Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• HP Service Manager and HP Service Center, Unauthorized Remote Access, Unsecured Local Access, Remote Disclosure of Privileged Information, HTTP Session Credential Re-use, Cross Site Scripting (XSS) (деталі)
• XSS vulnerability in Web Poll Pro (деталі)
• fetchmail security announcement fetchmail-SA-2011-01 (деталі)
• Tugux CMS (nid) BLIND sql injection vulnerability (деталі)
• Multiple vulnerabilities in several IP camera products (деталі)
• XOOPS 2.5.0 <= Cross Site Scripting Vulnerability (деталі)
• libxml2 vulnerability (деталі)
• PHP-Nuke 8.x <= "chng_uid" Blind SQL Injection Vulnerability (деталі)
• smallftpd <= 1.0.3-fix | Connection Saturation Remote Denial of Service Vulnerability (деталі)
• PHP-Nuke 8.x <= Cross Site Request Forgery (CSRF) / Anti-CSRF Bypass Vulnerability (деталі)

22.01.2011

У листопаді, 05.11.2010, я знайшов Cross-Site Scripting, Abuse of Functionality та Insufficient Anti-automation уразливості на проекті http://br-ua.com. Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливості на www.br-ua.com.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

12.10.2011

XSS:

Три XSS уразливості - дві на сторінці реєстрації та одна на сторінці відновлення паролю. Приклади експлоітів для даних уразливостей.

Abuse of Functionality:

http://br-ua.com/users/register
http://br-ua.com/users/remind

На сторінках реєстрації та відновлення паролю можна визначати емайли користувачів (що є логінами).

Insufficient Anti-automation:

http://br-ua.com/users/register
http://br-ua.com/users/remind

Хоча капчі використовуються на даних сторінках, але для визначення емайлів (логінів) користувачів не потрібно вводити коректну капчу.

Дані уразливості досі не виправлені. Зараз адміни змінили домен br-ua.com на br.mirkvartir.ua (піддомен сайта mirkvartir.ua, теж дірявого), при цьому залишивши всі уразливості. Домен вони змінили явно за для економії, так само як вони економлять на безпеці власних сайтів.

В літку, 22.07.2011, 18.08.2011 і 20.08.2011, відбувся новий масовий взлом сайтів на сервері Besthosting. Нещодавно я вже розповідав про інші масові взломи. Перший масовий взлом сайтів на сервері Besthosting відбувся минулого року.

Був взломаний сервер української компанії Besthosting. Взлом, що складався з трьох взломів (два по одному сайту і один масовий взлом), зокрема другий і третій, відбувся після згаданого масового взлому сайтів на сервері 1GB LLC.

Всього було взломано 38 сайтів на сервері української компанії Besthosting (IP 195.248.234.34). Це наступні сайти: genux.ru, truck-expert.net, glavuks.gov.ua, vladimirsemenov.ru, allshrift.ru, borisinfo.net, alex-gk.vn.ua, eo15pwc.borisinfo.net, urpsobor.borisinfo.net, us1pm.borisinfo.net, us1pm.com, blog.fridin.com, sim-arenda.com, annluc.com, svadbacar.com, w.ihorus.com, ihorus.com, koftyann.com, maklakov.name, ukrdance.com.ua, allmyfilm.ru, vigor.od.ua, blog.genux.ru, gnatenko.info, bbstar.in.ua, www.elit-class.com.ua, avtonews.com.ua, www.villagavan.com, options-trader.ru, paklet.ru, mycarnews.ru, www.logicaster.com, mlove.com.ua, lancerx.net, respublica.in.ua, tdsvitlo.com.ua, trd.dp.ua, scan-tools.net. Серед них український державний сайт glavuks.gov.ua.

36 зазначених сайтів були взломані хакером H3rcule-32, 1 сайт хакером thecybernuxbie і 1 сайт хакером n93n93k.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера (зокрема у випадку атаки H3rcule-32). Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

Виявлені численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.3.

Пошкодження пам’яті в різних функціях.

