Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.amnu.gov.ua (хакером The.Bilen) - 10.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://chasovrada.gov.ua (хакером AL.MaX HaCkEr) - 16.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.minagro.gov.ua (хакером ENO) - 24.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.fokus-pokus.info (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.fokus-pokus.com (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.sharpei.com.ua (хакером uykusuz001)
• http://www.britishcouncil.net.ua (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.britishcouncil.kiev.ua (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.britishcouncil.od.ua (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://zoorinok.com.ua (хакером endless)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Add Multiple Users, Sexy Add Template та Download Monitor. Для котрих з’явилися експлоіти. Add Multiple Users - це плагін для додання багатьох користувачів, Sexy Add Template - це плагін для розширення тем движка, Download Monitor - це плагін для ведення статистики скачувань файлів.

• WordPress Add Multiple Users Cross Site Request Forgery (деталі)
• WordPress Sexy Add Template CSRF Shell Upload (деталі)
• Wordpress Download Monitor - Download Page Cross-Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

25.07.2012

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку (1-20), 21 та 22.

Ось нова добірка уразливих секюріті сайтів:

• iss.incom.ua
• security-testlab.com
• zpd.gov.ua

Всім секюріті фірмам та державним органам з питань безпеки слід приділяти більше уваги безпеці власних веб сайтів.

05.10.2012

Ще одна добірка уразливих секюріті сайтів:

• www.8.uisgcon.org
• iss.incom.ua та it-consulting.incom.ua
• www.cisco.com

Всім секюріті фірмам та організаторам конференцій на тему безпеки слід приділяти більше уваги безпеці власних веб сайтів.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://ideatrio.com.ua - інфекція була виявлена 09.09.2012. Зараз сайт не входить до переліку підозрілих.
• http://politologs.org.ua - інфекція була виявлена 09.07.2012. Зараз сайт не входить до переліку підозрілих.
• http://kdc.kiev.ua - інфекція була виявлена 30.09.2012. Зараз сайт входить до переліку підозрілих.
• http://dana-kiev.com.ua - інфекція була виявлена 16.09.2012. Зараз сайт не входить до переліку підозрілих.
• http://waldorf.in.ua - інфекція була виявлена 07.09.2012. Зараз сайт не входить до переліку підозрілих.

У вересні була виявлена та оприлюднена Cross-Site Request Forgery уразливість в WordPress. Яка стосується останньої версії WP. Вона була знайдена Akastep.

Раніше я вже писав про XSS, Redirector та CSRF уразливості в WordPress.

CSRF:

Дана уразливість в /wp-admin/index.php дозволяє відправити міжсайтовий запит залогіненому адміну та змінити RSS лінку на дошці оголошень.

• WordPress 3.4.2 Cross Site Request Forgery (деталі)

Уразливі WordPress 3.4.2 та попередні версії.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Wp-TopBar, Notices Ticker та Sociable. Для котрих з’явилися експлоіти. Wp-TopBar - це плагін для створення панелей на сторінках сайта, Notices Ticker - це плагін для створення приміток, Sociable - це плагін для додання соціальних функцій на сайт.

• WordPress Wp-TopBar 4.02 CSRF / XSS (деталі)
• WordPress Notices CSRF / XSS (деталі)
• WordPress Sociable Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.krasn-rada.gov.ua (хакерами з KalimndorTeam) - 13.06.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.molodogvardiysk-rada.gov.ua (хакерами з KalimndorTeam) - 13.06.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.krasnoarmiyska-rada.gov.ua (хакерами з KalimndorTeam) - 13.06.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://nshvets.com (хакерами з Black HaT Group)
• http://alexdesign.dn.ua (хакером siamak.black) - 03.09.2012, зараз сайт вже виправлений адмінами

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Krea3AllMedias, Tierra’s Audio Playlist Manager та MF Gig Calendar. Для котрих з’явилися експлоіти. Krea3AllMedias - це плагін для роботи з медіа, Tierra’s Audio Playlist Manager - це плагін для управління аудіо плейлістами, MF Gig Calendar - це плагін для розміщення календаря.

• WordPress Krea3AllMedias SQL Injection (деталі)
• WordPress Tierra Audio Path Disclosure (деталі)
• WordPress MF Gig Calendar 0.9.2 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В цьому місяці, 29 вересня, в Києві відбудеться Всеукраїнська конференція розробників та користувачів вільних програм.

Даний захід - це щорічна конференція, яка присвячена розробці та практичному застосуванню рішень на базі вільного програмного забезпечення. Це буде вже одинадцята конференція. Про цей захід та про перелік доповідей ви можете детальніше дізнатися на офіційному сайті конференції.

Я планую прийняти участь в конференції та виступити з доповіддю “Проблеми безпеки відкритих веб додатків”. Тому всі бажаючі можуть відвідати мою та інші доповіді на конференції.

P.S.

Розмістив доповідь в себе на сайті:

Проблемы безопасности открытых веб приложений

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://connected.dn.ua - інфекція була виявлена 20.07.2012. Зараз сайт входить до переліку підозрілих.
• http://sanatoriitruskavca.com - інфекція була виявлена 27.06.2012. Зараз сайт не входить до переліку підозрілих.
• http://olenchinkova.com - інфекція була виявлена 26.08.2012. Зараз сайт не входить до переліку підозрілих.
• http://ukrwest.com.ua - інфекція була виявлена 04.07.2012. Зараз сайт не входить до переліку підозрілих.
• http://ukrzahid.com.ua - інфекція була виявлена 01.07.2012. Зараз сайт не входить до переліку підозрілих.