Websecurity - Веб безпека

Як і 2007 року, я підведу власні підсумки розвитку веб безпеки в 2008 році.

Результати розвитку галузі веб безпеки в 2008 році.

1. Хоча в 2007 було й більше секюріті проектів, тим не менш в 2008 я провів декілька цікавих проектів: День багів в Google Chrome, День багів в браузерах, День багів в браузерах 2.
2. Розпочалася нова фаза браузерних війн, з виходом Google Chrome, який продемонстрував разом зі своїми нововведеннями, також і численні уразливості.
3. XSS уразливості поширилися ще більше і знову стали найпоширенішими уразливостями веб додатків.
4. Відбулося збільшення активності хакерів. Зокрема в Уанеті зростання хакерської активності на 200% в першому півріччі 2008 року поріняно з аналогічними періодом 2007 року (і як показують мої додаткові дані, що я незабаром оприлюдню, цей показник значно більший).
5. Фішинг став ще більш поширеним та з’явилася нова техніка фішерських атак з використанням Flash.
6. Поширилися атаки з використанням Insufficient Anti-automation уразливостей. Зокрема на captcha популярних поштових систем.
7. Відбулося збільшення атак на соціальні мережі.
8. З’явилися нові веб хробаки, зокрема Facebook Worm.
9. Відбулося зростання кількості заражених вірусами веб сторінок. В тому числі й в Уанеті, де я нерідко виявляв заражені веб сайти.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.agrocombank.kiev.ua (хакером Agn0) - 05.01.2009, причому шостого числа сайт ще був невиправлений, зараз сайт вже виправлений адмінами. Про цей взлом банківського сайта мені повідомив мій читач
• http://board.fellini.net.ua (хакером 3RqU)
• http://www.pobeda.org.ua (хакером AsSerT) - 07.01.2009, зараз сайт вже виправлений адмінами
• http://avtopalitra.com.ua (хакером aLeSha) - 15.12.2008, зараз сайт вже виправлений адмінами
• http://rendram.com (хакерами Ktemel2006 і Ayaz)

Поздоровляю вас з Різдвом Христовим!

У зв’язку зі святами - Новим Роком та Різдвом - пропоную подивитися мою нову святкову листівку на флеші.

Бажаю вам всього найкращого!

Пропоную вашій увазі відео про секюріті прогнози на 2008 рік. В якому секюріті експерт Saumil Shah розповідає про власний секюріті досвід та свої прогнози в сфері безпеки на 2008 рік.

Security Predictions for 2008

До речі, торік я писав про свої прогнози розвитку веб безпеки в 2008 році. І можу сказати, що в більшості випадків мої прогнози справдилися.

Пропоную вашій увазі відео про Web Application Security. В якому секюріті експерт Jeremiah Grossman розповідає про безпеку веб додатків та особливості webappsec галузі інформаційної безпеки.

Web Application Security with Jeremiah Grossman

В відео-ролику Джеремія також розповідає про свою компанію та власний досвід у сфері безпеки веб додатків.

05.11.2008

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6, 7, 8, 9 та 10.

Ось нова добірка уразливих секюріті сайтів:

• www.wisec.it
• www.nist.org
• www.infosyssec.com

Всім власникам security проектів слід приділяти більше уваги безпеці власних сайтів.

01.01.2009

Ще одна добірка уразливих сайтів на тему інформаційної безпеки:

• safe.cnews.ru
• www.itsec.ru
• www.webappsec.org
• opennet.ru

Секюріті проектам слід приділяти більше уваги безпеці власних сайтів.

Поздоровляю вас з Новим Роком!

Бажаю в новому 2009 році більше безпеки вам і вашим сайтам.

В якості подарунку на вас чекає новорічна уразливість .

В зв’язку з Новим Роком, що наступає, я приготував для подарунок. Це новорічна уразливість . На одному цікавому сайті. Так що не забувайте в новому році слідкувати за безпекою ваших сайтів.

А ось і сам подарунок:

http://www.vilmorin.com.au/UserFiles/File/NewYear/

В минулому році була виявлена SQL Injection уразливість в WordPress. Про яку я раніше не написав, тому вирішив нагадати про неї зараз. Уразливість має місце в скрипті xmlrpc.php.

Уразливі WordPress 2.1.2 та попередні версії. В нових версіях WP вона вже виправлена.

• Wordpress 2.1.2 (xmlrpc) Remote SQL Injection Exploit (деталі)

Сьогодні вийшла нова версія програми MustLive/BPG MySQL Perl/CGI Client v1.07.

В новій версії 1.07:

• Виправив Full path disclosure уразливість.
• Додав в файл конфігурації опцію $show_errors для налаштування виведення детальної інформації про помилки в MySQL.
• Оптимізував програмний код.

Додаткова інформація про MySQL Perl/CGI Client в розділі Онлайн інструменти.