Websecurity - Веб безпека

Раніше я писав про березневі DDoS атаки в Україні, а зараз розповім про ситуацію в квітні.

В зв’язку з сепаратистськими і терористичними акціями на сході України, в цьому місяці хакерська активність продовжила бути значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Проросійськими та іноземними хакерами були атаковані наступні сайти:

DDoS на DNS сервери FREEhost.ua - 01-02.04.2014
DDoS на gp.gov.ua - 04.04.2014 і 09.04.2014
Взломаний vrada.gov.ua - 07.04.2014
Взломаний gp.gov.ua - 09.04.2014
Взломаний pol.gp.gov.ua - 09.04.2014
DDoS на kmu.gov.ua - 10.04.2014 і 14.04.2014

Також на протязі квітня відбулися численні DDoS атаки на російські опозиційні сайти.

Проукраїнськими хакерами були атаковані наступні сайти:

DDoS на www.rada.crimea.ua - 01-30.04.2014 (сайт працював з перервами)
DDoS на www.crimea-portal.gov.ua - 01-30.04.2014
DDoS на www-ki.rada.crimea.ua - 01-30.04.2014 (сайт працював з перервами)

Проукраїнськими хакерами були взломані наступні сайти:

sevispolkom.info - 02.04.2014 - хакери розмістили на сайті номер 565. А потім повністю відібрали сайт, через захоплення домену.

З 16.01.2012 по 09.04.2014 відбувся масовий взлом сайтів на сервері TheHost. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер компанії TheHost. Дефейс відбулися після згаданого масового взлому сайтів на сервері Delta-X. Взлом складався з багатьох окремих дефейсів. 28 сайтів були дефейснуті в 2012 році, 415 сайтів в 2013 році і 8 сайтів в 2014 році.

Всього було взломано 451 сайтів на сервері української компанії TheHost (IP 91.223.180.100). Перелік сайтів можете подивитися на www.zone-h.org.

Враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

В даній добірці експлоіти в веб додатках:

• Huawei E5331 MiFi Unauthenticated Access / Setting Manipulation (деталі)
• ownCloud 4.0.x, 4.5.x (upload.php, filename param) - Remote Code Execution (деталі)
• Apple TV Touch Password Disclosure Vulnerability (деталі)
• Java 7 Update 5-10 vulnerability to download and execute (деталі)
• Java 7 Update 11 vulnerability to download and execute (деталі)

У червні, 23.06.2013, я знайшов нові Cross-Site Scripting та Insufficient Anti-automation уразливості на http://privatbank.ua. За 3 XSS уразливості ПриватБанк мені заплатив (тому про них я деталей не наведу), але досі повністю не виправив. Адміни додали фільтри, але їх потенційно можна обійти - ось тому потрібно якісно виправляти уразливості. А от IAA дірку виправляти не стали.

Стосовно ПриватБанка я вже писав про численні уразливості на www.blog.privatbank.ua та уразливості в LiqPAY для Android та iOS.

Всі уразливості наявні в формі http://privatbank.ua/cpa/credit-card/. Ось інформація про IAA, яку ПриватБанк не захотів виправляти, мотивуючи це тим, що в них капча розробляється, тому всі ці та інші IAA (що я знайшов на privatbank.ua та інших сайтах, а таких дірок я знайшов багато) вони “вважають виправленими”, мовляв капчу зроблять і поставлять на своїх сайтах. При тому, що в деяких формах вже є капча, але вони мовляв роблять нову. Це така відмазка, аби не виправляти дірки на своїх сайтах і не проводити оплату цих дірок.

Insufficient Anti-automation:

В формі http://privatbank.ua/cpa/credit-card/ немає захисту від автоматизованих атак (капчі).

Дана уразливість, як і багато подібних дірок, досі не виправлені.

У квітні місяці Microsoft випустила 4 патчі. Що менше ніж у березні.

У квітневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 4 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Два патчі закривають критичні уразливості та два патчі закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, Office Services, Office Web Apps та Internet Explorer. Це останній випуск патчів для Windows XP, підтримку якої компанія припинила в цьому місяці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://dazo.gov.ua (хакером Gabby) - 10.03.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://vrada.gov.ua (хакером Gabby) - 07.04.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://riddle.org.ua (хакером Hmei7) - 02.03.2014, зараз сайт вже виправлений адмінами
• http://buller.net.ua (хакерами з 1923Turk Grup)
• http://www.skypark.com.ua (хакером mustireiS) - 07.03.2014, зараз сайт вже виправлений адмінами

Виявлені численні уразливості безпеки в Google Chrome та Chromium.

Уразливі продукти: Google Chrome 34.0, Chromium 34.0.

Міжсайтовий скриптінг, цілочисленні переповнення, DoS, пошкодження пам’яті, підміна URL.

• chromium-browser security update (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах OptimizePress, FormCraft та PhotoSmash Galleries. Для котрих з’явилися експлоіти. OptimizePress - це тема движка, FormCraft - це плагін для створення форм, PhotoSmash Galleries - це плагін для створення галерей зображень.

• WordPress OptimizePress Theme File Upload (деталі)
• WordPress FormCraft Premium SQL Injection (деталі)
• WordPress Photosmash Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У квітні, 08.04.2014, через півтора місяці після виходу Google Chrome 33, вийшов Google Chrome 34.

В браузері зроблено декілька нововведень. А також виправлена 31 уразливість. 21 з яких позначені як небезпечні та 10 як помірні.

14 уразливостей виявлені співробітниками Google у процесі внутрішнього аудиту кодової бази.

• Выпуск web-браузера Chrome 34 (деталі)

Продовжуючи розпочату традицію, після попереднього відео про 0day уразливість в Mozilla Firefox, пропоную нове відео на веб секюріті тематику. Цього разу відео про атаки на інтерфейс користувача браузера. Рекомендую подивитися всім хто цікавиться цією темою.

HITB2013AMS D2T2 Rosario Valotta - Abusing Browser User Interfaces for Fun and Profit

Торік на конференції Hack In The Box (HITB2013) в Амстердамі відбувся виступ Rosario Valotta. В своєму виступі він розповів про атаки на інтерфейс користувача браузера. Коли використовуючи соціальну інженерію та особливості UI браузерів можна проводити атаки на користувачів.

Розаріо розповів про різні аспекти таких атак в різних популярних браузерах. Рекомендую подивитися дане відео для розуміння сучасних загроз в Інтернеті.