Websecurity - Веб безпека

У травні, 24.05.2009, я знайшов SQL Injection уразливість на сайті http://www.vilmorin.com.au (онлайн магазин). Про що найближчим часом сповіщу адміністрацію сайта.

Стосовно дірок на сайтах онлайн магазинів в останнє я писав про уразливості на rozetka.com.ua.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

Сьогодні вийшла нова версія програми MustLive/BPG MySQL Perl/CGI Client v1.08.

В новій версії 1.08:

• Покращив фільтрацію XSS.
• Додав в файл конфігурації опцію $show_sqlform для налаштування виведення форми “SQL запит до Бази Даних”, з метою протидії можливим SQL Injection атакам (зокрема через CSRF).
• Додав перевірку існування запису в БД (по ключовому полю) при його редагуванні.

Додаткова інформація про MySQL Perl/CGI Client в розділі Онлайн інструменти.

Виявлене пошкодження пам’яті в Google Chrome.

Уразливі версії: Google Chrome 3.0.

Використання після звільнення при обробці блокованих спливаючих вікон.

• Google Chrome Pop-Up Block Menu Handling Vulnerability (деталі)

В даній добірці експлоіти в веб додатках:

• RadLance Gold 7.5 Multiple Remote Vulnerabilities (деталі)
• RadBIDS GOLD v4 Multiple Remote Vulnerabilities (деталі)
• MCshoutbox 1.1 (SQL/XSS/Shell) Multiple Remote Vulnerabilities (деталі)
• MiniCWB 2.3.0 (LANG) Remote File Inclusion Vulnerabilities (деталі)
• Netrix CMS 1.0 Authentication Bypass Vulnerability (деталі)
• Silentum Guestbook 2.0.2 (silentum_guestbook.php) SQL Injection Vuln (деталі)
• powerUpload 2.4 (Auth Bypass) Insecure Cookie Handling Vulnerability (деталі)
• E-Xoopport 3.1 Module MyAnnonces (lid) SQL Injection Vulnerability (деталі)
• Alibaba-clone CMS (SQL/bSQL) Remote SQL Injection Vulnerabilities (деталі)
• BLIND SQLi exploit S-CMS <= v-2.0 Beta3 (деталі)

Раніше я вже писав про уразливість в 3D Cloud для Joomla. Така ж уразливість є і в плагіні Tagcloud для DLE, що використовує tagcloud.swf розроблений автором WP-Cumulus. Про мільйони флешек tagcloud.swf вразливих до XSS атак я згадував у своїй статті XSS уразливості в 34 мільйонах флеш файлах.

У січні, 07.01.2010, я знайшов, а сьогодні додатково дослідив Cross-Site Scripting уразливість в плагіні Tagcloud для DataLife Engine. Про що найближчим часом повідомлю розробникам.

XSS:

http://site/engine/classes/tagcloud/tagcloud.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='javascript:alert(document.cookie)'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E

Код виконається при кліку. Це Strictly social XSS.

Також можна провести HTML Injection атаку, в тому числі на ті флешки, де заборонені (у флешках чи через WAF) javascript та vbscript URI в параметрі tagcloud.

HTML Injection:

http://site/engine/classes/tagcloud/tagcloud.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='http://websecurity.com.ua'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E

Уразливі всі версії плагіна Tagcloud.

Пропоную вашій увазі добірку цікавих нових на тему безпеки.

За повідомленням www.ea-ua.info, Google планує співпрацювати з розвідкою США. Інтернет-гігант Google та агентство США, відповідальне за зовнішню електронну розвідку та безпеку американської частини Інтернет, згідно з повідомленням, близькі досгягення угоди про співробітництво у справі посиленого захисту кібер-простору.

Як повідомляється, угода між Google та Агентством з питань національної безпеки передбачає співпрацю обох структур в розслідуванні китайських кібер-атак. Раніше я вже писав, що на початку року була проведена Операція Аврора спрямована проти Гугла та ряду інших американських компаній.

За повідомленням www.securitylab.ru, самі небезпечні хакерські угруповання сформувалися в Східній Європі. Ще в 2007 році журнал Information Week опублікував статтю про те, як працює “хакерська економіка”. Як зазначається в статті, особливо небезпечні хакерські угруповання сформувалися в Східній Європі, тобто в Бєларусі, Росії, Румунії та інших країнах регіону.

За повідомленням www.securitylab.ru, аддони для Firefox заражені троянськими програмами. Компанія Mozilla сьогодні випустила два екстрених бюлетені по інформаційній безпеці, де говориться про появу в каталозі аддонів для браузера Firefox, заражених троянськими програмами.

Зазначу, що ще в 2007 році я передбачив можливість розповсюдження інфікованих або зловмисних плагінів та аддонів для браузерів Мозіли через їхній офіційний сайт. Лише зараз Мозіла виявила подібний випадок, хоча цілком можливо що подібні аддони з троянами могли бути й раніше.

Наприкінці грудня 2009 року - початку січня 2010 року відбулася хакерська атака, що отримала назву Операція Аврора (Operation Aurora). Дана атака проводилася проти Google та ряду інших американських компаній.

Ось декілька відео про Операцію Аврора:

McAfee Operation Aurora Overview

The Operation Aurora Internet Explorer exploit - live!

The «Aurora» IE Exploit in Action

В даних відео роликах розповідається про саму Операцію Аврора та демонструється використання експлоіта для Internet Explorer, що використовувався під час даної атаки.

В даній добірці уразливості в веб додатках:

• SUN / Oracle JVM Remote code execution (деталі)
• openjdk-6 vulnerabilities (деталі)
• Sun Java Updates for Multiple Vulnerabilities (деталі)
• Sun Java Web Start and Applet Multiple Sandbox Bypass Vulnerabilities (деталі)
• Sun Java AWT Library Sandbox Violation Vulnerability (деталі)
• Discloser 0.0.4-rc2 SQL Injection Vulnerability (деталі)
• SQL Injection in CS-Cart (деталі)
• Vulnerability in phpmyadmin (деталі)
• SlideShowPro Director File Disclosure Vulnerability (деталі)
• OpenCms (7.5.0) - Vulnerability: Cross-Site Scripting, Phishing Through Frames, Application Error (деталі)

У червні, 28.06.2009, я знайшов SQL Injection, Local File Inclusion та Full path disclosure уразливості на сайті http://www.lanukr.com. Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.avtoplaza.ua (хакером DANYAR) - 28.01.2010, зараз сайт вже виправлений адмінами
• http://forum.jedi.com.ua (хакером ME) - 28.01.2010, зараз форум вже виправлений адмінами
• http://www.lvivua.com (Realold Mucked)
• http://www.crimeaapartment.com (хакером Juni-oR) - 28.01.2010, зараз сайт вже виправлений адмінами
• http://sport.webteka.com (хакером FormatXFormaT) - 02.02.2010, зараз сайт вже виправлений адмінами