Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.peremoga.gov.ua (Black SEO) - 27.11.2009 - похаканий державний сайт, про що я вже розповідав детально, зараз я вже виправив сайт
• http://www.220v.net.ua (хакерами з Albanian Cyber Warriors) - 24.04.2010, зараз сайт вже виправлений адмінами
• http://kvs.gov.ua (хакером Nitrojen26 з Ashiyane Digital Secyrity Team) - похаканий державний сайт - взломаний розділ сайта, причому окрім Nitrojen26 сайт був взломаний і іншими хакерами
• http://av.ved.bz (хакером PURGATORY-VX) - 19.04.2010, зараз сайт вже виправлений адмінами
• http://rnl.lviv.ua (хакером GHoST61) - 23.04.2010, зараз сайт вже виправлений адмінами

Продовжуючи займатися захисним хаком (protecting hack), в рамках моєї концепції хакерських війн про яку я розповідав раніше, після минулорічного відхакання сайта laguna.net.ua (який був взломаний іноземний хакером), я захистив новий сайт. Цього разу я захистив державний сайт http://www.peremoga.gov.ua.

Після того як 01.11.2009 я виявив, що він дірявий (але тоді зловмисної активності на сайті я не побачив) і враховуючи те, що найближчим часом відбудеться 65 річниця перемоги в Великій Вітчизняній Війні, я нещодавно ще раз відвідав даний сайт. І виявив, що black SEO окупували даний сайт і почали розміщувати на сайті свої лінки та заробляли на цьому гроші.

При цьому, що цікаво, вони не напряму розміщували лінки, як це за звичай роблять black SEO (з того що я раніше бачив на взломаних сайтах), а розміщували їх через SAPE. Тобто через веб брокера (через php-скрипт) розміщували лінки на взломаному державному сайті. Цікаво як брокер допустив gov-сайт в свою систему і нічого при цьому не запідозрив. В даному випадку вони самі отримували прибуток (тому можуть вважатися спільниками), тому й не звертали жодної уваги на державний статус даного сайта.

Як я виявив, сайт www.peremoga.gov.ua був взломаний багато разів. Всього я виявив на сервері 12 файлів з шелами та іншими інструментами, якими користувалися зловмисники (різні black SEO та нехороші хакери в період з 2007 по 2010). Але я виправив дану ситуацію і прибрав дані нехороші лінки. Як і згадані шел-скрипти. Тому стан сайта зараз відновлений, але його адмінам потрібно серйозно зайнятися безпекою даного сайта.

Як я вже розповідав, я прийняв участь у проекті Vulnerable Sites Database. І до раніше відправлених їм дірявих сайтів, я вже відправив нові.

Нещодавно я відправив в БД даного проекту 10 сайтів. З них 5 старих дірявих сайтів, про які я вже писав в новинах раніше, та 5 нових сайтів, де я знайшов уразливості.

Це діряві gov-сайти: www.library.kiama.nsw.gov.au, www.doe.gov.my, www.visualarts.qld.gov.au, blog.educacao.mg.gov.br, organismos.chubut.gov.ar. І найближчим часом напишу про нові сайти.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://www.umvs-kherson.gov.ua (як і uit.umvs-kherson.gov.ua) - інфікований державний сайт - інфекція була виявлена 16.04.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 10 разів протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://emarket.ua - інфекція була виявлена 30.03.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://www.dovidka.lutsk.ua - інфекція була виявлена 24.04.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://papovs.at.ua - інфекція була виявлена 24.04.2010. Зараз сайт не входить до переліку підозрілих.
• http://orthodox.lutsk.ua - інфекція була виявлена 24.04.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 5 разів протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.

Зазначу, що я вже повідомляв про уразливість на http://uit.umvs-kherson.gov.ua.

В цьому місяці відкрився секюріті проект vs-db.info - Vulnerable Sites Database. Метою даного проекту є оприлюднення уразливостей на веб сайтах (Full disclosure). При цьому автори надають анонси уразливостей всім бажаючим безпосередньо в себе на сайті, а деталі доступні у вигляді Бази Даних (в різних форматах). З травня дана БД буде доступна лише зареєстрованих користувачам та участникам проекту.

