Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://society.nenc.gov.ua (хакером N1Gh7 F0x) - 27.11.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://isef.nenc.gov.ua (хакером N1Gh7 F0x) - 27.11.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://docss.dn.ua (хакером ProAnje)
• http://larche-kovcheh.org.ua (хакером Riad SyR Hack) - 26.12.2014, зараз сайт вже виправлений адмінами
• http://terralex.kiev.ua (хакером Dr.AFN[D]ENA) - 16.12.2014, зараз сайт вже виправлений адмінами

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://invika.com.ua - інфекція була виявлена 03.01.2015. Зараз сайт входить до переліку підозрілих.
• http://i.kiev.ua - інфекція була виявлена 12.01.2015. Зараз сайт не входить до переліку підозрілих.
• http://users.i.kiev.ua - інфекція була виявлена 12.01.2015. Зараз сайт не входить до переліку підозрілих.
• http://polomok.net - інфекція була виявлена 16.11.2014. Зараз сайт не входить до переліку підозрілих.
• http://imperya.biz.ua - інфекція була виявлена 12.01.2015. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах AdminOnline, Simple Share Buttons Adder і Construction Mode. Для котрих з’явилися експлоіти. AdminOnline - це плагін, Simple Share Buttons Adder - це плагін для поширення в соціальних мережах, Construction Mode - це плагін.

• WordPress AdminOnline Local File Disclosure (деталі)
• WordPress Simple Share Buttons Adder 4.4 CSRF / XSS (деталі)
• WordPress Construction Mode 1.8 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.zak-dai.gov.ua (хакером DrSHA67) - 22.11.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://nenc.gov.ua (хакером N1Gh7 F0x) - 27.11.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://igroteki.com.ua (хакером Yassinox_TN)
• http://iic.dgtu.donetsk.ua (хакером RooT HaXor) - хакнута папка сайта
• http://www.avalon.ua (хакером NginxHaXor) - 26.12.2014, зараз сайт вже виправлений адмінами

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://inetlove.com.ua - інфекція була виявлена 03.01.2015. Зараз сайт входить до переліку підозрілих.
• http://burics.info - інфекція була виявлена 03.01.2015. Зараз сайт не входить до переліку підозрілих.
• http://vivasanint.com.ua - інфекція була виявлена 03.01.2015. Зараз сайт входить до переліку підозрілих.
• http://vist.dp.ua - інфекція була виявлена 08.01.2015. Зараз сайт не входить до переліку підозрілих.
• http://sorvizbe.com - інфекція була виявлена 24.12.2014. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах SCv1, Member Approval і JW Player. Для котрих з’явилися експлоіти. SCv1 - це тема движка, Member Approval - це плагін для підтвердження користувачів сайта, JW Player - це аудіо та відео плеєр.

• WordPress SCv1 Local File Disclosure (деталі)
• WordPress Member Approval Cross Site Request Forgery (деталі)
• WordPress JW Player 2.1.2 Cross Site Request Forgery (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Поздоровляю вас з Новим роком та Різдвом Христовим!

У зв’язку з Новим роком та Різдвом пропоную вам подивитися мої святкові листівки на флеші. На українській мові, російській мові та англійські мові.

Бажаю вам всього найкращого .

У грудні, 18.12.2014, вийшла нова версія WordPress 4.1.

WordPress 4.1 це перший випуск нової 4.1 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити нову тему по замовчуванню, покращене візуальне редагування, що не відволікає, підтримка багатьох локалізацій і зміна мови в налаштуваннях сайту, в адмінці можна зробити повний логаут (щоб вихід був зроблений для всіх пристроїв, з яких заходили в акаунт), підтримка включення відео з Vine та рекомендації плагінів в інсталяторі плагінів.

Окрім покращень для користувачів також було зроблено багато покращень для розробників.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.alchevsk-pfu.gov.ua (хакером DrSHA67) - 22.11.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.agrofond.gov.ua (хакером DrSHA67) - 22.11.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://alexandriya-mebel.com.ua (хакером Firebox)
• http://stankoplast.com.ua (хакером POW3R G3n3r@70R)
• http://positum-psy.zhitomir.ua (хакерами з ayyildiz team) - 30.11.2014, зараз сайт закритий

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Participants Database, Elegance і Featured Comments. Для котрих з’явилися експлоіти. Participants Database - це плагін для створення списків учасників, Elegance - це тема движка, Featured Comments - це плагін для виділення важливих коментарів.

• WordPress Participants Database 1.5.4.8 SQL Injection (деталі)
• WordPress Elegance Local File Disclosure (деталі)
• WordPress Featured Comments 1.2.1 Cross Site Request Forgery (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.