Websecurity - Веб безпека

07.07.2010

У червні, 30.06.2010, я знайшов SQL Injection уразливість на проекті http://www.lismash.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

05.05.2011

SQL Injection:

http://www.lismash.com.ua/index.php?content_id=-1%20or%20version()%3E4

Дана уразливість досі не виправлена.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://illusion.mk.ua - інфекція була виявлена 19.02.2011. Зараз сайт не входить до переліку підозрілих.
• http://arsmt.com.ua - інфекція була виявлена 22.02.2011. Зараз сайт не входить до переліку підозрілих.
• http://upk.kiev.ua - інфекція була виявлена 04.05.2011. Зараз сайт не входить до переліку підозрілих.
• http://press-udarnyi.com.ua - інфекція була виявлена 11.02.2011. Зараз сайт не входить до переліку підозрілих.
• http://ortlyceum.kiev.ua - інфекція була виявлена 30.03.2011. Зараз сайт не входить до переліку підозрілих.

05.03.2011

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх двадцяти записах Безпека сайтів про безпеку.

Ось нова добірка уразливих секюріті сайтів:

• sbu.gov.ua та dsszzi.gov.ua
• hackzona.ru
• acsk.uss.gov.ua

Всім спецслужбам та хакерським проектам слід приділяти більше уваги безпеці власних веб сайтів.

05.05.2011

Ще одна добірка уразливих секюріті сайтів:

• bezpeka.com, www.itland.com.ua, hacker-pro.net
• packetstormsecurity.org
• www.barracudacentral.org
• security-ua.com

ІБ компаніям і секюріті та хакерським веб проектам варто більше слідкувати за безпекою власних сайтів.

В даній добірці уразливості в веб додатках:

• MailEnable SMTP Service Two Denial of Service Vulnerabilities (деталі)
• XSS vulnerability in phpmyadmin (деталі)
• Apache Archiva CSRF Vulnerability (деталі)
• IBM Proventia Network Mail Security System - CRLF Injection vulnerability (деталі)
• IBM Proventia Mail Security System - Insecure Direct Object Reference vulnerability (деталі)
• Link Protect 1.2 XSS Vulnerabilities (деталі)
• SQL Injection in Elxis CMS (деталі)
• IBM Proventia Network Mail Security System - Cross-Site Request Forgery vulnerabilities (деталі)
• IBM Proventia Mail Security System - Multiple persistent and reflected XSS vulnerabilities (деталі)
• SQL Injection in Elxis CMS (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Ajax Category Dropdown та BuddyPress. Для котрих з’явилися експлоіти. Ajax Category Dropdown - це плагін для створення випадаючого списку категорій, BuddyPress - це плагін для створення соціальної мережі на сайті на WP.

• Multiple SQL Injection in Ajax Category Dropdown wordpress plugin (деталі)
• XSS in Ajax Category Dropdown wordpress plugin (деталі)
• Path disclosure in BuddyPress WordPress plugin (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В березні окрім Chrome 10 та Internet Explorer 9 також вийшов Mozilla Firefox 4. Нова версія браузера Firefox вийшла 22.03.2011.

Якщо між виходом Firefox 1.0 та 2.0 пройшло 2 роки, між виходом Firefox 2.0 та 3.0 трохи менше двох років, то між виходом Firefox 3.0 та 4.0 майже три роки. При тому, що Mozilla випустила в 2009 і 2010 роках проміжні версії 3.5 і 3.6 браузера.

Головні нововведення та можливості Firefox 4:

• Інтеграція браузерного движка Gecko 2.0 і нового JavaScript-движка JagerMonkey.
• Переміщений рядок вкладок у верхню частину і додані інструменти для угруповання вкладок.
• Забезпечення підтримки специфікації WebGL і видеокодека VP8.
• Інтеграція системи синхронізації настроювань Firefox Sync.
• Реалізація нової техніки написання доповнень JetPack.

Нові можливі браузера для забезпечення безпеки:

• Додано підтримку HTTP-заголовка Do Not Track (”DNT”), що дозволяє інформувати сайти про небажання користувача передавати на збереження інформацію, що фігурує в рамках сесії, у ситуації її використання для відстеження переміщень і переваг користувача.
• Здійснено перехід на поліпшений механізм розподілу пам’яті, що дозволить захиститися від цілого ряду уразливостей, пов’язаних з разіменуванням NULL-вказівників.
• Підтримка технології CSP (Content Security Policy), спрямованої на інтеграцію в web-браузери засобів для захисту від проведення CSRF-атак, організації міжсайтового скриптінга (XSS) і підстановки в сторінки “IFRAME/JavaScript src” блоків.
• Інтегровано технологію ізольованого виконання плагінів. Наприклад, Flash плагін відтепер буде працювати в контексті окремого процесу, не впливаючи на стабільність основного браузера.
• Підтримка протоколу HSTS (HTTP Strict Transport Security), що дозволяє власникам сайтів настояти на використанні SSL-шифрування.

Також в цій версії Mozilla нарешті виправила CSS History Hack (вони запланували ще в березні 2010 і ось через рік, з виходом Firefox 4, нарешті це зробили).

