Websecurity - Веб безпека

Існує такий термін “Гугл хакінг” (Google hacking) - це використання пошукових систем (в першу чергу Гугла, але можна й інших систем) для пошуку уразливостей на сайтах. Давно планую розповісти вам про дану методику пошуку дірок, і раніше я вже торкався цієї теми (зокрема в записі MOSEB-20 Bonus: Google dorks strikes back), і планую ще додатково розповісти про неї.

В цій статті я розповім про методику пошуку уразливостей типу Full path disclosure та Information disclosure.

Дану методику я назвав “Warning” Гугл хакінг (”Warning” Google hacking), тому що використовується слово “Warning” для пошуку повідомлень про помилки на сайті. Які Гугл заніс у свою базу. І за допомогою спеціальних пошукових запитів можна знайти Full path disclosure та Information disclosure уразливості на різноманітних сайтах в Інтернеті.

До “варнінг” пошукових запитів відносяться наступні дорки (dorks):

Warning: home

Warning: fetch_config

Warning: mysql_num_rows

Warning: mysql_query

Warning: mysql_select_db

Warning: mysql_fetch_row

Warning: mysql_connect

Warning: mysql_close

Warning: mysql_fetch_array

Warning: mysql_result

Warning: mysql

Warning: fopen

Warning: mkdir

Warning: Permission denied

Warning: include_once

Warning: include

Warning: main

Це об’ємний, але не вичерпний перелік “warning” запитів до пошукових систем (можливі й інші запити), котрі дозволяють шукати Full path disclosure та Information disclosure дірки на веб сайтах.

На bugtraq була опублікована цікава стаття “Віддалене керування ізольованими системами”. В ній розповідається про вирішення задачі віддаленого керуваннями комп’ютером.

Подібні задачі періодично виникають перед адміністраторами, наприклад, коли потрібно отримати можливість виконати деякі команди на робочому ПК, знаходячись при цьому дома. У випадку коли використання стандартних засобів ОС для віддаленого доступу неможливе, як і використання спеціалізованих програм (PC Anywhere, RAdmin та інших), можна розробити власний додаток.

Причому додаток веб орієнтований, що дозволить обійти різні обмеження (в тому числі фаєрвола). В статті пропонується рішення даної задачі та наводиться вихідний код програми (серверної та клієнтської частини) для віддаленого керування комп’ютером.

• Удаленное управление изолированными системами (деталі)

В записі Підводне каміння в інтернет рекламі або чим небезпечний XSS я вже згадував про те, що опублікував статтю в лютневому номері журнала Хакер Спец. В статті “Шаманские дела / Реклама с подвохом” я розповів про недоліки безпеки рекламних брокерів (зокрема XSS уразливості).

Деякий час тому редакція журналу розмістила текст номера на сайті. Тому ви можете ознайомитися з моєю статтею на сайті журналу.

Шаманские дела / Реклама с подвохом

Також в цьому номері ви можете прочитати інтерв’ю зі мною .

Жестокая правда / Интервью с аудитором по безопасности

Представляю вам інформацію про одну з сучасних проблем в веб безпеці - редиректори. Раніше я вже торкався цієї теми в новинах. Даною темою я почав цікавитися з початку вересня 2006 року (після ознайомлення зі статтями RSnake за кінець серпня початок вересня про redirection). І з того часу я провів чимало досліджень в цьому напрямку.

Редиректори - це скрипти на веб сайтах, що переадресовують на інші сайти (редиректять). А Redirector уразливості - це уразливості в веб додатках, що відносяться до класу Abuse of Functionality. За звичай дані скрипти використовують для ведення статистики, куди ж (і в якій кількості) переходять користувачі сайту. Тому в більшості випадків в якості параметра для редиректорів використувують адресу сайта, на який має перейти користувач.

Але в останній час даний функціонал став використовуватися зловмисниками (зокрема фішерами) для своїх недобрих справ. Зараз редиректори часто використовують зловмисники для переадресації на фішинг сайти. Тому редиректори - це реальна проблема (якщо вони не захищені від подібного використання), і вони можуть нанести шкоду. Ось чому даними уразливостями, котрими є редиректори (незахищені) потрібно займатися.

Наведу декілька прикладів редиректорів в популярних пошукових системах. Всі наведені лінки на редиректори ведуть на websecurity.com.ua.

Редиректори в пошукових системах:

• Редиректор Google (Гугл вже виправив цю уразливість, додавши захисний механізм, але він обходиться і про це я ще розповім)
• Редиректор Google Maps
• Редиректор Yahoo
• Редиректор Meta (на Меті є чимало інших редиректорів, про що я буду розповідати)
• Редиректор Rambler

Це перша стаття з серії статей про редиректори. З часом я продовжу розповідати вам про редиректори на популярних сайтах (пошукових системах, порталах та інших веб сайтах).

