Websecurity - Веб безпека

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему web security (статті з Вікіпедії):

• Cross-site printing
• Cyber spying
• IDN homograph attack
• Referrer spoofing
• Remote File Inclusion

Продовжуючи розпочату традицію, після попереднього відео про DNS Rebinding атаки, пропоную новий відео секюріті мануал. Цього разу відео про використання SQLPwnage для атак на MSSQL. Рекомендую подивитися всім хто цікавиться цією темою.

Fast-Track: SQLPwnage; breaking the 64kb debug barrier

В даному відео ролику розповідається про атаку на Microsoft SQL Sever з використанням інструмента SQLPwnage. Причому атакуючий код розбивається на 9 частин, щоб обійти обмеження в 64 КБ.

Як і в відео про захоплення SQL сервера через SQL ін’єкцію, в даному відео ролику демонструється взлом SQL сервера. Через уразливість в SQL Sever проводиться атака на даний сервер, на якому під системним акаунтом запускаєть шел сервер і в який хакер залогінюється через TightVNC. Рекомендую подивитися дане відео для розуміння векторів атак на SQL Sever.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему web security (статті з Вікіпедії):

• Cookie stuffing
• Cross-site cooking
• Evil twin (wireless networks)
• Ghost Rat
• HTTP header injection

Продовжуючи розпочату традицію, після попереднього відео про виконання довільного коду через phpBB, пропоную новий відео секюріті мануал. Цього разу відео про DNS Rebinding атаки. Рекомендую подивитися всім хто цікавиться цією темою.

DNS Rebinding with Robert RSnake Hansen

В даному відео ролику RSnake розповіє про DNS Rebinding атаки. Про те як працює DNS, як відбувається DNS Rebinding в браузерах, яким чином на це можна вплинути і для яких атак це може бути використано. Рекомендую подивитися дане відео для розуміння DNS Rebinding атак.

В продовження мого дослідження систем для пошуку вірусів на веб сайтах та статті Безпечний пошук, розповів вам про обхід даних систем. Даний метод обходу систем для пошуку вірусів на веб сайтах я придумав декілька днів тому.

Обмірковуючи тему захисту від вірусів на сайтах я виявив, що можливий обхід систем для пошуку вірусів на веб сайтах, зокрема тих, що вбудовані в пошукові системи. Це можливо через використання клоакінга, коли аналізується User Agent, і якщо це пошукова системи, то шкідливий код не виводиться, якщо ж браузер - то виводиться. Подібне можна реалізувати в шкідливих скриптах (Perl, PHP та інших), розміщенних на інфікованих сайтах, або на сайтах зловмисників, на які посилаються інші сайти, зокрема в тегах script та iframe.

Зазначу, що використання методики клоакінга я вже зустрічав в шкідливих скриптах при їх дослідженні в останні роки. Зокрема я стикався з перевірками на реферер (подібний підхід може застосовуватися і для User Agent). І дана методика захисту шкідливого коду від систем для пошуку вірусів створює серйозний виклик даним системам.

Даний метод може бути використанний проти більшості зі згаданих систем, якщо вони мають власний User Agent, відмінний від User Agent браузера. Особливо проти систем для пошуку вірусів, що вбудовані в пошуковці, бо боти пошуковців мають відповідні User Agent. Але цей метод не спрацює проти моєї системи WebVDS, тому що вона використовує User Agent браузера і тому виглядає як звичайний браузер користувача.

В своїй презентації Essential PHP Security, Arne Blankerts розповів про основну безпеку PHP. Це доповідь з конференці ZendCon 2009.

Продовжуючи розпочату ще в 2006 році традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему web security (статті з Вікіпедії):

• Browser exploit
• Clickjacking
• Cross-site request forgery
• DNS rebinding
• Directory traversal

Раніше я вже писав про атаки на веб сайти та їх наслідки, які пов’язані з SEO - це атака для блокування сайта в пошукових системах та вплив на ранжування сайта через його уразливості. А зараз розповім про інший аспект також пов’язаний з SEO.

Даний аспект безпеки веб сайтів в контексті SEO полягає в тому, що SEO при дірявому сайті може стати допомогою зловмисникам. І я вже згадував про даний аспект на конференції CodeCamp 2009 (одразу після мого першого виступу під час спілкування зі слухачами моєї доповіді).

