Websecurity - Веб безпека

Позавчора вийшла нова версія програми Perl Pas Interpreter v.1.3.4. В новій версії:

• Додана функція arctan.
• Додана підтримка оператора div в write та writeln.
• Покращена робота оператора присвоєння з масивами.
• Покращена робота функцій exp та ln з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

10.10.2007

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4 та 5.

Ось нова добірка уразливих сайтів про інформаційну безпеку та секюріті компаній:

• security.compulenta.ru, www.secnews.ru, www.secblog.info
• www.infosecuritymoscow.com
• www.sis.gov.uk

Всім security компаніям та спецслужбам слід приділяти більше уваги власній безпеці.

25.10.2007

Ще одна добірка уразливих секюріті сайтів:

• www.mi5.gov.uk
• www.sbu.gov.ua
• www.szru.gov.ua

Секюріті проектам та спецслужбам варто більше слідкувати за безпекою власних сайтів.

Настав час для анонсу мого нового проекту - Місяця багів в Капчах (Month of Bugs in Captchas). Даний проект відбудеться в наступному місяці. Тому листопад - це місяць багів в Капчах .

В Інтернеті існує чимало різних Captcha систем і багато з них є вразливими. Капчі створюють лише ілюзію захищеності. Метою даного Місяця багів є демонстрація реального стану справ з безпекою Капч, що використовуються на багатьох веб сайтах.

В листопаді 2007 року відбудеться Апокаліпсис для Капч. Чимало Капч будуть захакані до смерті. Вони помруть для того, щоб переродитися в нові більш захищені Капчі. Час прийшов.

Адреса проекту: http://websecurity.com.ua/category/mobic/

Додаткова інформація про проект буде опублікована в кінці поточного місяця. Листопад буде дуже спекотним місяцем.

Як повідовив RSnake в своєму записі IE Sends Local Addresses in Referer Header, існує можливість дізнатися важливу інформацію через реферер. В Internet Explorer 7 (в якому він тестував) при відкритті сторінки (зі спеціальним кодом) передається реферер.

<xml id="xml" src="http://site.com"><xml>

В даному випадку, якщо ця сторінка була збережена на локальний диск і відкрита локально, то на віддалений сервер передасться реферер локальної папки. Що буде витоком інформації, зокрема імені диску та локального шляху, а також (в більшості випадків) імені користувача - його логіна в системі. Раніше для цього потрібно було використовувати JavaScript або інші активні елементи, а тепер реферер можна отримати за допомогою цього простого методу.

Даний метод працює в Internet Explorer і не працює в Mozilla та Firefox. Окрім IE 7, як я перевірив, в IE 6 він також працює.

На цих вихідних в Києві пройшла конференція BlogCamp 2007. В якій я прийняв участь та виступив з доповіддю.

Вчора, 13.10.2007, я відвідав BlogCamp - першу подібну конференцію в Україні (та першу на теренах СНГ і Балтії). Сама конференція вийшла цікавою - мені вона сподобалась. На ній я послухав декілька інтересних доповідей, а також виступив зі своєю доповіддю на тему “Безпека Блогосфери”.

Якщо вам цікава дана тема, то можете ознайомитися з текстом моєї доповіді: Безопасность Блогосферы (Security of Blogosphere).

Про редиректори на пошуковцях та секюріті сайтах я вже раніше розповідав. Редиректори - це окремий різновид уразливостей в веб додатках (котрий можна віднести до класу Abuse of Functionality). Дані уразливості можуть використовуватися зловмисниками для переадресації на небезпечні та фішинг сайти.

Зараз приведу приклади редиректорів в різних CMS. Дані уразливості можна виявити майже на всіх сайтах, що використовують зазначені системи.

Редиректори в CMS движках:

DataLife Engine:

• http://www.secblog.info/…_url=http://websecurity.com.ua

pMachine:

• http://www.volkoff.ru/…go=http://websecurity.com.ua

ExpressionEngine:

• http://danimult.ru/?URL=http://websecurity.com.ua

Хочете знати як знайти мільйон XSS уразливостей? Я вам розповім.

