Windows Técnico : Windows Server 2008, Desarrollo

Desarrollo de un módulo de seguridad para Microsoft Server 2008/2008 R2 e IIS7/7.5 (Parte II)

Juan Antonio — Tue, 20 Apr 2010 10:09:11 GMT

Buenas a todos, continuando con la cadena de post sobre desarrollo de un módulo de seguridad para IIS7/7.5 hoy vamos a continuar explicando la arquitectura del sistema.

Nuestro objetivo en el ejemplo que os contamos será evitar que las inyecciones SQL que pueda utilizar un usuario malicioso para robar datos o penetrar en nuestro sistema, lleguen hasta la base de datos, protegiéndola de esta manera de dos posibles problemas, que puedan estar mal programadas las consultas a la base de datos y se pueda inyectar código SQL en la misma y protegiéndola de posibles ataques automatizados que podrían ralentizar su funcionamiento, frenando dichos ataques desde el módulo de seguridad instalado en el servidor web, el cual siempre es mas eficiente que la BBDD y soportará de mejor manera la sobrecarga del sistema

Para probar el módulo de seguridad vamos a simular un pequeño servicio web que desarrollaremos en ASP.NET. A continuación se muestra un resumen de las partes de las que se compondrá nuestro sistema:

Servicio Web Excel: Servicio web implementado en ASP.NET que simula una hoja de Excel, en la que los usuarios registrados desde su navegador podrán almacenar y recuperar datos en una tabla que se almacenará en una base de datos.
Metaservicio XML: Servicio Web que contendrá patrones de ataque que un hacker puede utilizar para vulnerar una base de datos. Este servicio debería ser actualizado regularmente para mantener la fortificación del sistema.
Módulo de Seguridad: Software instalado en el servidor web que colabora en las labores de protección de la Base de Datos filtrando las peticiones maliciosas.
Base de datos: Base de datos utilizada para almacenar las tablas del Servicio Web Excel y los datos de autenticación de los usuarios en el sistema.

El diagrama del sistema completo se muestra en la figura 1. Se basa en la idea de controlar desde el servidor web los accesos a una base de datos realizados por los usuarios, sin que lleguen a la base de datos, para evitar poner en peligro a la misma.

Para lograr filtrar las peticiones maliciosas antes de que lleguen a la base de datos queremos desarrollar un módulo de seguridad que se instalará en el servidor web. Este módulo se encargará de filtrar todos los contenidos de las peticiones realizadas por los usuarios al servidor.

Durante la etapa de filtrado, el módulo de seguridad comparará los patrones de ataque utilizados hasta la actualidad por hackers, obteniéndolos de un Metaservicio implementado en XML, con el contenido de las peticiones web, buscando posibles ataques a la base de datos. Obviamente no se han añadido todas las posibles inyecciones que existen, labor que sería prácticamente imposible, pero si algunas importantes para desarrollar el ejemplo. La eficiencia de los resultados en la detección dependerá en gran medida no solo de tener una base de datos de inyecciones bien actualizado, sino de la pericia del algoritmo desarrollado en el módulo, que mediante expresiones formales u otras técnicas, permita variar en gran medida las inyecciones contenidas en el Metaservicio XML para detectar las SQL Injections, pero sin filtrar otras peticiones que no conllevan ningún peligro.

Figura 1: Sistema de securización basado en la implementación de un módulo de seguridad

En el próximo post comenzaremos el desarrollo del sistema, programando el Metaservicio XML e instalándolo en nuestro IIS.

saludos!

Creación e instalación de módulos para Internet Information Services 7 (parte II)

Juan Antonio — Fri, 30 Oct 2009 12:24:00 GMT

En el post de hoy vamos a continuar con la cadena de post en los que voy a explicaros los aspectos básicos sobre la programación de módulos para IIS7, que comenzamos el pasado día explicando que era IIS7 y comentando el lenguaje y el entorno de programación necesarios para el desarrollo:

http://www.windowstecnico.com/archive/2009/10/27/creaci-243-n-e-instalaci-243-n-de-m-243-dulos-para-internet-information-services-7-parte-i.aspx

