Websecurity - Веб безпека

У липні, я дав інтерв’ю для книги Cyber War in Perspective: Russian Aggression against Ukraine. І 06.12.2015 воно було оприлюднене на сайті НАТО ccdcoe.org.

Дав інтерв’ю Tim Maurer, який написав 9 главу цієї книги, що називається Cyber Proxies and the Crisis in Ukraine. Де я розповів про мою діяльність і про кібер війну Росії проти України. Та про мою громадську ініціативу Українські Кібер Війська, що я створив 09.06.2014.

Cyber War in Perspective: Russian Aggression against Ukraine

Так що кому буде цікаво прочитати інформацію про кібер війну, про мене і УКВ, як тим хто вже читав мої попередні інтерв’ю чи дивився виступи на ТБ, зокрема телепередачу зі мною на каналі Обоз LIVE, так і всім іншим, можете прочитати цю книгу.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки (статті з Вікіпедії):

• Alphanumeric shellcode
• DSploit
• File inclusion vulnerability
• OWASP ZAP
• Reflected DOM Injection

Продовжуючи розпочату традицію, після попереднього відео про проблеми DNS та їх вирішення, пропоную нове відео на секюріті тематику. Цього разу відео про взлом SSL через атаки на синхронізацію часу. Рекомендую подивитися всім хто цікавиться цією темою.

DEF CON 23 - Breaking SSL Using Time Synchronisation Attacks

Влітку на конференції DEFCON 23 відбувся виступ Jose Selvi. В своєму виступі він розповів про синхронізацію часу в різних ОС і про проблеми безпеки пов’язані з цим. В тому числі розповів про атаки на синхронізацію часу в ОС, зокрема на SSL.

Він розповів як за допомогою таких атак взломати SSL з’єднання в цільовій системі. Рекомендую подивитися дане відео для розуміння поточного стану безпеки в Інтернет.

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: російська військова техніка і БТР в Криму для направлення на Донбас 14.10.2015 - УКВ записали переміщення військової техніки в Криму.

Українські Кібер Війська: колони російської військової техніки і БТР в Криму 02.11.2015 - УКВ записали переміщення військової техніки в Криму.

Українські Кібер Війська: терористи купують коштовності в Луганську - УКВ записали ювелірний магазин в Луганську.

Українські Кібер Війська: колона російської військової техніки в Криму 26.12.2015 - УКВ записали переміщення військової техніки в Криму.

Українські Кібер Війська: російська військова техніка з Криму в РФ на Донбас 17.09.2015 - УКВ записали переміщення військової техніки в Криму.

В статті Inter-Protocol Communication розповідається про міжпротокольну комунікацію. Це можливість двох різних протоколів обмінюватися командами і даними. Що створює нові вектори атак. Зокрема можливості для Mail Command Injection (цей клас уразливостей раніше називався CRLF Injection) для включення команд в поштові та інші протоколи.

В даній статті розглянуті наступні аспекти міжпротокольної комунікації в контексті безпеки:

• Що таке міжпротокольна комунікація.
• Одно та двонаправлена міжпротокольна комунікація.
• Приклади обміну командами між HTTP та IMAP3.
• Проведення Cross-Site Scripting атак.
• Проведення Fingerprinting атак.
• Проведення Brute Force атак.
• Підсумки та подальші дослідження.

Мені доводилося знаходити Mail Command Injection уразливості на веб сайтах, що дозволяли включати SMTP, IMAP та POP команди, і таким чином проводити атаки за допомогою міжпротокольної комунікації. Так що ця тема є достатньо актуальною.

В 2010 році я писав про витік IP адреси в електронних листах в статті Визначення IP автора е-майл листа. Тоді я розповів про заголовки X-Originating-IP та X-Sender-IP. Розповім про нові веб додатки і сервіси електронної пошти, що додають ці заголовки в емайл листи.

В електронних листах окрім IP відправника можна в заголовках знайти багато цікавого. Наприклад сервер, що відправив пошту, і всі проміжні хости, аж до сервера отримувача. Що дозволить перевірити чи не є підробленим емайл відправника, щоб його електронна пошта відповідала серверу, з якого надійшов лист. Але найбільш важливим є саме IP адреса відправника.

Визначити IP автора емайл листа можна через заголовок X-Originating-IP або X-Sender-IP. Вперше я отримав лист з заголовком X-Originating-IP ще в 2004 році. Так що практика використання даних заголовків існує вже давно.

В першій статті я писав, що ці заголовки вставляють в листи поштові сервери IceWarp Web Mail та Visual Online SMTP gateway і деякі поштові скрипти, що використовуються на деяких сайтах. Цього року я виявив ще сервер Zimbra.

X-Originating-IP: [xxx.xxx.xxx.xxx]
X-Mailer: Zimbra 7.2.4_GA_2900 (ZimbraWebClient - FF3.0 (Win)/7.2.4_GA_2900)

Як і в 2010 році, моє цьогорічне дослідження показало, що один з даних заголовків встановлюється при відправці пошти через наступні сервери: mail.ru (inbox.ru, bk.ru, list.ru та всі їхні домени), ukr.net, bigmir.net та i.ua. Також ще виявив сервер ukrtelecom.ua. Але більше не висилають сервери inet.ua, hotmail.com і gmail.com.

