Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Powerhouse Museum Collection Image Grid, oQey-Gallery та Feature Slideshow. Для котрих з’явилися експлоіти. Powerhouse Museum Collection Image Grid - це плагін для включення прев’юшек та описів об’єктів з колекції Powerhouse Museum, oQey-Gallery - це плагін для створення фото галерей і слайдшоу, Feature Slideshow - це плагін для створення слайдшоу з вибраних записів або сторінок.

• WordPress Powerhouse Museum Collection Image Grid 0.9.1.1 Cross Site Scripting (деталі)
• WordPress oQey-Gallery 0.2 Cross Site Scripting (деталі)
• WordPress Feature Slideshow 1.0.6-beta Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://radikal.pp.ua - інфекція була виявлена 05.11.2010. Зараз сайт не входить до переліку підозрілих.
• http://vhodv.com - інфекція була виявлена 31.01.2011. Зараз сайт не входить до переліку підозрілих.
• http://wedness.cv.ua - інфекція була виявлена 23.11.2010. Зараз сайт входить до переліку підозрілих.
• http://zikave.at.ua - інфекція була виявлена 27.12.2010. Зараз сайт не входить до переліку підозрілих.
• http://goodparents.com.ua - інфекція була виявлена 12.11.2010. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Featured Post With Thumbnail, RSS Feed Reader For WordPress та Recip.ly Plugin. Для котрих з’явилися експлоіти. WP Featured Post With Thumbnail - це плагін для виведення рекомендованих записів, RSS Feed Reader For WordPress - це плагін для виведення RSS фідів у вигляді HTML, Recip.ly Plugin - це плагін для роботи з рецептами.

• WordPress WP Featured Post With Thumbnail 3.0 Cross Site Scripting (деталі)
• WordPress RSS Feed Reader For WordPress 0.1 Cross Site Scripting (деталі)
• WordPress Recip.ly Plugin 1.1.7 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WordPress Uploader, x7Host’s Videox7 UGC та WP Publication Archive. Для котрих з’явилися експлоіти. WordPress Uploader - це плагін для завантаження файлів, x7Host’s Videox7 UGC - це плагін для розміщення відео на сайті, WP Publication Archive - це плагін для завантаження та управління публікаціями.

• WordPress Uploader 1.0.0 Cross Site Scripting (деталі)
• WordPress x7Host’s Videox7 UGC Plugin 2.5.3.2 Cross Site Scripting (деталі)
• WordPress WP Publication Archive 2.0.1 Local File Inclusion (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи традицію, пропоную вашій увазі добірку цікавих записів на тему веб безпеки.

В своєму записі XSS Evades IP Filtering, RSnake розповідає про використання XSS для обходу обмежень по IP. З однієї сторони для простих речей вистачить і CSRF, але для більш складних речей потрібно використовувати CSRF через XSS атаку (і про такі речі я вже розповідав). До того ж, через XSS уразливості можна обходити і захисти проти CSRF-атак, на що я наголошую вже на протязі багатьох років.

В своєму записі Schmoilito’s Way Is Hacking Via Local Apps, RSnake розповідає про використання MSXML для локальних атак, про які повідомив йому Schmoilito. Причому MSXML XHR може використовуватися не тільки для атаки на інтранет (на локальну мережу), але й для доступу до локальних файлів. Тому що Майкрософтський функціонал MSXML, що працює в браузері IE, дозволяє читати локальні файли.

В своєму записі MalaRIA Malicious RIA Proxy, RSnake розповідає про MalaRIA - Malicious RIA Proxy. Цей додаток розроблений Erlend Oftedal і являє собою проксі, що може використовуватися для атаки на сайти через Flash та Silverlight. Він може використовуватися для доступу з одного сайту до захищенного контенту на іншому сайті через флеш чи сільверлайт на машині клієнта.

Оновив сьогодні тестування з веб безпеки, в якому ви можете перевірити рівень своїх знань з веб безпеки.