• Релиз Firefox 4.0. Обзор новшеств (деталі)

Продовжуючи традицію, пропоную вашій увазі добірку цікавих записів на тему веб безпеки.

В своєму записі U-dominion.com XSS Worm, RSnake розповідає про XSS хробака на сайті U-dominion.com. Про XSS Worm я вже писав раніше і наводив чимало прикладів XSS хробаків на різних сайтах. Це ще один подібний приклад, який наочно демонструє небезпеку Cross-Site Scripting уразливостей.

В своєму записі Quicky Firefox DoS, RSnake навів приклад швидкої DoS атаки на браузер Firefox. DoS уразливості є дуже поширеними в Mozilla Firefox та інших браузерах (я наводив багато різних DoS в браузерах) і це черговий приклад подібних дірок.

В своєму записі Vulnerabilities in *McAfee.com, YGN Ethical Hacker Group навели приклади численних дірок на сайтах McAfee. А це відома секюріті компанія, яка не повинна мати дірок на веб сайтах, особливо враховуючи те, що вона сама видала своїм сайтам секюріті логотипи McAfee SECURE, в яких заявлено що вони не вразливі .

Я вже згадував про відео ролик даної групи, де вони демонструють в роботі XSS дірки на сайтах McAfee.

Подібно до уразливостей в багатьох темах для WordPress, Drupal, ExpressionEngine та Joomla, також уразливою є тема Magazeen для WordPress та Dotclear.

У березні, 05.03.2011, я знайшов Cross-Site Scripting, Full path disclosure, Abuse of Functionality та Denial of Service уразливості в темі Magazeen для WordPress та Dotclear. Так само як раніше згадані теми для WordPress та інших движків, так само інші теми для Dotclear можуть бути уразливими (при використанні TimThumb).

Cross-Site Scripting, Full path disclosure, Abuse of Functionality та Denial of Service уразливості в даних темах такі ж самі як і в раніше згаданих темах для WP, Drupal, ExpressionEngine та Joomla. Тому що дані шаблоні містять TimThumb, про уразливості в якому я вже писав.

Для WordPress:

XSS:

http://site/wp-content/themes/magazeen/timthumb.php?src=%3Cbody%20onload=alert(document.cookie)%3E

Для Dotclear:

XSS:

http://site/themes/magazeen%5Bdc2%5D/timthumb.php?src=%3Cbody%20onload=alert(document.cookie)%3E

Обидві версії даної теми уразливі до XSS, Full path disclosure, Abuse of Functionality та DoS.

Уразливі версії теми Magazeen (1.0 та наступні) для WP і DC з TimThumb 1.24 та попередніми версіями.

06.07.2010

У червні, 30.06.2010, я знайшов SQL Injection уразливість на проекті http://8line.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

29.04.2011

SQL Injection:

http://8line.com.ua/index.php?content_id=-1%20or%20version()=5

Дана уразливість досі не виправлена.

Раніше я вже згадував про вихід Firefox 2.0. А от про вихід Mozilla Firefox 3 та його наступних релізів 3.5 і 3.6 я раніше не згадував (лише писав про деякі з 3.x версій). І от зараз я надолужу це і розповім про всі версії та підверсії Firefox починаючи з 3.0.

Дати виходу версій Mozilla Firefox:

Firefox 3.0 - 17.06.2008
Firefox 3.0.1
Firefox 3.0.2
Firefox 3.0.3
Firefox 3.0.4
Firefox 3.0.5
Firefox 3.0.6
Firefox 3.0.7
Firefox 3.0.8
Firefox 3.0.9
Firefox 3.0.10
Firefox 3.0.11
Firefox 3.0.12
Firefox 3.0.13
Firefox 3.0.14
Firefox 3.0.15
Firefox 3.0.16
Firefox 3.0.17
Firefox 3.0.18
Firefox 3.0.19
Firefox 3.5 - 30.06.2009
Firefox 3.5.1
Firefox 3.5.2
Firefox 3.5.3
Firefox 3.5.4
Firefox 3.5.5
Firefox 3.5.6
Firefox 3.5.7
Firefox 3.5.8
Firefox 3.5.9
Firefox 3.5.10
Firefox 3.5.11
Firefox 3.5.12
Firefox 3.5.13
Firefox 3.5.14
Firefox 3.5.15
Firefox 3.5.16
Firefox 3.5.17
Firefox 3.5.18
Firefox 3.5.19
Firefox 3.6 - 21.01.2010
Firefox 3.6.1
Firefox 3.6.2
Firefox 3.6.3
Firefox 3.6.4
Firefox 3.6.5
Firefox 3.6.6
Firefox 3.6.7
Firefox 3.6.8
Firefox 3.6.9
Firefox 3.6.10
Firefox 3.6.11
Firefox 3.6.12
Firefox 3.6.13
Firefox 3.6.14
Firefox 3.6.15
Firefox 3.6.16
Firefox 3.6.17

Кожна наступна версія браузера, окрім виправлення багів, також покращувала рівень його безпеки. І окрім безпосереднього виправлення дірок в Firefox, в нових версіях додався новий секюріті функціонал. Зокрема в Firefox 3.0 до антифішинг фільтру (що був ще в версії 2.0) додали антималваре фільтр.