Web Application Security Considerations

RTI International is a trade name of Research Triangle Institute 

3040 Cornwallis Road  ■  P.O. Box 12194  ■  Research Triangle Park, North Carolina, USA 27709 

Phone 919­316­3898  Fax 919­541­6178  e­mail [email protected] 

Web Application Security 

Considerations 

Eric Peele, Kevin Gainey 

Types of Threats 

Spoofed packets, etc.

Buffer overflows, illicit paths, etc.

SQL injection, XSS, input tampering, etc.

Network 

Host 

Application 

Threats against 

the network 

Threats against the host 

Why Security? 

Reported security breaches 

in the last 12 months 

Acknowledged financial 

losses as a result 

Identified Internet connection 

as frequent source of attacks 

Reported intrusions to 

authorities 

90%

http://www.gocsi.com/press/20020407.html

2002 Computer Crime and Security Survey

80% 

74% 

34%

How Does This Happen? 

Session management 

79%

Common Software Vulnerabilities

Percentages of apps that have "serious design flaws" in the indicated areas

Session Hijacking 

§ 

Web applications use sessions to store state 

§ 

Sessions are private to individual users 

§ 

Sessions can be compromised 

Medium  Eavesdropping on state server connection  Medium  Remote connection to state server database  Medium  Remote connection to state server service  Low*  Predictable session IDs  Medium*  Links to sites that use cookieless session state  High*  Theft and replay of session ID cookies 

Risk Factor 

Threat

Identity Spoofing 

High  Dictionary attacks and password guessing  Medium*  Theft and replay of authentication cookies  High  Theft of forms authentication credentials  High  Theft of Windows authentication credentials 

Risk Factor 

Threat 

§ 

Security depends on authentication 

§ 

If authentication can be compromised, security goes out 

the window 

§ 

Authentication can be compromised

Information Disclosure