Tras conocer un poco mas sobre el entorno, el siguiente paso será plantearnos: ¿Qué queremos hacer con un módulo en el IIS?. Para aclararos un poco mas esta pregunta os voy a describir los dos tipos de módulos que podemos programar en IIS7:

Módulos de IIS7

En IIS7 podremos instalar 2 tipos de módulos programados por nosotros, en primer lugar podremos crear módulos gráficos, que cuentan con una interfaz gráfica para realizar configuraciones en el IIS y en segundo lugar podremos programar módulos manejadores, que crean un manejador que se encuentra en todo momento escuchando todas las peticiones que llegan al servidor y cuando interceptan una nos permiten acceder a dicha petición y modificarla.

Creación e instalación de un módulo filtrador de peticiones para IIS7

Hoy os voy ha enseñar a programar el 2º de los módulos que antes comentamos, el módulo manejador, y crearemos el ejemplo mas sencillo de módulo, que simplemente interceptará una petición web, y le devolverá al cliente que la realizó la página solicitada pero con una cadena de texto al final.

Instalaciones necesarias:

Para la implementación necesitaremos los siguientes elementos:

1. Microsoft Server 2008, Microsoft Server 2008 R2, Windows Vista o Windows 7

2. Visual Studio 2005-2008

3. IIS 7

4. Asistente para creación de módulos: IIS7 Managed Module Starter Kit que ha producido el IISTeam, y que proporcionará el esqueleto del módulo para el IIS, se puede descargar desde:

http://www.iis.net/downloads/default.aspx?tabid=34&i=1302&g=6

Construcción del módulo:

Tras haber instalado el IIS7 Managed Module Starter Kit, cuando se crea un nuevo proyecto se puede ver como se ha añadido una nueva opción:

La seleccionamos, le damos un nombre, una ubicación y aceptamos. Inmediatamente después se nos abrirá una ventana donde nos resumen el contenido del asistente. Hacemos doble clic en el explorador de soluciones en el fichero MyModule.cs, que modificaremos dependiendo de las necesidades que tengamos en nuestro módulo. Se nos abrirá la ventana con el código del fichero, si expandimos las partes de código minimizadas, nos aparecerá lo siguiente:

using System;

using System.Collections.Generic;

using System.Text;

using System.Web;

namespace MyIIS7Modules

{

/// <summary>

/// The module class.

/// </summary>

public class MyModule : IHttpModule

{

#region IHttpModule Members

/// <summary>

/// Initializes the module, and registers for application events.

/// </summary>

/// <param name="application">

/// The System.Web.HttpApplication instance exposing application events.

/// </param>

public void Init(HttpApplication application)

{

// register for the PreRequestHandlerExecute event:

application.PreRequestHandlerExecute += new EventHandler(OnPreRequestHandlerExecute);

// TODO: add additional application event handlers here

}

/// <summary>

/// Disposes of the resources (other than memory) used by the module.

/// </summary>

public void Dispose()

{

}

#endregion

#region Module Event Handlers

public void OnPreRequestHandlerExecute(Object source, EventArgs e)

{

HttpApplication app = (HttpApplication)source;

HttpContext context = app.Context;

// TODO: implement module functionality here

}

#endregion

}

}

En este fichero debemos hacer 3 modificaciones:

1. Vaciamos todo el contenido de la función “Init”, y añadimos la siguiente línea que nos añadirá el evento manejador:

application.EndRequest += new EventHandler(application_EndRequest);

2. Eliminamos la siguiente función, que no necesitamos para nuestro módulo:

public void OnPreRequestHandlerExecute(Object source, EventArgs e)

{

HttpApplication app = (HttpApplication)source;

HttpContext context = app.Context;

// TODO: implement module functionality here

}

3. Añadimos la siguiente función. En la parte comentada que pone “AÑADIMOS NUESTRO CÓDIGO” es donde deberemos programar las acciones que realizará nuestro módulo, por ejemplo, añadir una línea nueva a todas las peticiones HTML que le llegan al servidor, filtrar su contenido, borrado de comentarios… Para este ejemplo, vamos a añadir una nueva línea de texto, que salga en todas las páginas web que devuelva nuestro servidor a los usuarios. Para ello simplemente llamamos al objeto context y le indicamos que en la respuesta añadiremos un bloque de texto:

void application_EndRequest(object sender, EventArgs e)