Так що сховати свій IP при використанні даних поштових серверів не вийде. Лише використання проксі (якщо це можливо для конкретного сервера) може допомогти. З іншої сторони вищезгадані поштові сервери призводять до витоку приватних даних, що не може сподобатися шанувальникам приватності. І вони повинні врахувати цей аспект при використанні даних серверів.

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: російська військова техніка з Криму в РФ на Донбас 24.08.2015 - УКВ записали переміщення військової техніки в Криму.

Українські Кібер Війська: військова техніка терористів з БТР в Горлівці за 12.08.2015 - УКВ записали переміщення військової техніки в Горлівці.

Українські Кібер Війська: російська військова техніка в Керчі за 30.08.2015 - УКВ записали переміщення військової техніки в Криму.

Українські Кібер Війська: російська військова техніка в Криму для направлення на Донбас 11.09.2015 - УКВ записали переміщення військової техніки в Криму.

Українські Кібер Війська: банк терористів в Краснодоні за 25.09.2015 - УКВ записали банк ЛНР в Краснодоні.

Про взломи державних сайтів я пишу з 2006 року і постійно наводжу випадки атак (взломів і DDoS) та інфікувань gov.ua сайтів. Ось мій останній звіт про атаки на державні сайти України за 14 років. Але іноді трапляються масові взломи державних сайтів, коли на одному сервері проведені дефейси десятків державних ресурсів.

• Масовий взлом сайтів на сервері Vizor - 12 держ. сайтів
• Масовий взлом сайтів на сервері OIAC - 37 держ. сайтів
• П’ятий масовий взлом сайтів на сервері Freehost - 14 держ. сайтів
• Другий масовий взлом сайтів на сервері Укртелекому - 30 держ. сайтів
• Третій масовий взлом сайтів на сервері Укртелекому - 21 держ. сайт

Таким чином окрім безпеки окремих gov.ua сайтів та проблем з українськими державними сайтами на закордонних хостингах, потрібно дбати про безпеку серверів, де розміщені такі сайти, особливо коли багато сайтів на одному сервері. Також потрібно дбати про безпеку електронної пошти державних служб.

Виходячи з наведеної мною статистики атак на державні сайти за 2001-2015 роки можна стверджувати, що державні сайти України регулярно взламують (та іноді проводять DDoS атаки), в тому числі під час масових дефейсів. Дана ситуація зі взломами gov.ua сайтів, пов’язана з недостатнім рівнем їх безпеки та безпеки серверів, де вони розміщені. Кожна країна в світі повинна слідкувати за безпекою власних державних сайтів, чого я бажаю й Україні.

В 2010 році я писав про витік IP адреси в електронних листах в статті Визначення IP автора е-майл листа. Тоді я розповів про заголовки X-Originating-IP та X-Sender-IP (найближчим часом оприлюдню нову статтю про веб додатки і сервіси електронної пошти, що додають ці заголовки в емайли). А зараз розповім про нові витоки інформації через емайл листи.

В електронних листах окрім IP відправника можна в заголовках знайти багато цікавого. Наприклад сервер, що відправив пошту, і всі проміжні хости, аж до сервера отримувача. Що дозволить перевірити чи не є підробленим емайл відправника, щоб його електронна пошта відповідала серверу, з якого надійшов лист.

А також в листах можуть бути Full path disclosure уразливості. Витік повного шляху відбувається через заголовок X-Source-Dir.

Формат заголовка X-Source-Dir може бути наступним:

X-Source-Dir: site:/public_html/bitrix/admin

Заголовок X-Source-Dir автоматично додає функція mail() в PHP. Тому розробники веб додатків мають самі прибирати цей заголовок (наприклад, замість використання цієї функції, використовувати клас phpMailer). В додатках на інших мовах програмування цієї проблеми немає.

Наявність цього заголовку залежить від налаштувань сервера - якщо увімкнене додавання заголовку X-Source-Dir, то він буде додаватися в листи відправленні через функцію mail(), Не всі розробники враховують це, тому на багатьох сайтах з php-додатками, які розсилають пошту, цей заголовок додається.

Ось приклади веб додатків, в листах від яких я зустрічав цей заголовок з FPD уразливістю: Bitrix, WordPress, Xoops Cube.

Також по X-Source-Dir, X-PHP-Originating-Script та інших заголовках в листі можна визначити, що за веб додаток відправляв листа. Це знадобиться для Fingerprinting. Особливо коли на сайті прихована назва веб додатку або шлях його розміщення на ресурсі.

Продовжуючи розпочату традицію, після попереднього відео про практичний захист від DDoS, пропоную нове відео на секюріті тематику. Цього разу відео про проблеми DNS та їх вирішення. Рекомендую подивитися всім хто цікавиться цією темою.

DEF CON 22 Domain Name Problems and Solutions

Торік влітку на конференції DEFCON 22 відбувся виступ Paul Vixie. В своєму виступі він розповів про структуру системи доменних імен та її безпеку, про проблеми DNS та їх вирішення. В тому числі розповів про атаки на DNS і методи захисту від них.

Він розповів стосовно різних аспектів безпеки DNS. Рекомендую подивитися дане відео для розуміння поточного стану безпеки доменних імен.