Websecurity - Веб безпека

Минулого місяця, 29.06.2011, вишла нова версія WordPress 3.1.4.

WordPress 3.1.4 це секюріті випуск 3.1 серії. В якому розробники виправили одну уразливість, а також додали деякі секюріті покращення.

Зокрема виправлена уразливість (насправді їх декілька, але розробники WP позиціонують їх як одну), що дозволяла зловмисному користувачу з правами Editor отримати подальший (навіть адмінський) доступ до сайта. Це SQL Injection уразливості в адмінській панелі.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://galait.dp.ua - інфекція була виявлена 25.06.2011. Зараз сайт входить до переліку підозрілих.
• http://uafilters.com.ua - інфекція була виявлена 11.06.2011. Зараз сайт не входить до переліку підозрілих.
• http://nom.pl.ua - інфекція була виявлена 27.06.2011. Зараз сайт входить до переліку підозрілих.
• http://monolitgroup.com.ua - інфекція була виявлена 19.05.2011. Зараз сайт не входить до переліку підозрілих.
• http://zarabotoc.at.ua - інфекція була виявлена 17.06.2011. Зараз сайт не входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфікований сайт nom.pl.ua також хостить в себе Укртелеком.

Виявлена можливість використання зворотнього шляху у каталогах в PHP.

Уразливі версії: PHP 5.3.

Зворотний шлях у каталогах при завантаженні файлів RFC 1867.

• File path injection vulnerability in PHP (деталі)

29.07.2010

У липні, 01.07.2010, я знайшов SQL Injection та Redirector уразливості на проекті http://pearl-ua.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

11.07.2011

SQL Injection:

http://pearl-ua.com.ua/c.php?id=1%20and%20version()=5

Redirector:

http://pearl-ua.com.ua/c.php?id=1&url=http://websecurity.com.ua

Якщо перша уразливість вже виправлена, то друга до сих пір не виправлена.

В своїй статті XSS атаки через заголовок User-Agent я детально розповів про методи Cross-Site Scripting атак через HTTP заголовок User-Agent. Як я вже зазначав в статті, існують як reflected XSS, так і persistent XSS через User-Agent.

Обидва види XSS через заголовок User-Agent (UA) я неодноразово зустрічав на різних веб сайтах. Persistent XSS уразливості через UA зокрема можливі в будь-яких системах, що зберігають в логах інформацію про User-Agent (таких як банерні системи, рахівники та інші). З такими дірками я стикався, зокрема на e-commerce сайтах.

Reflected XSS уразливості через UA зустрічаються частіше ніж persistent XSS. Їх я знаходив на різних сайтах та веб додатках. Зокрема в Adobe ColdFusion в повідомленні про помилку - атака можлива як на скрипти веб сайтів, що виводять повідомлення про помилку, так і на подібні скрипти в самому ColdFusion.

У випадку вразливих веб дотатків, всі сайти, що їх використовують, стають вразливими до даної атаки. Наприклад, у випадку Adobe ColdFusion серед сайтів, що його використовують (що були вразливі до XSS атаки), є www.visualcomplexity.com та www.sec.ru.

Також уразливими є Cetera CMS і всі сайти на цьому движку, а також сайт about42.nl.

За повідомленням hackzona.com.ua, хакери повідомили про злом сайту MasterСard.

Хакерське угруповання ibomhacktivist заявило про взлом інтернет-порталу міжнародної платіжної системи MasterCard, повідомляє Twitter-блог, що ймовірно, належить учасникам хакерської групи. У вівторок деякий час сайт MasterCard був недоступний.

Раніше я вже писав про уразливості на сайтах MasterCard і Visa, тому даний інцидент не викликає здвивування .

За повідомленням www.xakep.ru, російська поліція почала блокувати доступ до сайтів без постанови суду.

Новий закон “Про поліцію” дає поліцейським можливість блокувати доступ до “сумнівних” сайтів, не чекаючи постанови суду. Доказом цього стало блокування декількох піратських сайтів, що пропонували скачувати новинки кінопрокату.

За повідомленням habrahabr.ru, виявлений троян, що використовує обчислювальні потужності ПК для генерації Bitcoin.

Автор блога на Хабрахабр, заразив свій комп’ютер трояном Trojan.Win32.Powp.rdf (по класифікації ЛК). Після очищення комп’ютера від трояна, він вирішив на останок дослідити екземпляр даного трояна. Що він зробив, як і потрібно, у віртуальному середовищі. Й він виявив, що цей троян використовує обчислювальні потужності комп’ютера жертви для генерації Bitcoin.

Тобто він використовує обчислувальні потужності інфікованих ПК для заробітку коштів розробнику трояна. При цьому створюючі ботнет з таких троянів. Це перший випадок використання ботнетів для безпосереднього заробітку коштів (а не здачі ботнета в аренду для проведення спам розсилок чи DDoS атак).

Продовжуючи розпочату традицію, після попереднього відео про DLL Hijacking eксплоіт для Firefox, пропоную нове відео на веб секюріті тематику. Цього разу відео про DLL Hijacking eксплоіт для Windows Live Email (поштовий клієнт). Рекомендую подивитися всім хто цікавиться цією темою.

Metasploit DLL Hijacking Exploit - Windows Live Email

В даному відео ролику демонструється використання експлоіта (зробленого в Metasploit Framework) для DLL Hijacking уразливості в Windows Live Email - дана програма є приємником Outlook Express та Windows Mail. Причому атака відбувається частково через IE. Експлоіт дозволяє проводити віддалене виконання коду в даному почтовому клієнті.

Атака відбувається при відвідуванні спеціально створеної веб сторінки (що експлуатує дану уразливість). Коли в браузері Internet Explorer відвідується спеціальний ресурс через який відбувається атака на Windows Live Email. Рекомендую подивитися дане відео для розуміння векторів атак на поштові клієнти.

В даній добірці уразливості в веб додатках:

• Vulnerabilities in Comcast DOCSIS 3.0 Business Gateways (SMCD3G-CCR) (деталі)
• SQL Injection in LightNEasy (деталі)
• Vulnerability in HTC Peep: Twitter Credentials Disclosure (деталі)
• Information disclosure in LightNEasy (деталі)
• Lotus Domino Server diiop getEnvironmentString Remote Code Execution Vulnerability (деталі)
• LFI in LightNEasy (деталі)
• Lotus Domino Server diiop Client Request Operation Remote Code Execution Vulnerability (деталі)
• Path disclosure in LightNEasy (деталі)
• IBM Lotus Domino SMTP Multiple Filename Arguments Remote Code Execution Vulnerability (деталі)
• Path disclousure in Nibbleblog (деталі)

27.07.2010

У липні, 01.07.2010, я знайшов SQL Injection уразливість на проекті http://bestmaster.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

30.06.2011

SQL Injection:

http://bestmaster.com.ua/index.php?content_id=-1%20or%20version()%3E4

Дані уразливості досі не виправили.

Виявлена CSRF уразливість в IBM WebSphere.

Уразливі версії: IBM WebSphere 7.0.

Міжсайтова підміна запитів в консолі адміністрування.

• IBM WebSphere Application Server Cross-Site Request Forgery (деталі)