{

HttpApplication application = (HttpApplication)sender;

HttpContext context = application.Context;

//AÑADIMOS NUESTRO CÓDIGO

context.Response.Write(“Página modificada por www.windowstecnico.com”);

}

Una vez construido nuestro módulo debemos hacer 2 cosas:

1.) Tenemos que firmar nuestra librería .dll que hemos generado, para ello hacemos doble clic en el explorador de soluciones en la etiqueta “properties” y nos vamos a la pestaña “firma”, marcamos la casilla “firmar el ensamblado” y en seleccionar un archivo de clave de nombre seguro le damos a :

Le asignamos un nombre, por ejemplo, key.snk y desmarcamos la casilla de proteger con contraseña. Con esto ya tenemos nuestra .dll firmada:

2.) Tenemos que añadir un pequeño script, que nos enviará nuestra .dll firmada a la carpeta de ensamblados que se encuentra en la ruta C:\Windows\assembly, desde donde el IIS la recogerá para poder agregarla finalmente cómo modulo. Para ello, sin salirnos de la ventana “properties” nos vamos a la pestaña “Eventos de generación”, y en el cuadro “línea de comandos del evento posterior a la generación” incluimos el siguiente script si estáis usando Visual Studio 2005:

CALL "%VS80COMNTOOLS%\vsvars32.bat" > NULL

gacutil.exe /if "$(TargetPath)"

ó el siguiente si se está usando Visual Studio 2008:

CALL "%VS90COMNTOOLS%\vsvars32.bat" > NULL

gacutil.exe /if "$(TargetPath)"

Quedando finalmente lo siguiente:

Configuración del IIS:

1. Tras ejecutarse los scripts ya tendremos nuestra .dll firmada en la carpeta C:\Windows\assembly y lista para agregarla como modulo (en caso de tener la .dll aparte, bien porque la hemos generado desde otro PC o porque estamos probando una que no hemos generado nosotros, nos bastará con copiar la .dll a esta misma carpeta, seguramente tengamos que aumentar las permisos de esta carpeta antes). Tras esto nos vamos al Administrador de Internet Information Services y hacemos doble clic en el icono “módulos”:

Vamos a la opción “agregar modulo administrado”:

En tipo, en el desplegable, seleccionamos nuestro módulo, y le damos un nombre cualquiera:

Una vez hecho esto, si abrimos un sitio web alojado en el IIS, debería estar funcionando nuestro módulo y mostrarnos en las páginas web la línea de texto que le indicamos:

Espero que os haya gustado el post y que os animéis a programar vuestros propios módulos, y recordad que lo mas importante es tener una buena idea y pensar que todo es programable, solo hacen falta las fuentes de información adecuadas :), el próximo día os hablaré sobre la programación de módulos con interfaz gráfica.

saludos!!

Creación e instalación de módulos para Internet Information Services 7 (parte I)

Juan Antonio — Tue, 27 Oct 2009 08:07:00 GMT

En el post de hoy vamos a comenzar una cadena de posts sobre IIS7, en concreto me gustaría hablaros sobre donde se prolongan sus límites mediante programación.

Este será el primero de tres post, en los que comentaré desde el principio hasta el final como implementar un nuevo módulo para IIS7 desde 0, que haga lo que vosotros queráis, desde captar una simple petición web que haga algún usuario al servidor, y modificarla a vuestro antojo, a sustituírsela por otro documento, añadirle scripts, lo que vosotros queráis, la imaginación pondrá el límite en esta tarea.

En este, que será el primer post, os voy a introducir en la materia y daros un poco de información sobre el tema empezando por el principio de los tiempos.

¿Que es IIS7?

IIS7 es el servidor que llevan incorporadas las últimas versiones de los sistemas operativos Windows, en concreto IIS 7.0 en las versiones de Windows Vista y Microsoft Server 2008 e IIS 7.5 en su nueva versión para Windows 7 y Microsoft Server 2008 R2. Para los expertos en el tema sabréis que IIS7 se ha visto mejorado con respecto a IIS6 en numerosos aspectos, entre los que destaca la seguridad y sobre todo su aspecto y simplicidad, y es en este último en el que Microsoft puede estar bien orgullosa, porque navegar por el menú gráfico del IIS7 es un verdadero placer:

IIS7 también destaca por su sencillez de configuración, en gran parte conseguido por su interface.

