Websecurity - Веб безпека

Продовжуючи розпочату традицію, після попереднього відео про атаку через ActiveX в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про Address Bar Spoofing в Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

Google Chrome Location Bar Spoofing

В ролику демонструється Address Bar Spoofing уразливість в браузері Google Chrome. Дана уразливість дозволяє підробити URL в адресному рядку браузера (що може бути використано для проведення фішинг атак). Спочатку в адресному рядку відображається одна адреса, а потім у вікні завантажується інший сайт (при збереженні адреси попереднього сайта).

Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

В цьому місяці в журналі “PenTest Regular” була опублікована моя стаття (на англійській мові). В квітневому номері журналу PenTest Regular 04/2012, що вийшов 02.04.2012, опублікована стаття “Просунуті методи обходу блокування на веб сайтах” (Advanced Methods of Bypassing of Blockings at Web Sites).

В ній розповідається про такі методи блокування, що використовуються на сайтах, як капчі та блокування по IP. Та розповідається про просунуті методи їх обходу.

Дані методи блокування використовуються для секюріті цілей, тому вони повинні бути надійними. Але не всі ці методи є надійними (хоча існують такі стереотипи) й існують методи їх обходу, про що я розповів у своїй статті. Тому веб розробники і адміни веб сайтів повинні знати про це.

Дана стаття базується на двох моїх минулорічних статтях: Обхід капч та блокування на сайтах та Обхід блокування по IP на сайтах. Вона вміщує як матеріали цих статей, так і нову інформацію. В тому числі містить скріншоти для наглядної демонстрації методу обходу блокування на сайтах.

В себе на сайті я виклав тізер журналу, в якому наводиться фрагмент моєї статті.

P.S.

Виклав на сайті повну версію статті Advanced Methods of Bypassing of Blockings at Web Sites.

В презентації Introducing Malware Script Detector, d0ubl3_h3lix розповідає про MSD. Цей додаток до Firefox (який сумісний зі всіма браузерами на движку Gecko), може використовуватися для захисту від XSS атак.

Він є аналогом таких аддонів до Firefox як NoScript та XSS warning. Окрім версії MSD реалізованої як плагін до додатку GreaseMonkey, є також самостійна версія (для встановлення на веб сайтах).

Продовжуючи розпочату традицію, після попереднього відео про Address Bar Spoofing в Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про атаку через ActiveX в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

Internet Explorer Vulnerability

В ролику демонструється сюжет з ТБ, в якому розповідається про одну уразливість в Microsoft Internet Explorer, що пов’язана з ActiveX. До якої були вразливі всі версії IE на той час. Про що Microsoft попередила своїх користувачів. А також надаються поради, щодо відключення підтримки ActiveX компонентів в браузері.

Атака відбувається при відвідуванні в Internet Explorer спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Secure input and output handling
• Attack surface
• Hacker (computer security)
• Vulnerability management
• Information assurance

Серед різних партнерських програм (партнерок), що існують в Інтернеті, окрім легальних існують також нелегальні. Це партнерки, що платять за розміщення шкідливого коду.

Вперше я дізнався про таку партнерку ще в 2005 році з новин. Власники партнерки платили адмінам сайтів за розміщення iframe з шкідливим кодом і зараження відвідувачів їхніх сайтів. І з тих пір в онлайн ЗМІ періодично з’являються повідомлення про виявлення нових подібних “шкідливих партнерок”.

Як я зазначав торік в своїй доповіді Системи виявлення інфікованих веб сайтів на конференції UISG та ISACA Kiev Chapter #6, розміщення вірусів адмінами на своїх сайтах, через участь у таких партнерках, є одним з методів поширення шкідливого ПЗ в Інтернеті. Але цей метод менш поширений, порівняно зі створенням вірусних сайтів, на які заманюються відвідувачі через спам (емайл спам, спам на різних сайтах і форумах та використання black SEO методів), та порівняно зі взломом легітимних сайтів і розміщенням вірусів на них.

Тим не менш подібні партнерки існують й увесь час з’являються нові. Прикладом такої партнерки є сайт iframepay.com, що я виявив у лютому під час своїх секюріті досліджень.

Можете ознаймотися з інформацією від Safe Browsing для iframepay.com. За інформацією Google цей сайт зараз є інфікованим і він інфікував 891 сайт (це та кількість учасників цієї партнерки, що була виявлена Гуглом).

Зазначу, що один з інфікований сайтів market-ua.org.ua, про який я писав раніше, був інфікований саме через розміщення коду з цієї партнерської програми. Явно адмін цього сайта свідомо розмістив код iframepay.com, щоб заробити грошей на цій партнерці (знаючи або не знаючи про поширення вірусів через неї).

Домен iframepay.com редиректить на www.web-rom.ru. Схоже, що цей домен належить даному рекламному агентству і саме www.web-rom.ru є головним доменом партнерки. Причому на офіційному сайті партнерки не зазначається про “вірусну спрямованість”, на відміну від тих вірусних партнерок, які про це заявляють публічно. Тому можна стверджувати про наявність двох типів шкідливих партнерок: публічні й непублічні. Й до другого типу може належати будь-яка партнерська програма, власники якої почали розміщувати віруси, або чий сайт був взломаний (тому що будь-яку банерну систему можуть взломати і розмістити через неї шкідливий код).