Наприкінці минулого місяця RSnake (XSS Book Preview), Джеремія Гроссман (XSS Attacks book) та Pdp (XSS Attacks Book Preview) повідомили про завершення роботи над книгою про Cross-Site Scripting (про котру я вже згадував). Вони з початку року працювали над цією книгою і тепер вона пішла до друку.

Також автори книги виклали в себе на сайтах архів зі змістом та однією главою книги. Котрі всі бажаючи можуть почитати.

До речі, як нещодавно повідомили RSnake та Джеремія, книга вже надрукована і наявна в онлайн магазинах (зокрема в Amazon).

Cross Site Scripting Attacks: Xss Exploits and Defense - це перша книга про XSS уразливості. Всі хто цікавиться даною темою можуть ознайомитися з цією книгою.

Розповім вам про блог Джеремії Гроссмана - відомого експерта з веб безпеки - http://jeremiahgrossman.blogspot.com.

Jeremiah Grossman працює в галузі веб безпеки вже багато років, тому він є досвідченою людиною в цій справі та є визнаним еспертом. Він також є одним із засновників Web Application Security Consortium (WASC). І в своєму блозі Джеремія ділиться власним досвідом та розповідає про останні події в галузі.

Рекомендую почитати даний блог всім, кто цікавиться темою web app security.

Зокрема зверну вашу увагу на опитування спеціалістів з веб безпеки, котрі він регулярно проводить (і в яких я також беру участь). Останній раз я писав про Опитування спеціалістів з Web Application Security (листопад), про інші опитування я ще розповім. До речі, в цьому місяці він проводить новий survey.

Останні п’ять цікавих тем:

• (INSECURE) Magazine Issue 11 (деталі)
• How to check if your WebMail account has been hacked (деталі)
• Rain Forest Puppy breaks his silence (деталі)
• XST sorta Lives! (Bypassing httpOnly) (деталі)
• Top 10 Most Famous Hackers of All Time (деталі)

Продовжуючи розпочату традицію, після попереднього відео про XSS та Session Hijacking, пропоную новий відео секюріті мануал. Цього разу відео про CRLF Injection атаку (від milw0rm.com). Рекомендую подивитися всім хто цікавиться цією темою.

CRLF (Carriage Return and Line Feed) Injection Demonstration

В даному відео ролику розповідається про CRLF ін’єкції (Carriage Return і Line Feed) та використання даних уразливостей на веб сайтах (зокрема для відправки спама). Рекомендую подивитися дане відео для розуміння векторів атаки за допомогою CRLF ін’єкцій та негативних наслідків подібних уразливостей.

Продовжуючи розпочату традицію, після попереднього відео мануала про XSS, пропоную новий відео секюріті мануал. Цього разу відео про Cross Site Scripting атаку з використанням Session Hijacking (від milw0rm.com). Рекомендую подивитися всім хто цікавиться цією темою.

vBulletin XSS Demonstration with Session Hijacking

В даному відео ролику розповідається про Cross Site Scripting уразливості на сайті vBulletin. Та проводиться XSS атака з використанням Session Hijacking (що є поширеною практикою). Рекомендую подивитися дане відео для розуміння векторів атаки за допомогою XSS і Session Hijacking та небезпеки подібних уразливостей.

На сайті flexwiki.novemberain.com опублікований переклад на російську мову статті Flash Player Security з документації до Flex 2.

Рекомендую ознайомитися всім хто займається flash/flex розробкою та цікавиться темою безпеки, і зокрема темою безпеки в Adobe Flash Player (про що я періодично згадую в новинах).

• Безопасность во Flash Player (деталі)

Для тих хто цікавиться темою безпеки в веб додатках і для покращення власних знань з приводу Cross Site Scripting, пропоную новий відео мануал. Перед цим я писав стосовно відео про WMF + SWF експлоіт, а на цей раз відео про XSS, з котрим пропоную ознайомитися.

XSS Injection tutorial by Crimethink

В цьому відео ролику розповідається про Cross Site Scripting уразливості на прикладі активної XSS дірки в одному сайті. Демонструються методи та напрямки XSS атак, зокрема, у випадку активних (постійних) XSS уразливостей на веб сайтах. Саме відео зроблено не дуже якісно, але що вже є, користь від нього буде. Варто подивитися дане відео для розуміння векторів атаки за допомогою XSS та небезпеки подібних уразливостей.