В своєму записі 1,000,000 XSS vulnerabilities and counting, Джеремія написав з приводу нашої з ним розмови. Нещодавно ми з ним спілкувалися з приводу деяких знайдених мною уразливостей (зокрема на сайтах спецслужб), і він з жалем заявив, що хотів би знати спосіб як знайти мільон нових XSS дірок швидше.

На що я йому запропонував наступну методику.

Взявши знайдені мною уразливості в Google Search Appliance ми маємо 4 XSS, котрі наявні на 207000 сайтах. Якщо всі вони уразливі (не всі, але чимало з них), то виходить 207000 сайтів х 4 дірки = 828000 XSS (майже мільйон).

Інший приклад - UXSS уразливості. Як можна дізнатися з Гугла, в Інтернеті до 302 мільйонів pdf файлів на сайтах (на більшості сайтів) і майже всі вони уразливі до UXSS. Так що існують способи, щоб швидко знайти велику кількість XSS. І за допомогою Гугл дорків можна знаходити інші уразливості у великій кількості (про що я писав у статтях про “Warning” Google хакінг).

Продовжуючи тему експлоітів для PHP, пропоную вам наступну добірку.

Цього разу есплоіти в функціях glob() та ntuser_getuserlist() в PHP версії 5.2.3 та в розширенні Perl Extension.

• PHP 5.2.3 glob() Remote DoS Exploit (деталі)
• PHP 5.2.3 php_ntuser ntuser_getuserlist() Local Buffer Overflow PoC (деталі)
• PHP Perl Extension Safe_mode Bypass Exploit (деталі)

На цьому тижні, 13 та 14 жовтня, в Україні в Києві відбудеться конференція BlogCamp 2007.

BlogCamp - це конференція (або як її називають, “неконференція”) для країн СНГ і Балтії по новим медіа, блогам, Веб 2.0 и всьому, що з цим пов’язано. Про даний захід ви можете детальніше дізнатися на офіційному сайті - BlogCamp CIS and Baltics.

Я планую прийняти участь в конференції та виступити з доповіддю на тему “Безпека блогосфери” (Security of Blogosphere). Тому всіх хто зможе завітати на Блогкамп та всіх бажаючих поспілкуватися зі мною запрошую на мою доповідь на конференції. Доповідь відбудеться в суботу 13.10.2007 о 15.30.

Чергове щорічне опитування, проведений Інститутом Комп’ютерної безпеки, ознаменував собою важливу віху в історії інформаційної безпеки. Уперше за всю історію існування цього опитування компанії заявили, що проблеми, пов’язані з інсайдерами, хвилюють їх більше, ніж вірусні атаки. На думку окремих експертів, незабаром віруси можуть стати для компаній ще менш важливими - їх обійде загроза втрати носіїв з важливими даними.

12 щорічне опитування CSI (Computer Security Institute - Інститут комп’ютерної безпеки), у якому взяли участь 494 фахівця з безпеки з держустанов і приватних організацій, став важливою віхою в історії інформаційної безпеки. Уперше самою головною проблемою для себе компанії назвали загрозу, що виходить від інсайдерів, а не від вірусних атак. Так, у 2006 р. з інсайдерською загрозою зіштовхувалися 59% респондентів, а із серйозною вірусною проблемою - 52%. На третьому місці по небезпеці (50% респондентів) виявилася загроза втрати носіїв з конфіденційними даними (насамперед, ноутбуків).

Ще одним значимим підсумком опитування CSI став той факт, що середній збиток від проблем з безпекою виріс у два рази - з $168000 до $350000. Подібний ріст зафіксований уперше за останні п’ять років - до 2007 р. збиток від безпеки тільки падав. “Фахівці давно говорили про ріст складності кібератак і професіоналізму шахраїв. Однак тільки в нинішньому році цей ріст трансформувався в реальний збиток для компаній”, - заявив Роберт Річардсон, автор дослідження і директор CSI.

По матеріалам http://bin.com.ua.