В останні роки оптимізація сайтів під пошукові системи активно розвивається, і все більше власників сайтів або самі займаються SEO, або наймають SEO-фахівців для цієї роботи. Тобто з кожним роком (як в Інтернеті, так і в Уанеті) все більше грошей вкладається в SEO, так само як із року в рік все більше грошей вкладається в онлайн рекламу (медійну, контекстну та інші види реклами). При тому, що в безпеку сайтів як і раніше, так і зараз особливо ніхто коштів не вкладає (особливо в Уанеті), на що я неодноразово наголошував. Тому безпека сайтів в Уанеті в середньому є низькою, що добре видно з моїх досліджень Уанета, і добірок похаканих та інфікованих сайтів, які я регулярно публікую.

І дана ситуація може призвести, і для деяких сайтів вже призводить (зокрема для вищезгаданих інфікованих сайтів) до того, що їхня оптимізація для пошукових систем стає в нагоді для зловмиників. Які використовують дані веб сайти для своєї вигоди, наприклад, розміщуючи на них malware (віруси) та інфікуючи всіх відвідувачів даних сайтів. І при цьому вони не вкладають коштів в “рекламування” інфікованих сайтів, щоб більше отримати заражень користувачів, а це за них роблять власники даних сайтів. І чим більш популярним чи оптимізованим є ресурс, тим більше його відвідає користувачів і заразить свої компьютери вірусами, і тим більшу вигоду отримають зловмисники з даного ресурсу.

Таким чином власник сайта, що не слідкує за його безпекою, вкладаючи гроші в SEO і/або рекламу свого сайта (якщо його сайт вже інфікований чи буде інфікований), лише створить умови для зараження вірусами більшої кількості користувачів. І лише допоможе (за власні кошти) зловмисникам отримати більшу вигоду.

Одним з навайжливіших SEO показників сайта є його ранжування в результатах пошуку. І через дірки на сайті можна впилавати на ранжування сайта в результатах пошуку в пошукових системах.

Як я розповідав в статті Атака для блокування сайта в пошукових системах, через дірки на сайті, він може бути заблокований в пошукових системах (зокрема в Google, Yahoo та Яндекс). Коли сайт буде взломаний і на ньому буде розміщений шкідливий код, після чого пошукові системи помітять даний сайт як інфікований в результатах пошуку.

Деякі з пошуковців повністю заблокують перехід зі своїх сторінок на такі сайти, деякі дозволяють перехід, але всі вони попереджають своїх користувачів про небезпеку відвідання таких сайтів. Так що користувачі наврядчи перейдуть на дані інфіковані сайти. Тому власники сайтів можуть вкласти великі гроші в SEO, а в результаті на їх сайт ніхто не буде переходити (незважаючи на високі позиції в топі пошукових систем).

Також через дірки на сайті можна вплинути на його ранжування (зокрема в Гуглі). Це стало можливо з недавніх пір, коли швидкодія сайта - стала фактором ранжування для Google. Поки що це стосується лише користувачів з США, але з часом Гугл перенесе даний фактор ранжування і на інші країни.

Таким чином через уразливості на сайті, зокрема через DoS дірки зловмисники можуть вплинути на ранжування сайта Гуглом. Тому що Гугл почав враховувати фактор швидкодії сайта при ранжуванні сайтів в результатах пошуку. І чим повільніше відповідає сайт (зокрема для ботів Гугла), тим менший показник він отримає для даного фактора ранжування. Так що атакуючи сайт деякий час через DoS дірку (або провевши тривалу DDoS атаку на сайт), можна понизити його позиції в результатах пошуку Гугла. Тому власникам веб сайтів варто ще більше замислитися про безпеку своїх сайтів.

Продовжуючи розпочату традицію, після попереднього відео про захоплення Linux-сервера через SQL Injection, пропоную новий відео секюріті мануал. Цього разу відео про виконання довільного коду через phpBB. Рекомендую подивитися всім хто цікавиться цією темою.

Injecting Malicious Code via phpBB

В даному відео ролику демонструється Code Execution атака на phpBB. Коли при доступі до адмінки, що можна зробити через різні дірки в движку, можна виконувати довільний код (довільні системні команди) через phpBB за допомогою спеціального методу, розробленого автором даного відео.

Для цього в адмінці виконується спеціальний SQL запит, що дозволяє в движку виконувати довільні системні команди. Після чого автор виконує декілька команд, в тому числі додає новий акаунт адміністратора в систему. Рекомендую подивитися дане відео для розуміння Code Execution атак.