Websecurity - Веб безпека

10.03.2009

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6, 7, 8, 9, 10 та 11.

Ось нова добірка уразливих секюріті сайтів:

• eweek.com
• fbi.gov та cisco.com
• it.ridne.net

Всім security проектам та компаніям слід приділяти більше уваги безпеці власних сайтів.

01.04.2009

Ще одна добірка уразливих секюріті сайтів:

• www.ibm.com
• www.sophos.com
• www.shram.kiev.ua (хакерський сайт)

Секюріті компаніям та хакерським проектам варто більше слідкувати за безпекою власних сайтів.

На минулому тижні, 28 та 29 березня, пройшла конференція CodeCamp 2009, на якій я виступив з доповідями. В першій доповіді я розповів про сучасний стан безпеки Уанету та тенденції безпеки в Інтернеті, а в другій - про сучасні атаки на веб додатки та проблеми безпеки нових веб технологій.

Доповіді доступні в мене на сайті:

Сучасний стан безпеки Уанету та тенденції безпеки в Інтернеті.

Современные атаки на вэб приложения и проблемы безопасности новых вэб технологий.

В першій доповіді я розглянув наступні теми: Сучасний стан безпеки Уанету, Тенденції безпеки в Інтернеті, Покращення рівня безпеки веб сайтів.

В другій доповіді я розглянув наступні теми: Сучасні атаки на веб додатки - Recursive File Include, Нове використання аплоадера, Використання back slash для Directory Traversal атак, Проблеми безпеки нових веб технологій - Використання Flash для проведення XSS атак, Використання Flash для спама і фішинга, Використання JavaScript для сканування портів.

Як я вже розповідав, 28 та 29 березня, в Києві відбудеться конференція CodeCamp 2009. Вона пройде в сьомому корпусі КПІ.

На конференції я виступлю з двома доповідями:

1. Сучасний стан безпеки Уанету та тенденції безпеки в Інтернеті.
2. Сучасні атаки на веб додатки та проблеми безпеки нових веб технологій.

Моя перша доповідь відбудеться в суботу в 15:15. Друга - в неділю о 13:30. Всі бажаючі можуть відвідати мої доповіді на конференції.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://metalltorg.biz (хакером wlhaan) - 18.03.2009 - зараз сайт не працює
• http://www.jam.com.ua (хакером ARezZ0)
• http://profy.nplu.org (хакером Meshif)
• http://black.net.ua (хакером 3RqU)
• http://balaklava-vip.com (хакерами з dns team) - похакана директорія сайта

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.4.8. В новій версії:

• Покращені анти-DoS фільтри.
• Додана можливість визначення некоректного ітератора в циклі for.
• Додана можливість визначення нескінченних циклів в циклах while і repeat until.
• Введене обмеження на розмір строкових даних (255 символів).
• Обмеження розміру строкових даних додане в функції concat та insert.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.4.7. В новій версії:

• Додана підтримка операторів div та mod в циклах for.
• Додана підтримка операторів div та mod в циклах while.
• Додана підтримка операторів div та mod в циклах repeat until.
• Виправлена робота write і writeln з функціями.

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Мені періодично доводиться зіштовхуватися з інфікованими сайтами в Уанеті. Раніше я вже писав про інфіковані сайти hip.org.ua та wmast.com.ua.

Сьогодні я знайшов ще один заражений сайт. Сьогодні, під час пошуку в Гуглі, я виявив, що сайт www.doski.zp.ua інфікований. Бо Google повідомив стосовно нього, що “Ця сторінка може заподіяти шкоду вашому комп’ютерові”.

Після того, як я сам перевірив даний сайт, я впевнився, що він інфікований. На даному сайті розміщений шкідливий iframe. Який веде на шкідливу сторінку, що розміщена на китайському сайті. До речі, власник сайта вірогідно прибрав цей код з деяких сторінок сайта, але не зі всіх - шкідливий код все ще розміщений, як мінімум, на сторінці http://www.doski.zp.ua/index.php?des=add.

Адміну www.doski.zp.ua варто витерти шкідливий код з сайта і почати серйозно слідкувати за безпекою власного сайта.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.snz.com.ua (хакерами M.W.N.N., DImionX і Bboy)
• http://info.kp.km.ua (хакерами GOYHACKERS і DANGER14) - 08.03.2009, зараз сайт вже виправлений адмінами
• http://wi-net.com.ua (хакерами з CYBERDOS TEAM) - 12.03.2009, зараз сайт закритий адмінами
• http://www.ayur-veda.com.ua (хакером Y.D.I.) - 03.2009 - похаканий форум сайта і зараз форум не працює
• http://rynok.com.ua (хакером XUGURX)

В цьому місяці, 28 та 29 березня, в Україні в Києві відбудеться конференція CodeCamp 2009.

CodeCamp - це дводенна всеукраїнська конференція на тему сучасних технологій розробки програмного забезпечення та інформаційної безпеки. Про даний захід ви можете детальніше дізнатися на офіційному сайті - CodeCamp09.

Я планую прийняти участь в конференції та виступити з доповіддю (навіть з двома доповідями). Тому всі бажаючі зможуть зустрітися зі мною на конференції.

Після оприлюднення результатів розвитку веб безпеки в 2008 році, надам свої прогнози на новий рік. Але спочатку зроблю огляд тих прогнозів, що я давав на 2008 рік.

На початку минулого року я зробив свої прогнози стосовно розвитку галузі веб безпеки в минулому році. І зараз я оціню наскільки справдилися мої попередні прогнози.

1. Уразливості XSS в минулому році ще більш поширилися (вони були найпоширенішими уразливостями веб додатків).
2. Фішинг став ще більш поширеним явищем, і окрім збільшення фішерським емайл листів також з’явилися нові техніки фішерських атак, в тому числі редиректори через Flash.
3. Insufficient Anti-automation уразливості стали більш поширеними (зокрема атаки на капчі).
4. Кількість веб вірусів та хробаків за минулий рік збільшилася, хоча й не дуже стрімко.
5. Значно зросла кількість заражених вірусами веб сторінок, в тому числі й в Уанеті.
6. Збільшилися атаки на соціальні мережі (в тому числі й веб хробаки здебільшого поширювалися саме соціальними мережами).
7. Значно зросла хакерська активність (зокрема в Уанеті зростання на 788%).

Як видно всі мої попередні прогнози переважно збулися .

Про прогнози різних секюріті компаній та експертів я чимало писав останнім часом, і тепер оприлюдню власні прогнози на цей рік.

Прогноз розвитку галузі веб безпеки в 2009 році.

1. Уразливості XSS будуть поширюватися й надалі.
2. Активніше будуть поширюватися CSRF уразливості.
3. Фішинг стане ще більш розповсюдженим.
4. Insufficient Anti-automation уразливості та атаки на captcha стануть більш поширеними.
5. Продовжить зростати кількість заражених вірусами веб сторінок.
6. Збільшаться атаки на соціальні мережі, в тому числі за рахунок веб вірусів.
7. Продовжиться подальше зростання хакерської активності.