Websecurity - Веб безпека

Плагін WP-DB Backup в Wordpress уразливий до directory traversal атаки (обходу директорій). Потрібно мати адмінські права в wordpress, щоб експлуатувати дану уразливість. Це можна або свого хостера похакати (де знаходиться твій сайт на цьому движку, і ти маєш адмінскькі права), або можна заманити адміна у пастку, і за його допомогою, похакати сервер.

Таким чином, через дану уразливість можна отримати будь-які файли в системі. Наприклад прочитати паролі сервера (/etc/passwd):

http://path-to-wordpress/wp-admin/edit.php?page=wp-db-backup.php&backup=../../../../../etc/passwd

Дана уразливість працює і на моєму сайті - тому уразливими є сайти на Wordpress <= 2.0.3 (поки ще не оновив движок до 2.0.4).

• Wordpress WP-DB Backup Plugin Directory Traversal Vulnerability (деталі)

P.S.

До речі, в кінці минулого місяця і на початку поточного, я знайшов чимало уразливостей в Wordpress (до версії 2.0.3 включно). Про що я ще окремо напишу, після того як повідомлю розробникам движка.

Вчора відкрив цікавий метод експлуатації уразливостей на сайтах (навіть на статичних сторінках, без використання динаміки!), там де цих уразливостей і не було. Методика полягає в експлуатації уразливостей в коді (в JS-коді) зовнішніх систем - в моєму випадку в коді баннерної системи, котра знаходиться на відповідній сторінці сайту (котрий є цілью нашого хакінгу). Відповідно експлуатація уразливості (виконання довільного коду) відбувається в браузері жертви в контексті безпеки поточного сайту.

Тому можу заявити про можливість хакінга сайту (в даному випадку через XSS), через уразливості в коді зовнішніх систем (в коді баннерних систем і т.д.). Методика дозволяє (при наявності уразливого коду зовнішньої системи на сторінці) проводити атаки на користувачів відповідних сайтів (з числа користувачів даної системи), навіть без наявності уразливостей (XSS) безпосередньо на даних сайтах.

Зараз провожу додаткові дослідження з цього приводу (вивчаю коди різних систем).

По інформації від www.acunetix.com, статистика веб атак за їх частотою (за WASC класифікацією атак) має наступний вигляд:

SQL Injection - 9%
Insufficient Authorisation & Authentification - 16%
Credential / Session Prediction - 9%
Cross Site Scripting - 27%
Other / Unknown - 39%

Тому варто всім приділяти увагу безпеці власних сайтів.

Сьогодні в мене день народження, з чим вас і себе поздоровляю

Додаткову інформацію про мене ви можете прочитати на моєму домашньому сайті http://mlbpg.narod.ru.

З приводу цієї важливої події, на сайті очікується багато нової і цікавої інформації про веб безпеку вцілому і про уразливості на веб сайтах зокрема - тому слідкуйте за новинами

В розділі MustLive Security Pack розмістив усі випуски мого Security Pack (які також доступні в мене на форумі).

Ви можете зкачати випуски MustLive Security Pack v.1.0.1, MustLive Security Pack v.1.0.2 та MustLive Security Pack v.1.0.3.

В браузерах існують помилки і уразливості, як вам відомо. Тому їх потрібно тестувати на наявність серьёзних помилок, щоб вчасно обновляти браузер на більш нову версію.

В мене на mlfun.org.ua розміщена добірка тестів різних браузерів - Гумор браузерів.

• js.joke.blinker_ie - Тест для Internet Explorer (Mozilla і Firefox ведуть себе больш розумно в даному тесті, тому їм нашкодити не вийде).
• mozilla_die1 - Тест №1 для Mozilla (а також Firefox та інших браузерів на движку Мозіли).
• mozilla_die2 - Тест №2 для Mozilla.
• opera_die1 - Тест для Opera.

Найближчим часом я планую викласти нові тести браузерів

Відкрив новий розділ Онлайн інструменти, в якому вашій увазі пропонуються мої веб-проекти - онлайн інструменти, що можуть стати в нагоді відвідувачам мого веб сайта.

Серед інструментів: MustLive Perl Pascal Programs Interpreter - онлайн-інтерпретатор мови Паскаль та MustLive CLX Monitor - система моніторингу за добовими програмами в CLX.

З 17.02.2006 я випускаю внутрішньофорумний журнал BugsWeek на форумі брокера Просперо.

А з 03.06.2006 також випускаю внутрішньофорумний журнал BugsWeek@Procontext на форумі брокера Проконтекст.

BugsWeek та BugsWeek@Procontext - це внутрішньофорумні журнали про багі в системі. Мрія кожного адміна . В своїх випусках я описую знайдені пимилки в даних системах рекламних брокерів.

Вітаю всіх відвідувачів сайту.

24.06.2006 розпочав свою роботу проект http://websecurity.com.ua.

Спочатку проект був на стадії бета-тестування веб сайту. І от 18.07.2006 тестування було завершено і проект офіційно розпочав роботу.