Ця партнерка працює вже декілька років (з 2008), Не виключено, що вони починали як звичайна партнерка по розміщеню реклами, а з часом почали підсовувати і віруси. Тим самим підставляючи всіх учасників своєї системи, що розмістили її код на своїх сайтах. Які через це опиняються серед числа інфікованих сайтів в serp Гугла та Яндекса й блокуються в цих пошукових системах.

Продовжуючи розпочату традицію, після попереднього відео про Blended threat експлоіт для Google Chrome, пропоную нове відео на веб секюріті тематику. Цього разу відео про Address Bar Spoofing в Internet Explorer. Рекомендую подивитися всім хто цікавиться цією темою.

Internet Explorer Address Bar Spoofing Vulnerability

В ролику демонструється Address Bar Spoofing уразливість в Microsoft Internet Explorer. Вразливі IE6, IE7 та IE8. Дана уразливість дозволяє підробити URL в адресному рядку браузера (що може бути використано для проведення фішинг атак). Спочатку в адресному рядку відображається одна адреса, а потім у вікні завантажується інший сайт.

Атака відбувається при відвідуванні в Internet Explorer спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

В презентації Understanding the web browser threat, Stefan Frei, Thomas Duebendorfer, Gunter Ollmann і Martin May розповідають про небезпеку веб браузерів. Вони наводять результати свого дослідження загроз атак на Інтернет користувачів через уразливості в браузерах та плагінах до них.

В своїх дослідженнях інфікованих сайтів в Уанеті, в своїй торішній доповіді на конференції та статті “Веб-антивіруси. Системи виявлення інфікованих сайтів” я також піднімав це питання з позиції веб сайтів.

Продовжуючи розпочату традицію, після попереднього відео про викрадення користувацьких даних в Google Chrome, пропоную нове відео на веб секюріті тематику. Цього разу відео знову стосується Chrome - це blended threat експлоіт для Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

Chrome “blended threat” exploit demo (Chrome auto-download + UI race condition + DLL load hijacking)

Blended threat (змішана загроза) - це суміш декількох уразливостей в одному експлоіті, коли для проведення атаки використовується поєднання декількох уразливостей. І в даному відео ролику демонструється саме blended threat експлоіт.

В ролику демонструється такий функціонал Google Chrome, як auto-download, що може використовуватися для атак. Зокрема в 2008 році я вже писав про Automatic File Download уразливості в браузерах (зокрема в Chrome). Також використовується UI race condition атака, хоча як видно з відео, це більше схоже на соціальну інженерію (і як змусити жертву клікнути на спливаючий елемент внизу сторінки, це вже справа нападника). А також використовується DLL Hijacking уразливість в uTorrent.

Всі ці три техніки атаки поєднанні в один експлоіт, щоб через уразливість в Chrome використати уразливість в uTorrent. І виконати код в Google Chrome (в даному випадку запускається calc.exe). Атака відбувається при відвідуванні в браузері сайта, що містить код експлоіту, при цьому користувач повинен мати встановлений uTorrent (або інший додаток уразливий до DLL Hijacking, на який потрібно налаштувати експлоіт). Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

В цьому місяці в журналі “PenTest Extra” була опублікована моя стаття (на англійській мові). В лютневому номері журналу PenTest Extra 02/2012, що вийшов 15.02.2012, опублікована стаття “CSRF атаки на мережеві пристрої” (CSRF Attacks on Network Devices).

В ній розповідається про проведення CSRF атак на різні мережеві пристрої, такі як ADSL модеми, роутери, Wi-Fi точки доступа та інші девайси. Наявність CSRF уразливостей в даних пристроях дозволяє віддаленому нападнику взяти їх під повний контроль. І атакувати користувачів, що використовують дані пристрої (зокрема для доступу в Інтернет).

Такі уразливості в різних мережевий пристроях я неодноразово знаходив та писав про них в новинах. Зокрема про Cross-Site Request Forgery уразливості в Iskra Callisto 821+, D-Link DSL-500T ADSL Router та D-Link DAP 1150. І на прикладі уразливостей в Callisto 821+ та DAP 1150 я показав можливість проведення віддалених атак на мережеві пристрої в своїй статті.

Я розглянув два приклади атак на мережеві пристрої: в першій атаці нападник робить віддалений CSRF запит для відкриття доступу до адмінки і входить до адмінки, щоб змінити конфігурацію пристрою, а в другій атаці нападник робить всі дії віддалено через CSRF запити. Всі приклади CSRF експлоітів для статті були зроблені використовуючи мій Генератор CSRF.

В себе на сайті я виклав тізер журналу, в якому наводиться фрагмент моєї статті.

P.S.

Виклав на сайті повну версію статті CSRF attacks on network devices.