Websecurity - Веб безпека

Продовжуючи розпочату традицію, після попереднього відео про переповнення буфера в Adobe Flash Player, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

MS13-008/CVE-2012-4792 Win7-IE8-EMET NoSpray

В даному відео ролику демонструється віддалене виконання коду в Internet Explorer 8 під Windows 7. Проведення атаки на дану уразливість через Internet Explorer дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

В статті Проблеми з витоками персональних даних в Україні я писав, що в Україні багато проблем з захистом персональних даних громадян і держава не докладає достатньо зусиль для боротьби з витокам персональних даних. Ні законодавство в цій сфері не є досконалим, ні Державна служба України з питань захисту персональних даних не працює ефективно (вона більше б’є байдики, ніж захищає дані громадян).

Я неодноразово знаходив випадки витоків персональних даних в Уанеті. Як витік бази даних сайта solor.da-kyiv.gov.ua, в якій містилися персональні дані. Так і уразливості на сайтах, зокрема українських сайтах (під час комерційних та соціальних аудитів безпеки), що дозволяють отримати дані користувачів. І ось черговий випадок.

Позавчора, 22.05.2014, я отримав листа від Юлії Тимошенко (всього прийшло два листи мені й моїй матері). Це штаб “Батьківщини” розсилає листи “від Юлі”, де вона закликає проголосувати за неї на виборах президента. Ну вислали листи, які проблеми, агітують таким чином. Але вони вислали іменні листи.

Тобто була злита БД з особистими даними деяких громадян, такими як ПІБ та адреса. Щоб ВО “Батьківщина” могла надіслати іменні листи. Після цього я знайшов в Інтернеті підтвердження, що не тільки в Києві, але й в інших містах України були розіслані такі іменні листи. Мій аналіз показав, що це база даних пенсійного фонду. Тобто ПФУ незаконно злив свою базу даних “Батьківщині”, щоб громадянка Тимошенко (яка навіть не є держслужбовцем) розіслала свої листи. І з такими та іншими витоками персональних даних потрібно боротися.

Продовжуючи розпочату традицію, після попереднього відео про атаку на OpenSSL, пропоную нове відео на веб секюріті тематику. Цього разу відео про переповнення буфера в Adobe Flash Player. Рекомендую подивитися всім хто цікавиться цією темою.

Adobe Flash Player Shader Buffer Overflow (APSB14-13 CVE-2014-0515) Metasploit Demo

В даному відео ролику демонструється використання експлоіта для проведення атаки на Buffer Overflow уразливість в Adobe Flash Player 13.0. Це свіжа уразливість в Flash Player, яка призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі браузера IE10) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на веб браузери.

Продовжуючи розпочату традицію, після попереднього відео про атаки на інтерфейс користувача браузера, пропоную нове відео на веб секюріті тематику. Цього разу відео про атаку на OpenSSL. Рекомендую подивитися всім хто цікавиться цією темою.

OpenSSL CVE-2014-0160 (Heartbleed)

В даному відео ролику демонструється атака на OpenSSL через Heartbleed уразливість. Використання даної уразливості в OpenSSL дозволяє нападнику отримати секретний ключ шифрування на веб сервері і розшифрувати SSL трафік.

Атака відбувається при відвідуванні в браузері HTTPS сервера, що використовує OpenSSL (а таких серверів сотні мільйонів - OpenSSL дуже поширений в Інтернеті). Рекомендую подивитися дане відео для розуміння векторів атак на SSL.

Продовжуючи розпочату традицію, після попереднього відео про 0day уразливість в Mozilla Firefox, пропоную нове відео на веб секюріті тематику. Цього разу відео про атаки на інтерфейс користувача браузера. Рекомендую подивитися всім хто цікавиться цією темою.

HITB2013AMS D2T2 Rosario Valotta - Abusing Browser User Interfaces for Fun and Profit

Торік на конференції Hack In The Box (HITB2013) в Амстердамі відбувся виступ Rosario Valotta. В своєму виступі він розповів про атаки на інтерфейс користувача браузера. Коли використовуючи соціальну інженерію та особливості UI браузерів можна проводити атаки на користувачів.

