The web-based vulnerabilities, stakeholders and avoidance

This bachelor’s thesis is focused in cyber security and the web-based vulnerabilities and stakeholders who participate in the exploitation as being the technical equipment, the attacker or the victim. The focus of this thesis is to first give the reader the picture about the cyber world and its stakeholders and after that give a picture about three different vulnerabilities that are common in the web services that we use every day. Exploiting these vulnerabilities is a crime and they are usually divided into two different categorize. There are cyber assistant and cyber dependent crimes. Cyber assistant crimes are crimes that can be done without the assistance of it-equipment like fraud in the second-hand markets of the internet. The cyber dependent crimes are crimes that require it-equipment as a part of the crime in order for the crime to be possible. These are crimes like denial of service against an online store. The stakeholders that are a part of the cyber are the services that have vulnerabilities, the criminals that exploit the vulnerabilities and the victims that experience loses. The web services work by communicating with the user’s browsers with hypertext transfer protocol messages and this is one of the key points in understanding how the web works. The criminals are divided into six categories based on their abilities and motivations. The criminals are the unaware, casual criminals, hackers, professional criminals, hacktivists and nation states. The victims can be separated into four groups based on their knowledge and how they become victims of a cyber-crime. The victim groups are gullible, greedy, inexperienced and unlucky people. This thesis focuses in three different web-based vulnerabilities that are injection vulnerabilities, broken authentication and cross-site-scripting. In injection attacks the attacker’s goal is to inject code or database queries through the user interface to be executed in the backend server. Broken authentication system vulnerabilities cause the authentication system to be vulnerable for attacks that make it possible to make changes to other user accounts. Cross-site-scripting vulnerabilities mean that the attacker is able to plant code into the site that is then ran in another user’s web browser. Nearly all of these vulnerabilities are caused by not handling user input properly in the servers properly.Tämä opinnäytetyö keskittyy kyberturvallisuuteen ja web-pohjaisiin haavoittuvuuksiin sekä sidosryhmiin, jotka ovat osa näitä haavoittuvuuksia olemalla teknisiä edellytyksiä, hyökkääjiä tai hyökkäyksen uhreja. Tämän opinnäytetyön fokuksena on antaa lukijalle kuva ensin kyberavaruudesta ja sen sidosryhmistä ja sen jälkeen kolmesta yleisestä haavoittuvuudesta, jotka ovat yleisiä verkkopalveluissa, joita käytämme joka päivä. Näiden haavoittuvuuksien hyödyntäminen on yleensä aina rikos ja nämä rikokset jaetaan kahteen kategoriaan. Kyberavusteisiin ja kyberriippuvaisiin rikoksiin. Kyberavusteiset rikokset ovat rikoksia, jotka voidaan toteuttaa ilman tietokoneitakin, mutta ne mahdollistavat kommunikoinnin. Tällaisia rikoksia ovat esimerkiksi käytetyn tavaran verkkomarkkinapaikalla tehty petos. Kyberriippuvainen rikos on rikos, jonka toteuttaminen ei ole mahdollista ilman tietokoneita. Tällaisia rikoksia ovat esimerkiksi palvelunestot. Sidosryhmät, jotka ovat osa verkkopalvelua ovat verkossa toimivat tekniset laitteet, joissa on haavoittuvuuksia, rikolliset, jotka hyödyntävät näitä haavoittuvuuksia ja uhrit, jotka kärsivät haittaa rikoksien vuoksi. Verkkopalvelut toimivat kommunikoimalla hypertext tranfer protokollalla käyttäjän selaimen ja palvelimen välillä ja se on yksi tärkeimmistä tavoista ymmärtää, miten tietoverkko toimii. Rikolliset jaetaan kyvykkyyksien ja motiivien perusteella kuuteen eri kategoriaan, jotka ovat, tietämättömät, välinpitämättömät, hakkerit, ammattirikolliset, haktivistit sekä valtiot. Rikoksien uhrit jaetaan neljään eri kategoriaan sen perusteella, miten he valikoituvat rikoksen uhriksi. Nämä neljä kategoriaa ovat, herkkäuskoiset, ahneet, kokemattomat ja epäonniset. Tämä opinnäyte työ keskittyy kolmeen eri haavoittuvuuteen, jotka ovat erilaiset injektio haavoittuvuudet, rikkinäiset tunnistus järjestelmä haavoittuvuudet sekä cross-site-scripting. Injektiohyökkäyksillä tarkoitetaan hyökkäyksiä, jossa hyökkääjä onnistuu syöttämään käyttöliittymän läpi ohjelmakoodia tai tietokanta kyselyitä taustalla toimivalle palvelimelle, joka suorittaa nämä käskyt. Rikkinäiset tunnistautumisjärjestelmät, tarkoittavat haavoittuvuuksia, joiden avulla on mahdollista tehdä muutoksia muiden käyttäjien tileihin. Cross-site-scripting tarkoittaa mahdollisuutta syöttää sivustolle sisältö, joka suoritetaan uhrin selaimessa. Käytännössä kaikki haavoittuvuudet johtuvat huolimattomasta ohjelmoinnista ja syötteiden tarkistamatta jättämisestä