В даній версії додав 10 нових запитань по восьомому розділу мого Посібника з безпеки. Тепер у тесті 65 запитань на web security тематику, які базуються на восьми розділах мого посібника.

Також сьогодні оновив друге тестування з веб безпеки, в якому ви можете перевірити рівень своїх хакерських знань. В даній версії додав 5 нових запитань.

Так що вдалого вам тестування .

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.tk-kiev.com.ua (хакером Down Twon HaCkEr) - 14.01.2011, зараз сайт вже виправлений адмінами
• http://www.lie-detector.biz (хакерами з Albanian Hackers Group) - 20.01.2011, зараз сайт вже виправлений адмінами
• http://shop.zdravnik.com.ua (хакером blood black)
• http://15workdaily.com (хакером Dr.TaiGaR)
• http://blog.arm-eko.rv.ua (хакерами з AHC)

Зазначу, що взломаний сайт 15workdaily.com - це e-commerce сайт з логотипами Verified by VISA, MasterCard SecureCode та VeriSign Secured. Про діряві сайти, що ховаються за секюріті логотипами я вже писав в статті Справжня безпека сайтів із секюріті логотипами, а це наочний приклад хакнутого подібного сайта.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://itgalaxy.com.ua - інфекція була виявлена 07.01.2011. Зараз сайт входить до переліку підозрілих.
• http://rapnews.pp.ua - інфекція була виявлена 17.12.2010. Зараз сайт не входить до переліку підозрілих.
• http://uniupper.com - інфекція була виявлена 24.01.2011. Зараз сайт входить до переліку підозрілих.
• http://dictators.ucoz.ua - інфекція була виявлена 31.12.2010. Зараз сайт не входить до переліку підозрілих.
• http://gurman-prom.dp.ua - інфекція була виявлена 16.01.2011. Зараз сайт входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфіковані сайти itgalaxy.com.ua, uniupper.com і gurman-prom.dp.ua також хостить в себе Укртелеком.

На цей рік я запланував ряд оновлень на своєму веб проекті. Частину з яких я реалізував вже в січні (й продовжу активно займатися цим в подальшому).

Це новий тест на знання веб безпеки Тестування: уразливості та атаки, що був презентований нещодавно, та новий розділ Посібника з безпеки. Також найближчим часом будуть оновленні обидва тести.

Окрім цього зверну вашу увагу на наступну зміну в моїй дільяності. З 2005 року (і особливо з моменту відкриття сайту в 2006 році) я активно займався соціальним секюріті аудитом - повідомляв адмінів сайтів про уразливості на їхніх проектах. Про особливості соціального секюріті аудита я писав в статті Просунуте відповідальне оприлюднення уразливостей. Розробникам веб додатків, браузерів та інших додатків я також часто повідомляв про дірки, але найбільше займався саме сайтами.

На цю діяльність я витратив чимало часу за останні шість років, але ефективність її невелика. І з кожном роком все більше часу витрачалося в пусту (на повідомлення невдячним адмінам сайтів, які ігнорують мої повідомлення і продовжують забивати на безпеку, як вони це робили і раніше). Тому з цього року я більше не займаюся цією діяльністю і буду знаходити та повідомляти лише про дірки у веб додатках. Виключенням можуть бути лише секюріті та e-commerce сайти, а також найбільш відомі веб проекти.

В січні я продовжив публікувати інформацію про сайти, на яких я знайшов уразливості раніше. Після того як я завершу публікацію цих дірок, а також тих, що були пропущені, я зосереджуся на дірках у веб додатках, веб серверах та інших додатках. Тому в цьому році буде багато інформації саме стосовно даної категорії уразливостей.

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19 та 20.

Ось нова добірка уразливих секюріті сайтів:

• varta.net.ua
• scb-ua.com
• www.bezpeka-service.com.ua

Всім секюріті компаніям слід приділяти більше уваги безпеці власних веб сайтів.