Websecurity - Веб безпека

05.11.2008

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6, 7, 8, 9 та 10.

Ось нова добірка уразливих секюріті сайтів:

• www.wisec.it
• www.nist.org
• www.infosyssec.com

Всім власникам security проектів слід приділяти більше уваги безпеці власних сайтів.

01.01.2009

Ще одна добірка уразливих сайтів на тему інформаційної безпеки:

• safe.cnews.ru
• www.itsec.ru
• www.webappsec.org
• opennet.ru

Секюріті проектам слід приділяти більше уваги безпеці власних сайтів.

Поздоровляю вас з Новим Роком!

Бажаю в новому 2009 році більше безпеки вам і вашим сайтам.

В якості подарунку на вас чекає новорічна уразливість .

В зв’язку з Новим Роком, що наступає, я приготував для подарунок. Це новорічна уразливість . На одному цікавому сайті. Так що не забувайте в новому році слідкувати за безпекою ваших сайтів.

А ось і сам подарунок:

http://www.vilmorin.com.au/UserFiles/File/NewYear/

В минулому році була виявлена SQL Injection уразливість в WordPress. Про яку я раніше не написав, тому вирішив нагадати про неї зараз. Уразливість має місце в скрипті xmlrpc.php.

Уразливі WordPress 2.1.2 та попередні версії. В нових версіях WP вона вже виправлена.

• Wordpress 2.1.2 (xmlrpc) Remote SQL Injection Exploit (деталі)

Сьогодні вийшла нова версія програми MustLive/BPG MySQL Perl/CGI Client v1.07.

В новій версії 1.07:

• Виправив Full path disclosure уразливість.
• Додав в файл конфігурації опцію $show_errors для налаштування виведення детальної інформації про помилки в MySQL.
• Оптимізував програмний код.

Додаткова інформація про MySQL Perl/CGI Client в розділі Онлайн інструменти.

Пропоную вашій увазі відео ролик про похакані сайти. В даному відео продемонстровані 100 сайтів взломаних хакером за 1,3 дня. Лінку на відео мені прислав QeeQ, який і провів ці показові взломи сайтів. Про діяльність цього хакера я вже писав раніше.

HACKING

Серед взломаних сайтів були також і українські ресурси: http://souspilnist.org, http://mountrest.org.ua і http://s-pchelove.com (про який я вже писав).

Нещодавно, 11.12.2008, вийшла нова версія WordPress 2.7.

WordPress 2.7 це перший випуск нової 2.7 серії. В ній, як і раніше в 2.5, був значно змінений інтерфейс порівняно з попередніми версіями WP. Оновлений інтерфейс - це одна з головних особливостей нової версія движка, він дозволяє значно прискорити роботу з сайтом.

Окрім зміни інтерфейсу, також були виправлені деякі баги з версій 2.6.x. А також додана можливість автоматичного оновлення як плагінів, так і самого движка. Оновлення відбуваються в один клік (в адмінці), без необхідності використовувати ftp доступ до сайту.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.ukrmebli.com (хакером Zyoma)
• http://site.cv.ua (хакером Cimch3)
• http://www.terminal-tsc.com (хакером Assassin) - причому спочатку сайт 04.12.2008 був похаканий Assassin, а 14.12.2008 похаканий hacker_20. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті
• http://www.jurist.org.ua (хакером RealDarbe) - 22.10.2008, зараз сайт вже виправлений адмінами
• http://fastrackids.com.ua (хакерами Kiproo і CrazY) - 11.12.2008, зараз сайт вже виправлений адмінами

Розповім вам про новий вид атак на веб браузери - MouseOverJacking, розроблений мною у вересні. Дані атаки можуть застосовуватися для використання різних уразливостей в браузерах чи веб сайтах, там де потрібне наведення курсором миші на об’єкт. І відповідно за допомогою техніки MouseOverJacking можна перехопити курсор і провести атаку.

Деякий час тому була оприлюднена техніка атак під назвою ClickJacking, про яку я ще розповім окремо. MouseOverJacking - це більш гарна техніка ніж ClickJacking. Якщо в ClickJacking жерта повинна зробити клік, то в MouseOverJacking жоден клік не потрібен, тільки переміщення мишею . Лише переміщення на один піксел в будь-яку сторону - і це запустить атаку. На початку вересня я приводив приклад MouseOverJacking стосовно DoS уразливості в Google Chrome.

Це повідомлення є анонсом MouseOverJacking. З часом я оприлюдню детальну інформацію про дану техніку атак.

09.12.2008

У лютому, 05.02.2008, я знайшов Insufficient Anti-automation уразливість, а сьогодні ще й Cross-Site Request Forgery і SQL Injection в CapCC. Це капча плагін для WordPress. Про що найближчим часом сповіщу розробників плагіна.

Детальна інформація про уразливості з’явиться пізніше.

13.12.2008

Insufficient Anti-automation:

Дана капча вразлива до напіватоматизованого методу.

CapCC CAPTCHA bypass.html - для кожного запиту потрібна нова пара зображення-код капчі.

Cross-Site Request Forgery:

Сторінка опцій плагіна (http://site/wp-admin/plugins.php? page=capcc-config) вразлива для CSRF атак. Що може використовуватися для проведення атак для використання як SQL Injection та Full path disclosure і Cross-Site Scripting уразливостей, так і для створення можливості проведення автоматизованих Insufficient Anti-automation атак.

CSRF + Insufficient Anti-automation:

Враховуючи, що капча вразлива до SQL Injection, яка використовується через CSRF атаку, то це дозволяє створити автоматизований метод обходу капчі. Це відбувається через комбіновану CSRF + Insufficient Anti-automation атаку, що дозволяє використовувати одну пару зображення-код капчі весь час (в опціях капчі задається час життя кожного зображення, по замовчуванню він дорівнює 24 години, але це також може бути змінено через CSRF).

CapCC CSRF.html - спочатку зробити CSRF атаку.

CapCC CAPTCHA bypass.html - потім використовувати одну пару зображення-код капчі для всіх коментарів.

SQL Injection:

Дана SQL Injection уразливість - це приклад Persistent SQL Injection.

CapCC SQL Injection.html

DoS атака через SQL ін’єкцію. Атака відбувається при звертанні до самого скрипта чи до сторінки з капчою. Тобто при відвідуванні сайту, він (через капчу) буде сам себе перенавантажувати.

CapCC SQL Injection2.html

Визначення паролю за допомогою SQL ін’єкції. Це Blind SQL Injection. Якщо скрипт (http://site/wp-content/plugins/capcc/ capcc.php?r) виводить “Expired.”, то false, якщо “Error”, то true. Для визначення паролю необхідно буде зробити численні CSRF запити (атакуючи адміна), тому це надовго затягнеться. І тому виконати першу SQL Injection атаку (за один запит), для проведення DoS атаки, буде набагато простіше.

Уразлива версія CapCC 1.0.