Розаріо розповів про різні аспекти таких атак в різних популярних браузерах. Рекомендую подивитися дане відео для розуміння сучасних загроз в Інтернеті.

В Україні вже давно мають місце проблеми з витоками персональних даних. Про це я писав на протязі багатьох років і кожен українець, хто отримував дзвінки чи смски рекламного характеру (по стаціонарному чи мобільному телефону), стикався з цим. Витоки емайл адрес з розсиланням спаму також трапляються регулярно.

В тому числі я писав про витоки баз даних персональних даних українців. Як то база телефонних номерів Укртелекому, що з початку 2000-х продається на дисках на Радіоринку, Петровці та інших місцях продажу піратських дисків, і витік даних з бази “Служба 109″ Укртелекому на їхньому сайті. А також витоки інформації на різних сайтах - як я зазначав, такі витоки допускають ПриватБанк та деякі інші компанії.

Таким чином вже друге десятиліття в Україні має місце проблема з захистом персональних даних громадян. І поки що вона не вирішується. Незважаючи на те, що в 2011 році була створена Державна служби України з питань захисту персональних даних.

Про уразливості на сайті цієї служби zpd.gov.ua я вже писав. Вони не слідкують за безпекою власного сайту (який може бути взломаним і можуть бути вкрадені персональні дані, що на ньому зберігаються), ігнорують мої повідомлення про уразливості і не виправляють їх. Як і не займаються безпосередньо своєю роботою - захистом персональних даних. Що добре видно зі всіх цих кричущих випадків витоків персональних даних, якими переповнений Уанет і на які вони закривають очі.

Тобто ця служба лише зроблена для відводу очей, щоб зробити вигляд, що влада бореться з порушеннями в сфері персональних даних, але насправді служба нічого не робить. І скоріше за все за всі ці роки вона лише проїдала державні кошти без жодної користі для держави. Ось яскравий приклад роботи цієї служби.

В 2012 році відбувся витік бази даних сайта solor.da-kyiv.gov.ua, в якій містилися персональні дані. А в Уанеті окрім навмисних витоків трапляються і взломи сайтів з викраденням персональних даних (які в подальшому можуть бути розміщені в Інтернеті). Так ця служба не відреагувала на даний інцидент, навіть після мого листа з повідомленням про цей випадок. Їм байдуже, що відбуваються витоки персональних даних українців, їм аби фінансування виділялося, а там хоч трава не рости.

Враховуючи, що в останній час ведуться розмови про люстрацію, то я раджу обов’язково люструвати Державну служби України з питань захисту персональних даних. Усю службу: від керівництва до останнього працівника. Щоб вони несли відповідальність за марне проїдання державних коштів і не виконання своїх обов’язків.

P.S.

Після написання цієї статті трапився інцидент з передвиборчими витоками персональних даних.

В презентації An Anatomy of a SQL Injection Attack, Imperva розповідає про анатомію SQL Injection атак: які бувають SQL ін’єкції, наскільки вони поширені, як проводяться атаки на SQLi уразливості та як їм протидіяти.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Microsoft Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про 0day уразливість в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

Mozilla Firefox 0day remote code execution

В даному відео ролику демонструється віддалене виконання коду в Mozilla Firefox. Використовується експлоіт для проведення атаки на 0day уразливість в Firefox при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Adobe Flash Player, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2012-1889 - Microsoft XML Core Services Vulnerability Metasploit Demo

В даному відео ролику демонструється віддалене виконання коду в Internet Explorer версій 6 і 7. Використовується експлоіт для уразливості в Microsoft XML Core Services - компоненті ОС Windows, що використовується IE. Проведення атаки на дану уразливість через Internet Explorer дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про 0day уразливість в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Adobe Flash Player. Рекомендую подивитися всім хто цікавиться цією темою.

Flash Exploit CVE-2012-0754

В даному відео ролику демонструється використання експлоіта для проведення атаки на уразливість в Adobe Flash Player 11.1. Який призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі браузера IE6) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на веб браузери.