Нові уразливості на portal.rada.gov.ua
16:28 31.12.201212.07.2012
Сьогодні я знайшов Cross-Site Scripting уразливості на http://portal.rada.gov.ua - сайті Верховної Ради України. Про що найближчим часом сповіщу адміністрацію сайта.
Раніше я вже неодноразово писав про дірки на сайті Парламенту. В останнє - коли писав про уразливості на kmu.gov.ua, rada.gov.ua та president.gov.ua, а також я неодноразово писав про дірки та взломи на різних піддоменах rada.gov.ua.
Детальна інформація про уразливості з’явиться пізніше.
31.12.2012
XSS:
- alert(document.cookie)
- alert(document.cookie)
- alert(document.cookie)
- alert(document.cookie)
- alert(document.cookie)
- alert(document.cookie)
- цікавий
- html включення
Дані уразливості досі не виправлені.
Субота, 17:46 14.07.2012
Та правительственные сайты вообще у нас это капец.
Сайт Киевблагоустроя вообще уже месяца два заражен, я столько раз писал им, но никто даже не пошевелился, при этом они наражают на опасность посетителей, это не просто уязвимость которая опасна сайту, в ставит под угрозу безопасность посетителей.
Субота, 19:07 14.07.2012
RADIUS, да дырявость gov.ua сайтов высока, об этом я пишу с 2006 года. И эта ситуация приводит к большому числу взломов и заражений сайтов (что я констатирую в своих отчётах).
Касательно заражений, то в первом полугодии 2012 я выявил 7 инфицированных государственных сайтов (о шести уже написал и об ещё одном напишу в новостях). Да, как на информацию о дырах, так и насчёт взломов ресурсов и заражённости сайтов любят админы забивать, в том числе и gov.ua сайтов. За такие дела я бы - при наличии полномочий, например, на месте президента и премьера, уволил не только админа, но и его руководителя (всех ответственных за сайт).
Насчёт Киевблагоустроя. Его сайт - gukbm.kiev.ua и он по данным Гугла не заражён, и не был заражён за последние 90 дней. Поэтому я и не выявил этот сайт среди заражённых во время своих еженедельных исследований.
Субота, 23:01 14.07.2012
В гугл не успел попасть, он не всегда быстро реагирует, а в SiteAdvisor McAfee еще в черном списке, а это свидетельствует часто о том, что зараженность была длительной, так как туда в черный список уже попадают сайты которые долго были дырявые. Заражен был 100% потому как сам выявил заражение и проверил, но уже не помню чем, но как обычно вело все на связку сплоитов BlackHole.
А по поводу правительственных сайтов, то там заведует одна фирма монополист, она и сайтами заведует и всеми сетями, потому и такой бардак увы, кто крышует их увы не знаю
Субота, 23:02 14.07.2012
Капча тут конечно западлистая на сайте, уже не первый раз матерюсь) пока длинный камент напишешь, то срок действия капчи истекает и весь написанный текст тоже)
Вівторок, 23:58 17.07.2012
RADIUS, я как раз считаю, что Гугл быстрее реагирует чем SiteAdvisor McAfee. О чём я писал в 2010 году в своём исследовании веб антивирусов, которое также представил на конференции в 2011 году - Системы выявления инфицированных веб сайтов. Возможно McAfee дольше держал у себя в базе после исправления, т.к. Гугл обычно быстрее убирает из своей базы, чем McAfee (как показали мои наблюдения). Причём по данным Google, как я говорил, этот сайт не был заражён за последние 90 дней.
Так что странно, почему такое несоответствие между этими системами и что именно McAfee, занявшая у меня в тестировании шестое (предпоследнее) место, лучше справилась с этим заражением. Возможно на сайте уже исправили это заражение более трёх месяцев назад. Замечу, что когда я зашёл, то на главной странице малвали я не заметил (при просмотре html кода веб страницы) - вероятно админы сайта наконец-то убрали код малвари.
Известно какая это фирма - Софтлайн (которая с прошлого года переименовалась на Софтлайн-IT), разработчик Megapolis.Portal Manager. О дырах в этом движке Софтлайна, что используется на большом количестве государственных сайтов (наиболее крупных), я писал многократно. Это точно, что их кто-то крышует, хотя и не известно кто.
По поводу капчи я уже писал ранее. От хостера получить решения проблемы не удалось (хотя проблема может быть как у пользователей, так и в настройках сервера). При том, что я в прошлом августе сменил сервер (на другой у того же Шалба), но судя по твоему комментарию, проблема с капчей так и осталась (чего не было на самом первом хостинге с 2006 по 2009).
Середа, 01:11 18.07.2012
Нет, как раз все верно, Гугл конечно же быстрее реагирует, но последнее время Яндекс еще быстрее, особенно если сайт подключен к Яндекс.Вебмастер и могу сказать довольно оперативно реагирует пока что.
А McAfee действительно просто долго держит кеш потому до сих пор показывает что заражен, но как я писал выше, заражение гугл даже не успел увидеть, нашел я его сам в ходе тестирования чисто случайно зацепил этот сайт и решил посмотреть, да и вообще зуб имею на Киевблагоустрий, эти засранцы очень вяло реагируют на установки незаконные МАФов по всему Киеву, которые уже загадили все кругом, но это так, отступление.
Так вот гугл этого заражения вообще не увидел, а McAfee заметил довольно поздно и держит до сих пор в черном списке, вообще они очень долго удаляют потом сайт из списка, что тоже не хорошо и добиться удаления и пересмотра очень трудно и длительно как оказалось.
Да да, именно Софтлайн, забыл название.
Крышует кто-то очень высоко но кто тоже не помню уже, да и не столь важно, но как говорили работники в Кабмине то не так просто от этой конторы избавиться, это конечно прискорбно что такое твориться у нас
И что, они как-то хоть раз отреагировали?
Неділя, 19:59 05.08.2012
Ну засранским образом у нас часто ведут себя многие гос.структуры, что Киевблагоустрий, что КМДА, что другие
. Это обычное дело. При этом помимо плохого поведения в оффлайне, они также постоянно плохо ведут себя в онлайне - имеют дырявый сайты, их регулярно дефейсят и инфицируют, а также их взломы приводят к утечкам приватных данных.
Да крыша у Софтлайна высока и крепка. Я даже удивился, что они с прошлого года переименовалась на Софтлайн-IT под давлением другого Софтлайна, что они со своей крышей не удержали свою ТМ. “Сотрудничество” многих гос.сайтов с этой компанией тянется уже давно (с регулярными многомиллионными растратами для бюджета) и пока конца краю этому не видно. Хотя на сайте ВРУ ты мог заметить, что они наконец-то решились на смену движка (вроде бы от другого поставщика) - новый тестовый сайт находится по адресу iportal.rada.gov.ua.
Ранее никогда не отвечали, но сейчас, после моего последнего уведомления о дырах в их движке, оперативно ответили. Заявив, что ничего исправлять не будут, т.к. мол движок старый и сейчас они сделали новый, и будут поддерживать только новый движок (который планируют впарить гос.структурам). Что несерьёзно и нужно поддерживать свои предыдущие программные продукты.