Websecurity - Веб безпека

Через Flash можна проводити різноманітні атаки, зокрема Cross-Site Scripting та Content Spoofing атаки. В 2010 році в статті Content Spoofing атаки: Link Injection та Text Injection та в 2012 році в статті Content Spoofing атаки: Content Injection та Site Injection я розповідав про різні CS атаки, що я досліджував останні 5 років, частина з яких стосувалася флеша.

Зараз наведу перелік можливих атак на користувачів та відвідувачів сайтів через флеш плагін, що я розробив ще у грудні 2009 року.

• Remote Flash Inclusion - як на www.banner.kiev.ua.
• Remote Flash Injection - як на search.ua.
• Cross-Site Scripting - XSS уразливості в різних флешках, через Flash Inclusion або Flash Injection та через завантаження swf-файлів (в FCKeditor, CKEditor та інших аплоадерах).
• Link Injection - в банерах та різних флешках, зокрема tagcloud.swf (WP-Cumulus).
• Text Injection - в банерах, капчах та різних флешках, зокрема tagcloud.swf (WP-Cumulus).
• Remote Audio Inclusion - зокрема в аудіо плеєри.
• Remote Video Inclusion - зокрема в відео плеєри.
• Remote Image Inclusion - зокрема в відео плеєри.
• Remote XML Inclusion - зокрема в аудіо та відео плеєри.
• Denial of Service - через DoS уразливості у флеш-плагіні.
• Remote Code Execution - через уразливості у флеш-плагіні.
• User tracking - через флеш кукіси (класи SharedObject та Cookie).
• Redirection - через Flash Inclusion або Flash Injection та через розміщення флешек з редиректорами, про що я розповідав в статті Редиректори через Flash.
• Malware spreading та phishing - через XSS або редиректори.

Атаку для включення аудіо, відео та зображень я назвав одним терміном Content Injection. А Remote XML Inclusion може використовуватися як для Content Injection, так і для Site Injection. Про що я написав у вищезгаданій статті.

Так що Flash-плагін у браузері, що наявний в 99% користувачів Інтернет (серед настільних комп’ютерів, серед мобільних пристроїв інша статистика), може бути використаний для багатьох атак.

Продовжуючи розпочату традицію, після попереднього відео про Insufficient Process Validation уразливість в Приват24, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Adobe Flash Player. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2012-1535 Adobe Flash Player Vulnerability Metasploit Demo

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Adobe Flash Player 11.3. В Metasploit створюється і запускається експлоіт, який призводить до віддаленого виконання коду в браузері з Flash плагіном (показано на прикладі браузера IE9) при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в браузері з флеш плагіном спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Mozilla Firefox, пропоную нове відео на веб секюріті тематику. Цього разу відео про Insufficient Process Validation уразливість в Приват24. Рекомендую подивитися всім хто цікавиться цією темою.

Раніше я писав про уразливість в Приват24 для Android та iOS. Нещодавно, 22.09.2013, я зробив відео для цієї уразливості (на прикладі свого Android-плантшета, для iOS дірка аналогічна, що я перевірив на своєму iOS-девайсі), яке виклав на YouTube.

В даному відео ролику демонструється використання уразливості в Privat24, яка дозволяє отримати доступ до акаунтів користувачів без введення OTP та викрасти їх гроші.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

CVE-2011-2371 Mozilla Firefox Array.reduceRight() Integer Overflow

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Mozilla Firefox 3.6.17 і 4.0. В Metasploit створюється і запускається експлоіт, який призводить до віддаленого виконання коду в Firefox при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи розпочату традицію, після попереднього відео про BREACH проти HTTPS, пропоную нове відео на веб секюріті тематику. Цього разу відео про виконання коду в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

MS13-009 Microsoft Internet Explorer SLayoutRun UAF Metasploit Demo

В даному відео ролику демонструється використання Metasploit Framework для проведення атаки на уразливість в Internet Explorer 8 (CVE-2013-0025). В Metasploit створюється і запускається експлоіт для IE, який призводить до віддаленого виконання коду в Internet Explorer 8 при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в IE спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• CRIME (security exploit)
• Cyberwarfare
• Cyber-collection
• Industrial espionage
• Information warfare

В документі File Download Injection розповідається про FDI атаку. Про включення файлів для скачування з інших сайтів.

Дана атака проводиться через уразливості, що дозволяють включати серверні заголовки, такі як HTTP Response Splitting (WASC-25) та HTTP Response Smuggling (WASC-27). І вона призначена не для проведення класичних атак, як то XSS чи редирекції, а для збереження зловмисних файлів (таких як bat-файли) на локальних комп’ютерах з метою виконання довільних команд на комп’ютерах користувачів.

В статті розглянуті наступні аспекти FDI:

1. Короткий опис.
2. Технічні деталі.
3. Опис атаки.
4. Content-Length заголовки.
5. Reflected і Stored File Download Injection варіанти.
6. Приклади використання FDI.
7. Захист від FDI.

File Download Injection являє собою цікавий вектор атаки на HTTP Response Splitting та HTTP Response Smuggling уразливості у веб додатках.

В презентації Mapping Application Security to Business Value, компанія Redspin розповідає про прив’язку безпеки додатків до цінності бізнесу. І наводить роздуми та поради для ІТ і бізнес менеджерів.

Продовжуючи розпочату традицію, після попереднього відео про CRIME проти HTTPS, пропоную нове відео на веб секюріті тематику. Цього разу відео про BREACH проти HTTPS. Рекомендую подивитися всім хто цікавиться цією темою.

A BREACH beyond CRIME - Partial preview

Раніше я наводив відео стосовно BEAST і CRIME атак, а в даному відео ролику розповідається про використання BREACH атаки. Browser Reconnaissance & Exfiltration via Adaptive Compression of Hypertext (BREACH) - це методика та інструментарій для атаки на SSL/TLS протоколи, що дозволяє організувати перехоплення переданого в рамках зашифрованого з’єднання сесійних кукісів та секретних токенів.

У відео показане використання BREACH для отримання секретного токена. Даний інструментарій дешифрує переданий в рамках https-з’єднання CSRF-токен. Рекомендую подивитися дане відео для розуміння векторів атак через уразливість в SSL/TLS протоколах.

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Firefox, пропоную нове відео на веб секюріті тематику. Цього разу відео про CRIME проти HTTPS. Рекомендую подивитися всім хто цікавиться цією темою.

CRIME vs startups

В даному відео ролику розповідається про використання CRIME-атаки. Compression Ratio Info-leak Made Easy (CRIME) - це інструментарій для атаки на SSL/TLS та SPDY протоколи, що дозволяє організувати перехоплення переданого в рамках зашифрованого з’єднання Cookie з параметрами аутентифікації користувацької сесії.

У відео показане використання CRIME для отримання кукісів на популярних сайтах. Даний інструментарій дешифрує переданий в рамках https-з’єднання сесійний кукіс. Рекомендую подивитися дане відео для розуміння векторів атак через уразливість в SSL/TLS та SPDY протоколах.