Además, IIS7 ha sido diseñado pensando en los desarrolladores, facilitándoles Starters Kits para la implementación de extensiones para añadirles más características. Para estos últimos también posee un sistema de diagnóstico en tiempo de ejecución, muy útil a la hora de depurar, que ofrece información sobre que peticiones están ejecutándose actualmente, cuánto tiempo llevan ejecutándose, que URLs están siendo invocadas, que cliente las invoca, y cuál es su estado actual. Un verdadero gustazo.

Ahora que ya sabéis un poco más sobre IIS7, a instalarlo!, tenéis un sencillo manual sobre su instalación en el siguiente link:

http://learn.iis.net/page.aspx/28/installing-iis-70-on-windows-vista/

¿En qué lenguaje programaremos los módulos para IIS7?

Una vez instalado IIS7, y nos hayamos familiarizado con el entorno, comenzaremos a programar nuestro primer módulo. Los módulos para IIS7 los programaremos en C#, en .NET por supuesto :), así que ir preparando el Visual Studio (2005 o 2008), que el próximo día daremos caña al compilador.

En el próximo post, os comentaré como programar vuestro primer módulo, en él, os enseñaré a crear una extensión para el servidor que capture todas las peticiones web que realicen los usuarios al servidor y a modificarles las páginas solicitadas, añadiéndoles una línea de texto al final de la página antes de devolvérsela al usuario. Un ejemplo muy sencillo, pero con el que veréis claramente, que se puede hacer casi cualquier cosa en el servidor desde un simple módulo del IIS.

Saludos!

SUA - Subsystem for Unix-Based Applications en WIndows

Manuel Fernandez — Thu, 26 Mar 2009 09:54:00 GMT

¿Que es SUA?, Se trata de una característica poco conocida pero realmente importante y útil para los administradores y desarrolladores unix. Consiste en un subsistema para la compilación y ejecución de aplicaciones basadas en Unix, de manera totalmente interoperable con Windows. Es la evolución de Interix (un subsistema que se incluía anteriormente con "windows services for unix 3.5").

Una de las ventajas que ofrece SUA frente a otros emuladores como Cygwin, es que este interactúa directamente con el kernel de Windows, por lo que es mucho más rapido que otros emuladores. Esto hace que SUA se convierta en una excelente plataforma a la hora de migrar aplicaciones a Windows. La instalación es sencilla, unicamente hay que activar la característica de "Subsystem for Unix-Based Applications", accediendo desde "Panel de control -> agregar programas o quitar programas -> Activar/Desactivar características de Windows"

Una vez activado, nos pedirá que descargemos el SDK y algunas utilidades para el subsistema. Tiene un tamaño aproximado de 470Mb, y puede ser descargado desde http://www.microsoft.com/downloads/details.aspx?familyid=93ff2201-325e-487f-a398-efde5758c47f&displaylang=en

Los componentes que incorpora son los siguientes:

                - Utilidades base
                - Utilidades SVR-5
                - Base SDK
                - GNU SDK
                - Utilidades GNU
                - UNIX Perl
                - Debugger Visual Studio

Una vez instalado, podemos acceder a dos tipos de shell, Korn (ejecutando posix.exe /u /c /bin/ksh -l) y C shell (ejecutando posix.exe /u /c /bin/csh -l).

Como hemos visto, tenemos ante nosotros una potente herramienta, la cual podremos usar para la migración de aplicaciones, desarrollo de aplicaciones, o cualquier otro uso. Si quieres aprender mucho más sobre los secretos de lo sistemas Microsoft Windows, deberías leer el libro de Sergio de los Santos "Máxima Seguridad en Windows: Secretos Técnicos" y, por último, te recordamos que si te ha gustado el artículo puedes suscribirte al Canal RSS de Windows Técnico para estar al día de las novedades e información técnica de interés.

Un saludo