Websecurity - Веб безпека

Як нещодавно повідомив мені DixonD, на минулому тіжні був взломаний сайт scriptlance.com (на якому він мав акаунт). Даний сайт - це одна з найбільших фріланс-бірж в Інтернеті. За інформацію DixonD, даний сайт було взломано вірогідно китайськими хакерами і в Інтернет було викладено 192000 логінів-паролів участників сайту (для демонстрації справжності взлому). І ясна річ, він знайшов серед них і власний логін й пароль.

Дану проблему адміністрація сайту вирішила шляхом генерації нових паролів і розсилання їх на пошту користувачам, під виглядом планової зміни паролів (що є достатньо типовим явищем в Інтернеті). При цьому ніяких офіційних заяв не пролунало, лише деякий час сайт не працював, виводивши повідомлення про технічні роботи на сайті. Подібні замовчування фактів взлому також є достатньо типовим явищем (як в недавньому випадку з T-Mobile).

Подібні взломи крупних веб проектів періодично трапляються (ясна річ із-за недостатнього рівня безпеки даних проектів). Нещодавно я вже писав про те, що сервери оператора T-Mobile були взломані. І всі подібні випадки наносять шкоду в першу чергу не самому власнику сайта, а його користувачам і клієнтам, особиста інформація яких була скомпрометована.

І особливо це проявляється у тому випадку, коли на акаунтах користувачів сайта були кошти. А саме таке мало місце у випадку біржі scriptlance.com. Невідомо, що сталося з усіма коштами власників акаунтів на даному сайті, цілком можливо, що зловмисники їх використали в особистих цілях (які можуть не збігатися з цілями власників акаунтів). Але враховуючи кількість користувачів scriptlance.com (192000 користувачів), якаунти яких були скомпрометовані, то загальна сума коштів може бути достатньо великою.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.globo.com.ua (хакером M0µ34d)
• http://rock-band.at.ua (хакером banderbas)
• http://goodmusic.com.ua (хакерами DeMuRe та Dr.ViRuS)
• http://www.tk.kiev.ua (хакером uLTRaTurK) - 06.06.2009, зараз сайт вже виправлений адмінами
• http://webuse.com.ua (хакером TheWayEnd) - похакана директорія сайта

В своєму записі Firefox Header Redirection JavaScript Execution, RSnake ще в березні 2007 розповів про знайдену ним можливість виконання JavaScript коду через редирекцію через серверні заголовки. Він використав редирекцію з часовою затримкою (в декілька секунд), для виконання JS через редирекцію через заголовок refresh.

Дана атака спрацювала в нього лише в Firefox (в мене дана атака також спрацювала в Mozilla). А в коментарях до запису, читачі сайту зазначили, що в Safari дана атака також працює.

Нещодавно я писав про Cross-Site Scripting уразливості в Mozilla, Internet Explorer, Opera та Chrome, що я знайшов 28.06.2009. В даному випадку також використовується заголовок refresh.

Але на відміну від Роберта aka RSnake, в моєму дослідженні йдеться не лише про уразливість в Firefox (і в браузерах на движку Мозіла), а взагалі в усіх браузерах (зокрема тих, що є в мене). І серед усіх браузерів дана уразливість була виправлена лише в Firefox 3.0.9.

Іншою визначальною особливістю мого метода є те, що це редирекція без затримки (тобто з нульовою затримкою). Яка і дозволяє даній атаці через заголовок refresh працювати в усіх браузерах (з числа мною перевірених). Тому даний метод є цікавим вектором XSS атак.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.lingva.odessa.ua (хакером P@RS) - 17.06.2009, зараз сайт вже виправлений адмінами
• http://solos.bestcrimea.com (хакерами з Hackerz Morocco)
• http://www.morozova.com.ua (хакером Arfaoui Firas) - 23.06.2009, зараз сайт вже виправлений адмінами
• http://mttz.donetsk.ukrtelecom.ua (хакером GHoST61) - похакана директорія сайта ЦТЕ МТТЗ Донецької фiлiї ВАТ “Укртелеком”
• http://chinatractor.com.ua (хакером P@RS) - 16.06.2009, зараз сайт вже виправлений адмінами

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах DM Albums і Related Sites. Для котрих з’явилися експлоіти. DM Albums - це плагін для створення фото альбомів та галерей, Related Sites - це плагін для показу лінок на сайти інших користувачів даного плагіна.

