的密码发送邮件给一个指定邮箱,06年1月份的时候,这个病毒大规模爆发,直到6月份,Oracle才发布了补丁。这些默认安装的服务,都是可以利用的。

例二:MSSQL的Master..xp_dirtree _\\fakesmb\sharee'

这是列目录,找共享,是常见的攻击命令,也是sql注入的常见用法,可以列出你根目录,再然后找到你的数据库,把它down下来慢慢破解。

例三:使用低权限 Oracle 数据库账户得到 OS 访问权限

这个例子在互联网上广为流传,文章名字就叫做《使用低权限 Oracle 数据库账户得到 OS 访问权限》。其原理:一般情况下,你去连接Oracle的SMB控制台,都需要DBA权限,但是还是有办法来获得权限的,那么这里就利用了Oracle的一个漏洞,在Oracle里面,任何用户都可以创建一个文本索引,并且发送文本查询。这就是这个漏洞的利用基础,然后你就能读到服务器上的远程共享,再通过远程共享,窃取你这台服务器的账户。

4、应用漏洞

图12 应用漏洞TOP10

图12 应用漏洞TOP10

应用漏洞实际上就和日常运维有很大关系了,比较危险的也是前3名,补丁,默认密码,权限设置。#p#

例一:默认密码

图13  默认密码

图13  默认密码

这里的SAP和DDIC是超级管理员,TMSADM是用来做通信管理的,SAPCPIC这个说过了,是rfc远程调用的,EARLYWATCH类似与日志审计账户。他们都有自己的初始密码,除了超级管理员的密码可能被改,其他被改的可能性不大。

5、前端漏洞

图14 前端漏洞TOP10

图14 前端漏洞TOP10

例:未加密

图15 缺少加密

图15 缺少加密

sap怎么传输密码的呢,他有一个自己的协议叫DIAG,把数据包走diag传过去,因为他觉得diag是私有格式,所以认为很安全,密码就是简单的压缩一下传过去,但是这是可以被解压的,数据加密也是这样。那怎么解决呢?SNC,sap的一个身份验证机制,4.0版本以上开始提供。

webgui,这个对密码用了base64编码,简单的说,base64根本就不能算是个加密,它的主要作用也不是用来加密,它只能说,把密码变成人类不可直接读的文件,base64很容易破解。现在只有电子邮件才用它,因为它能保证数据在很多传递过程中不会出错。所以这个密码很容易就破解了,而且网上有很多工具。

RFC,这个我们说过了,远程调用的函数库,他的密码加密是异或运算一个已知的值,你知道知道这个值,你就非常轻松的运算出来明文,就算你不知道这个已知的值,如果他的密钥空间不够大,出现重复,仍然可被破解。无线的密码破解,其实也是和这个原理差不多,就是不断抓包,抓到一定数量时候,他就会有重复,然后破解。

Visual admin的控制台密码加密,用的是自己的专有算法,不过这个算法在08年前被破了,但是不好利用。

mobile的admin控制台:无加密。

【51CTO.com独家特稿,非经授权谢绝转载!合作媒体转载请注明原文出处及出处!】

【编辑推荐】

  1. 对项目管理在ERP实施中的应用描述
  2. 中小企业ERP系统选型四个标准分析精简版
  3. 项目管理在ERP实施中的应用 哪些方面需注意
  4. 选择制造业ERP软件哪些问题你最好询问一下?

 

责任编辑:佟健 来源: 51CTO.com
相关推荐

2012-06-19 10:14:11

数据中心工作负载迁移

2009-02-19 10:41:42

网络工程师认证考试

2018-01-19 10:23:02

前端Web工作经验

2011-04-11 14:50:08

机柜

2009-06-16 08:49:51

2022-06-15 08:21:49

Linux运维工程师

2012-05-23 09:43:59

Linux升级经验

2009-12-23 10:07:57

学习WPF

2010-07-26 15:36:59

CCNP

2009-11-09 17:06:38

WCF选择绑定

2009-12-17 18:12:31

Ruby框架应用

2020-01-10 18:25:00

Go语言JavaScript编程语言

2012-07-06 15:31:29

Linux系统

2010-04-29 12:09:42

Unix服务器

2010-04-30 14:31:58

Unix系统

2009-12-09 16:58:03

PHP strtoti

2010-03-02 17:48:35

WCF寻址报头

2010-05-10 18:18:46

Unix系统

2010-04-22 18:07:28

Aix系统维护

2009-11-02 15:16:07

VB.NET编程
点赞
收藏

51CTO技术栈公众号