Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://lis.freelife.cv.ua (хакером chinafans) - 24.02.2024
• https://baofengradio.com.ua (хакером chinafans) - 24.02.2024
• 14 сайтів хакером Hades - 26.02.2024
• https://academyfc.com.ua (хакером Rayzky) - 14.03.2024
• DDoS атака на ukrainer.net - 30.01.2025

Від січня і до кінця 2024 року вийшли Mozilla Firefox 122 - Firefox 133. Нові версії браузера вийшли після виходу Firefox 121.

Mozilla офіційно випустила ці версії веб-браузера Firefox, а також відповідні мобільні версії браузера для платформи Android.

В браузері було зроблено багато нововведень. Та зроблені покращення безпеки.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox усунуто численні уразливості в багатьох патчах.

В даній добірці експлоіти в веб додатках:

• Tinycontrol LAN Controller v3 (LK3) 1.58a - Remote Admin Password Change (деталі)
• Equipment Rental Script-1.0 - SQLi (деталі)
• Blood Bank & Donor Management System using v2.2 - Stored XSS (деталі)
• Ricoh Printer - Directory and File Exposure (деталі)
• Proxmox VE - TOTP Brute Force (деталі)

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023, дані за 30.01.2023-05.02.2023, дані за 06.02.2023-12.02.2023, дані за 13.02.2023-19.02.2023, дані за 20.02.2023-26.02.2023, дані за 27.02.2023-05.03.2023, дані за 06.03.2023-12.03.2023, дані за 13.03.2023-19.03.2023, дані за 20.03.2023-26.03.2023, дані за 27.03.2023-02.04.2023, дані за 03.04.2023-09.04.2023, дані за 10.04.2023-23.04.2023, дані за 24.04.2023-30.04.2023, дані за 01.05.2023-07.05.2023, дані за 08.05.2023-14.05.2023, дані за 15.05.2023-21.05.2023 та за 22.05.2023-28.05.2023. Це нові дані.

В червні:

Перший тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3WDbYS0.
Українські Кібер Війська щодня виявляють російську військову техніку в Донецьку та С-300 в Криму https://bit.ly/45CeY5i.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3oJ2loj.
Потреба закривати онлайн трансляції. Нагадую з 2014 року відколи виявив українські війська в Маріуполі https://bit.ly/3MCyYfs.
Українські Кібер Війська заблокували 340 сайтів терористів https://bit.ly/3oACjUu.
Українські Кібер Війська виявили, як родичі висилають бронежилети російським окупантам поштою в Шебекіно https://bit.ly/3OLyfLG.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3N7rBOE.
Це документ російських терористів https://bit.ly/3qqFr5R.
Українські Кібер Війська заблокували 340 сайтів терористів https://bit.ly/45OhVjw.
Українські Кібер Війська роками виявляли докази викрадення та навчання окупантами дітей тероризму в Криму і на Донбасі https://bit.ly/45G2km1.

У травні, 09.05.2024, вийшли PHP 8.2.19 і PHP 8.3.7. У версії PHP 8.2.19 виправлено багато багів і уразливостей, у версії PHP 8.3.7 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.2.x і 8.3.x.

У PHP 8.2.19 і 8.3.7 виправлено:

• Численні вибивання.
• DDoS в OpenSSL.
• Витоки пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Існує технологія 3-D Secure (3DS) - це протокол розрахунків платіжними картками, що застосовується в операціях без наявності картки в місці платежу (зокрема, при розрахунках через мережу Інтернет). Передбачає двофакторну аутентифікацію держателя, тобто до CVV і даних карти ще додається OTP код, що надходить по смс.

Відома під назвами Verified by Visa, Mastercard SecureCode та від інших платіжних систем. Багато років маю карти МС і Visa та давно користуюся 3-D Secure для онлайн платежів. А в 2024 році я двічі обійшов цей захист під час легальної оплати. І на початку 2025 також.

Торік виявив можливість, як знімати гроші з карти без підтверджень по смс, тобто з обходом захисту від MC і Visa. Перевірив у березні та в грудні на одному українському сайті. Тестував на своїх картах ПБ, але я впевнений, що воно стосується всіх карт усіх наших банків.

