Websecurity - Веб безпека

10.01.2011

У жовтні, 15.10.2010, я знайшов Insufficient Anti-automation та Cross-Site Scripting уразливості на http://www.bezpeka-service.com.ua - сайті секюріті компанії. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливість на www.bezpeka-service.com.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

06.10.2011

Insufficient Anti-automation:

На сторінці контактів (http://www.bezpeka-service.com.ua/_kontakti_0_5_menu_0_2.html) немає захисту від автоматизованих запитів (капчі).

XSS:

POST запит на сторінці http://www.bezpeka-service.com.ua/_kontakti_0_5_menu_0_2.html
<script>alert(document.cookie)</script>В полях: ФИО, E-mail, Телефон, Тема письма, Текст.

Дані уразливості досі не виправлені.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://dolphin.crimea.ua (хакерами з RKH) - 04.08.2011, зараз сайт вже виправлений адмінами
• http://burmistr.com (хакерами з RKH) - 04.08.2011, зараз сайт вже виправлений адмінами
• http://alyshta.net (хакерами з RKH) - 24.07.2011, зараз сайт вже виправлений адмінами
• http://rotaract.com.ua (хакерами з Tema Own3d Q8)
• http://www.cpc-ua.org (хакером XUGURX) - 29.09.2011, зараз сайт не працює

Продовжуючи розпочату традицію, після попереднього відео про іконкового ніндзя, пропоную нове відео на веб секюріті тематику. Цього разу відео про підбір паролей до MySQL. Рекомендую подивитися всім хто цікавиться цією темою.

Metasploit MYSQL Brute force

В даному відео ролику демонструється використання Metasploit Framework для проведення Brute Force атак на MySQL. Розглядається брутфорсінг функціонал Metasploit.

Після вказання файлів з переліком логінів і паролів проводиться атака по словнику. Рекомендую подивитися дане відео для розуміння векторів атак на СУБД, зокрема на MySQL.

В даній добірці уразливості в веб додатках:

• Sybase M-Business Anywhere agSoap.exe password Tag Remote Code Execution Vulnerability (деталі)
• Mutare Software EVM - CSRF and XSS Vulnerabilities (деталі)
• Sybase M-Business Anywhere Server agd.exe encodeUsername Remote Code Execution Vulnerability (деталі)
• InSite Troubleshooting Cross-Site Scripting (деталі)
• Sybase M-Business Anywhere agd.exe username Parameter Remote Code Execution Vulnerability (деталі)
• Kodak InSite Login Page Cross-Site Scripting (деталі)
• Security Notice for CA eHealth (деталі)
• Cross-Site Scripting vulnerabilities in Icinga (деталі)
• Oracle GlassFish Server Administration Console Authentication Bypass (деталі)
• RecordPress Multiple Vulnerabilities (деталі)

За повідомленням www.xakep.ru, уразливість в Apache наражає на небезпеку фаєрволи, роутери.

Фахівці, що обслуговують сервер Apache, попереджають, що їх HTTP daemon уразливий перед експлоітами, що дають шанс нападнику передати спеціальні команди в адресі внутрішнім серверам.

За повідомленням www.anti-malware.ru, міністерство внутрішньої безпеки США розробило інструмент для оцінки кіберзахисту.

Продукт за назвою Cyber Security Evaluation Tool (CSET) був розроблений фахівцями міністерства разом з Національним інститутом стандартизації і технологій, щоб допомогти підприємствам і організаціям у забезпеченні належного захисту їхніх інформаційних активів.

За повідомленням bl0g.yehg.net, Google: Malware URL Redirection (Google Arbitrary URL Redirect Vulnerability).

Деякий час тому представники YGN Ethical Hacker Group оприлюднили URL Redirector Abuse уразливість на сайті Гугла. Раніше я вже неодноразово писав про редиректори Гугла - зі старих редиректорів один все ще працює автоматично, а один вимагає хеша.