Зазначу, що я прийняв участь у даному проекті й почав надсилати в їхню БД знайдені мною уразливі сайти. Я вже відправив їм 11 дірявих сайтів, про які я писав в новинах раніше, в тому числі 10 gov-сайтів.

А також 4 нових дірявих gov-сайтів: www.umvspz.gov.ua, archivesoutside.records.nsw.gov.au, enewsletter.catawbacountync.gov, www.homologacao.php.ba.gov.br. І найближчим часом напишу про нові сайти.

Вчора вийшла нова версія програми SQL Shell v.1.0.3. В новій версії:

• Додана підтримка усіх відповідей з помилками.
• Додана опція порта по замовчуванню для хоста.
• Покращена обробка пробілів в значенні вразливого скрипта.

SQL Shell є консольним інтерфейсом для проведення SQL Injection атак.

Скачати: SQL_Shell_v.1.0.3.rar.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.marosvita.org.ua (хакером B0T_25 з Azdefacers)
• http://shela.org.ua (хакером Delp0rt3r)
• http://androgen.com.ua (хакерами з UAH-Crew)
• http://mediator.uz.ua (хакером fatalflex07) - причому спочатку сайт був взломаний 22.03.2010 fatalflex07, а вже 06.04.2010 взломаний TeXaS. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті
• http://avtonews.cv.ua (хакером TeXaS)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://poligrafist.com.ua - інфекція була виявлена 13.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://atur.com.ua - інфекція була виявлена 19.04.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://host1gb.kiev.ua - інфекція була виявлена 08.04.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 8 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://sss.1gb.ua - інфекція була виявлена 19.03.2010. Зараз сайт не входить до переліку підозрілих.
• http://tandem.dp.ua - інфекція була виявлена 19.04.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфіковані сайти poligrafist.com.ua та tandem.dp.ua також хостить в себе Укртелеком.

Як я вже розповідав стосовно систем пошуку вірусів на веб сайтах, існують як окремі системи, так і системи пошуку вірусів вбудовані в пошукові системи. Розглянемо дані системи.

Серед пошуковців функцію захисту користувачів системи від небезпечних сайтів мають наступні:

• Google (власна технологія).
• Yahoo (технологія SearchScan від McAfee).
• Яндекс (технологія від Sophos та власна технологія).

Дані пошукові системи - Google, Yahoo та Яндекс (що додав дану функцію в 2009 році) - відмічують шкідливі сайти в результатах пошуку, якщо система пошуку вірусів в даних пошукових системах виявила шкідливий код на веб сайтах, що виводяться в результатах пошуку. Таким чином пошуковці турбуються про користувачів власних систем.

Результатами впровадження даних систем є:

• Збільшення безпеки користувачів даних пошукових систем. Ефективність різних систем різна, що видно з мого тестування систем пошуку вірусів на веб сайтах, але рівень безпеки користувачів всіх зазначених систем збільшується.
• Блокування сайтів в пошукових системах, якщо вони були інфіковані. Що буде турбувати власників сайтів з точки зору SEO та отримання відвідувачів з даних пошукових систем.

Так що пошукові системи та їхні користувачі безумовно виграють від наявності захисту від шкідливих сайтів в рамках пошукових систем. Питання лише в тому, хто наступний з пошуковців запропонує подібну функцію і головне, щоб захист був ефективний.

Торік в Києві пройшла конференція CodeCamp 2009, на якій я виступив з доповідями. А цього року проводиться конференція CodeCamp 2010, яка проходить в Києві на цих вихідних, 17 та 18 квітня.

CodeCamp - це дводенна всеукраїнська конференція на тему сучасних технологій розробки програмного забезпечення та інформаційної безпеки. Детально про CodeCamp 2010 ви можете дізнатися на офіційному сайті.

На CodeCamp 2010 у неділю будуть представлені дві доповіді на тему безпеки:

• SaaS для моніторингу доступності, навантаження та безпеки інтернет серверів.
• Комплексные системы защиты информации: принципы построения и управления.

Успішного виступу даним доповідачам та всім доповідачам на конференції .