Раніше я писав про нові уразливості на bonus.privatbank.ua.

Атака проводиться на сайтах, як то на Імена, де я двічі торік оплачував свій домен, що приймають карти через Stripe - це західних онлайн еквайєр. Коли я весь минулий рік та раніше платив онлайн з карт через еквайрінги ПБ та інших українських банків, то завжди приходив OTP по смс, але не на сайтах, які працюють через Stripe. Гроші просто знімаються з карти без підтвердження, тобто без двофакторної аутентифікації.

Вже в січні та лютому я робив оплату за електрику через онлайн еквайєр ПУМБ і так само жодного коду по смс не надійшло, спокійно гроші з карти списалися.

Якщо вкрадуть дані карт і CVV в українців, то далі заберуть гроші при оплаті через систему Stripe чи сервіс ПУМБ, обійшовши захист 3DS для карт, що його мають, як мої банківські карти.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• Хакнули державну компанію “Укрзалізниця” (росіяни) - 23.03.2025
• https://goshki.freelife.cv.ua (хакером chinafans) - 23.02.2024
• https://ndf.org.ua (хакером Rayzky) - 14.03.2024
• DDoS атака на most.ks.ua - 01.11.2024
• DDoS атака на tvfreedom.io - 17.01.2025

Через кібератаку на Укрзалізницю не працює продаж квитків.

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023, дані за 30.01.2023-05.02.2023, дані за 06.02.2023-12.02.2023, дані за 13.02.2023-19.02.2023, дані за 20.02.2023-26.02.2023, дані за 27.02.2023-05.03.2023, дані за 06.03.2023-12.03.2023, дані за 13.03.2023-19.03.2023, дані за 20.03.2023-26.03.2023, дані за 27.03.2023-02.04.2023, дані за 03.04.2023-09.04.2023, дані за 10.04.2023-23.04.2023, дані за 24.04.2023-30.04.2023, дані за 01.05.2023-07.05.2023, дані за 08.05.2023-14.05.2023 та за 15.05.2023-21.05.2023. Це нові дані.

В травні:

Четвертий тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/42ZFzaG.
Українські Кібер Війська щодня виявляють російську військову техніку в Донецьку та С-300 в Криму https://bit.ly/3ICkHOz.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/45r506N.
Це документ російських терористів https://bit.ly/3oCd2sK.
Українські Кібер Війська виявили, як російські окупанти висилають додому награбоване поштою в Бєлгороді https://bit.ly/43ouQGL.
Українські Кібер Війська заблокували 335 сайтів терористів https://bit.ly/3MBtDVR.
Українські Кібер Війська закрили нові сайти терористів https://bit.ly/3MWqfGe.
Відео-розвідка: УКВ захопили сотню відео з Донецького аеропорту https://bit.ly/3IIP3yV.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3oDLd3p.
Українські Кібер Війська виявили гео-локацію російської зенітки в Луганську https://bit.ly/42bXUQD.
Українські Кібер Війська заблокували 340 сайтів терористів https://bit.ly/43dalgm.

В даній добірці експлоіти в веб додатках:

• Tinycontrol LAN Controller v3 (LK3) 1.58a - Remote Admin Password Change (деталі)
• Equipment Rental Script-1.0 - SQLi (деталі)
• Blood Bank & Donor Management System using v2.2 - Stored XSS (деталі)
• Ricoh Printer - Directory and File Exposure (деталі)
• Proxmox VE - TOTP Brute Force (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах AN_Gradebook, Ninja Forms, EventON Calendar і темі Medic. Для котрих з’явилися експлоіти.

• WordPress Theme Medic v1.0.0 - Weak Password Recovery Mechanism for Forgotten Password (деталі)
• WordPress Plugin AN_Gradebook 5.0.1 - SQL Injection (деталі)
• WordPress Plugin Ninja Forms 3.6.25 - Reflected XSS (деталі)
• Wordpress Plugin EventON Calendar 4.4 - Unauthenticated Event Access (деталі)
• Wordpress Plugin EventON Calendar 4.4 - Unauthenticated Post Access via IDOR (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.