Вони взяли один зі старих редиректорів (що я описав в січні 2008 року, який вимагає хеша) і детально його розібрали, яким чином можна підібрати значення usg. Зокрема один з підходів аналогічний описаному мною у вересні методу обходу захисту в images.google.com.

08.01.2011

У жовтні, 15.10.2010, я знайшов Insufficient Anti-automation та Cross-Site Scripting уразливості на http://scb-ua.com - сайті секюріті компанії. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на www.scb-ua.com.

Детальна інформація про уразливості з’явиться пізніше.

05.10.2011

Insufficient Anti-automation:

На сторінці контактів (http://scb-ua.com/_kontakty_i_karta_proezda_0_11_menu_0_1.html) немає захисту від автоматизованих запитів (капчі).

XSS:

POST запит на сторінці http://scb-ua.com/_kontakty_i_karta_proezda_0_11_menu_0_1.html
<script>alert(document.cookie)</script>В полях: ФИО, E-mail, Телефон, Тема письма, Текст.

Зараз даний сайт, який належить секюріті фірмі, не працює (мабуть вони вірішили, що найбільш безпечно взагалі не мати сайта). А на домені scb-ua.com знаходиться зовсім інший сайт, в якому дірок також вистачає .

У вересні, 16.09.2011, через півтора місяці після виходу Google Chrome 13, вийшов Google Chrome 14.

В браузері зроблено ряд нововведень. А також виправлено 32 помилки у безпеці, з яких 15 уразливостей позначені як небезпечні, 10 - помірні і 7 - незначні. Серед небезпечних проблем фігурує кілька звертань до областей пам’яті після їхнього очищення, ефект гонки при роботі з кешем сертифікатів, крахи в движку V8, проблема зі збирачем сміття в переглядачі PDF.

• Релиз web-браузера Chrome 14 (деталі)

В даній добірці уразливості в веб додатках:

• SAP WebAS ITS Mobile Test Service Multiple Vulnerabilities (деталі)
• Path disclosure in PrestaShop (деталі)
• SAP WebAS ITS Mobile Start Service Multiple Vulnerabilities (деталі)
• TOTVS ERP Microsiga Protheus - Users Enumeration (деталі)
• Proofpoint Protection Server Cross-Site Scripting Vulnerability (деталі)
• LMS Web Ensino - Multiple XSS, Session Fixation, CSRF and SQL Injection (деталі)
• Client Side Authorization ZyXEL ZyWALL USG Appliances Web Interface (деталі)
• ‘Quick Polls’ Local File Inclusion & Deletion Vulnerabilities (деталі)
• Authentication Bypass in Configuration Import and Export of ZyXEL ZyWALL USG Appliances (деталі)
• XSS in CubeCart <= 2.0.7 (деталі)

07.01.2011

У жовтні, 15.10.2010, я знайшов Insufficient Anti-automation та Cross-Site Scripting уразливості на http://varta.net.ua - сайті секюріті компанії. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливість на varta.net.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

04.10.2011

Insufficient Anti-automation:

На сторінці контактів (http://varta.net.ua/index.php?lang_id=1 &menu_id=8) немає захисту від автоматизованих запитів (капчі).

XSS:

POST запит на сторінці http://varta.net.ua/index.php?lang_id=1&menu_id=8
<script>alert(document.cookie)</script>В полях: ФИО, E-mail, Телефон, Тема письма, Текст.

Дані уразливості досі не виправлені.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://usta.rcf.crimea.ua - інфекція була виявлена 25.09.2011. Зараз сайт входить до переліку підозрілих.
• http://samsebelekar.at.ua - інфекція була виявлена 29.07.2011. Зараз сайт не входить до переліку підозрілих.
• http://golden-brig.org.ua - інфекція була виявлена 27.09.2011. Зараз сайт входить до переліку підозрілих.
• http://apostille-perevod.com.ua - інфекція була виявлена 21.08.2011. Зараз сайт не входить до переліку підозрілих.
• http://gribok.at.ua - інфекція була виявлена 27.08.2011. Зараз сайт не входить до переліку підозрілих.