• PHP: Multiple vulnerabilities (деталі)

В даній добірці уразливості в веб додатках:

• Default Credentials Vulnerability in Cisco Network Registrar (деталі)
• Joomla! 1.6.0 | SQL Injection Vulnerability (деталі)
• Default Credentials for root Account on the Cisco Media Experience Engine 5600 (деталі)
• Joomla! 1.6.0 | Cross Site Scripting (XSS) Vulnerability (деталі)
• GDM vulnerability (деталі)
• bbPress 1.0.2 <= Cross Site Scripting Vulnerability (деталі)
• Sybase OneBridge Mobile Data Suite Format String Remore Code Execution Vulnerability (деталі)
• bbPress 1.0.2 <= Cross Site Scripting Vulnerability (деталі)
• HP OpenView Storage Data Protector, Remote Execution of Arbitrary Code (деталі)
• Douran Portal File Download/Source Code Disclosure Vulnerability (деталі)

21.01.2011

У листопаді, 05.11.2010, я знайшов Cross-Site Scripting, Abuse of Functionality та Brute Force уразливості на проекті http://mirkvartir.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

11.10.2011

XSS:

Три XSS уразливості - дві на сторінці реєстрації та одна на сторінці відновлення паролю. Приклади експлоітів для даних уразливостей.

Abuse of Functionality:

http://mirkvartir.ua/users/register

http://mirkvartir.ua/users/remind

На сторінках реєстрації та відновлення паролю можна визначати емайли користувачів (що є логінами).

Brute Force:

http://mirkvartir.ua/admin/

Дані уразливості досі не виправлені.

Продовжуючи тему тестування DNS серверів, після онлайн сервісу перевірки на DNS Poisoning, пропоную вашій увазі утіліту для даної задачі. Це Porkbind - відомий рекурсивний сканер уразливостей DNS серверів, що визначає версії неймсерверів і визначає, чи не використовуються застарілі версії, що вразливі до відомих уразливостей в DNS серверах.

Остання версія Porkbind 1.3. Цей сканер перевіряє 14 уразливостей в DNS, включаючи DNS Poisoning. Так що можете протестувати ваші DNS сервери.

Porkbind 1.3

Враховуючи, що сайт автора не працює, тому даю лінку на інший сайт, де можна скачати дану програму. Є чимало порталів з ПЗ, звідки можна скачати Porkbind.

В даній добірці уразливості в веб додатках:

• CodeMeter WebAdmin Cross-site Scripting (XSS) Vulnerability (деталі)
• XSRF (CSRF) in LotusCMS (деталі)
• Sun Microsystems Directory Server DSML-over-HTTP Username Search Denial of Service Vulnerability (деталі)
• XSS vulnerability in LotusCMS (деталі)
• Sun Microsystems Directory Server Enterprise ASN.1 Parsing Remote Code Execution Vulnerability (деталі)
• BoutikOne Multiples SQL Injection Vulnerability (деталі)
• Sun Microsystems Directory Server Enterprise DSML UTF-8 Denial of Service Vulnerability (деталі)
• SAP NetWaver XI SOAP Adapter - XSS (деталі)
• Hackproofing Oracle Financials 11i & R12 (деталі)
• SAP NetWeaver logon.html - XSS (деталі)

18.01.2011

У жовтні, 30.10.2010, я знайшов SQL Injection, SQL DB Structure Extraction та Cross-Site Scripting уразливості на сайті http://www.d1.ie. Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше.

10.10.2011

SQL Injection:

http://www.d1.ie/visual.php?intProjectID=-1%20or%20version()%3E4

http://www.d1.ie/page.php?intPageID=-1%20or%20version()%3E4

SQL DB Structure Extraction:

http://www.d1.ie/visual.php?intProjectID=’

http://www.d1.ie/page.php?intPageID=’

XSS:

• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Дані уразливості досі не виправлені.

Торік я писав про DNS Poisoning атаки і радив почитати відповідну статтю. А зараз пропоную вам онлайн сервіс для перевірки DNS серверів на предмет вразливості до DNS Poisoning атак.

DNS Nameserver Spoofability Test

Даний сервіс від Steve Gibson (так званий ISP DNS testing tool), презначений для перевіки DNS серверів вашого ISP на предмент уразливостей, в тому числі й DNS Poisoning. Також на сторінці Стіва Гібсона наводиться детальна інформація про атаки для підробки DNS серверів.

Під час тестування перевіряються всі DNS сервери, що використовуються браузером для доступу до сайта Стіва (DNS резолвери вашого Інтернет провайдера), які перевіряються на відомі уразливості. Після чого кожному з DNS серверів виставляється оцінка. Так що можете протестувати ваші DNS сервери.