• WordPress Plugin DM Albums 1.9.2 Remote File Inclusion Vuln (деталі)
• WordPress Plugin DM Albums 1.9.2 Remote File Disclosure Vulnerability (деталі)
• WordPress Plugin Related Sites 2.1 Blind SQL Injection Vulnerability (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

P.S.

Експлоіт до плагіна Related Sites неробочий, тому що заявлена SQL Injection уразливість відсутня. Тому власники даного плагіна можуть не переживати з приводу цього експлоіта.

В цьому місяці я написав статтю про секюріті дослідження в Інтернеті, зокрема про знаходження уразливостей на веб сайтах та їх оприлюднення, а також про хакінг веб сайтів, та їх відповідність законодавству. Дана стаття була опублікована в The Web Security Mailing List в двох частинах 07.06.2009 та 14.06.2009.

Сьогодні я розмістив на сайті мою статтю на англійській мові (об’єднавши дві частини в одну статтю) та її переклад на українську мову. З якою ви можете ознайомитися.

Хакінг веб сайтів, секюріті дослідження, оприлюднення та законодавство

Зміст.

1. Передмова.
2. Знаходження уразливостей.
3. Хакінг веб сайтів.
4. Оприлюднення уразливості.
5. Приклади законів данної тематики.
6. Рекомендації по легальним секюріті дослідженням.
7. Інші цікаві аспекти веб безпеки та законодавства.

Hacking of web sites, security researches, disclosure and legislation

Table of contests.

1. Foreword.
2. Finding of vulnerabilities.
3. Hacking of web sites.
4. Vulnerability disclosure.
5. Examples of laws on this subject.
6. Guidelines for legal security researches.
7. Other interesting aspects of web security and legislation.

Пропоную вашій увазі мій веб додаток MustLive Remote Shell.

MustLive Remote Shell - це компактний шел, що стане в нагоді при секюріті аудиті, зокрема при дослідженні Code Execution уразливостей на сайтах (що дозволяють виконувати довільний код, зокрема для створення шела). Особливо програма знадобиться у випадку, якщо є обмеження на розмір коду, тому що даний шел є одним з найбільш компактних.

Програма наявна в двух версіях: Perl та PHP. Що стане в нагоді в залежності від того, який шел вдасться розмістити та яка мова підтримується на сайті.

Скачати MustLive Remote Shell v.1.01 (Perl та PHP версії), що вийшов сьогодні, ви можете в розділі Секюріті програми.

09.04.2009

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11 та 12.

Ось нова добірка уразливих секюріті сайтів:

• bugtraq.ru
• www.zerodayinitiative.com
• secunia.com

Всім власникам security проектів слід приділяти більше уваги безпеці власних сайтів.

25.06.2009

Ще одна добірка уразливих секюріті сайтів:

• dvlabs.tippingpoint.com
• www.applicure.com
• www.headtechnology.com.ua

Секюріті компаніям варто більше слідкувати за безпекою власних сайтів.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://marinebuilder.biz (хакерами з Capraz Ates Team)
• http://stalker-4.ucoz.ua (хакером CloSSer)
• http://www.pandpartners.com (хакером P@RS) - 17.06.2009, зараз сайт вже виправлений адмінами
• http://zelenyj.biz (хакером Arfaoui FirAs) - 20.06.2009, зараз сайт вже виправлений адмінами
• http://zelezok.net (хакерами з 1923TurK GruP)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Upload File, Photoracer і Nextgen gallery. Для котрих з’явилися експлоіти. Upload File - це плагін для завантаження файлів, Photoracer - це плагін для створення змагань фотографій, Nextgen gallery - це плагін для створення галерей зображень.

• vuln in WordPress plugin Upload File(UP) (деталі)
• WordPress Plugin Photoracer 1.0 (id) SQL Injection Vulnerability (деталі)
• XSS - Nextgen gallery 0.96 wordpress plugin (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.