Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://rokytne-mvs.gov.ua (хакером Hmei7) - 16.09.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://gpsworld.com.ua (хакером Hmei7) - 17.09.2013, зараз сайт вже виправлений адмінами
• http://www.svityaz.net (хакером redspy)
• http://aeit.com.ua (хакером Xonny.h4ck)
• http://bankruptcy.net.ua (хакером NeoX) - причому спочатку сайт 03.08.2013 був взломаний NeoX, а 31.08.2013 він був взломаний Virus. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Complete Gallery Manager, Comment Attachment та Cart66. Для котрих з’явилися експлоіти. Complete Gallery Manager - це плагін для створення галерей зображень, Comment Attachment - це плагін для додавання вкладень до коментарів, Cart66 - це плагін для створення онлайн-магазину.

• WordPress Complete Gallery Manager 3.3.3 File Upload (деталі)
• WordPress Comment Attachment 1.0 Cross Site Scripting (деталі)
• Wordpress Cart66 Plugin 1.5.1.14 Multiple Vulnerabilities (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжую розповідати вам про редиректори на популярних сайтах. Редиректори - це окремий різновид уразливостей в веб додатках, котрий відноситься до класу Abuse of Functionality. Дані уразливості можуть використовуватися зловмисниками для переадресації на небезпечні та фішинг сайти.

До наведених в попередньому записі, приведу ще декілька прикладів редиректорів на популярних веб сайтах.

Редиректори на популярних сайтах:

Liveinternet.ru (до раніше згаданих редиректорів на Liveinternet.ru):

http://liveinternet.ru/click?websecurity.com.ua

http://li.ru/click?websecurity.com.ua

Odnoklassniki.ru:

Редиректор на Однокласніках

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://newsru.com.ua - інфекція була виявлена 21.10.2013. Зараз сайт входить до переліку підозрілих.
• http://newsru.ua - інфекція була виявлена 21.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://emoney-expert.com - інфекція була виявлена 16.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://weblog.com.ua - інфекція була виявлена 21.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://ukr.net - інфекція була виявлена 21.10.2013. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Mukioplayer, Design-Approval-System та Simple Dropbox. Для котрих з’явилися експлоіти. Mukioplayer - це медіа плеєр, Design-Approval-System - це плагін для розгляду дизайнів, Simple Dropbox - це плагін для інтеграції з Dropbox.

• WordPress Mukioplayer 1.6 SQL Injection (деталі)
• WordPress Design-Approval-System 3.6 Cross Site Scripting (деталі)
• WordPress Simple Dropbox 1.8.8 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.dec.gov.ua (хакером HighTech) - 04.07.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://book.rekord.gov.ua (хакером SultanHaikal) - 06.07.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://kievlyanenews.com.ua (хакером dr.m1st3r)
• http://веселка.com.ua (хакером dr.m1st3r)
• http://blog.arhstudio-f.com (хакером dr.m1st3r)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://kharkivoda.gov.ua - інфікований державний сайт - інфекція була виявлена 14.08.2013. Зараз сайт не входить до переліку підозрілих.
• http://nokino.com.ua - інфекція була виявлена 15.09.2013. Зараз сайт не входить до переліку підозрілих.
• http://vanilin.com.ua - інфекція була виявлена 08.10.2013. Зараз сайт входить до переліку підозрілих.
• http://i.ua - інфекція була виявлена 08.10.2013. Зараз сайт не входить до переліку підозрілих.
• http://a-counter.com - інфекція була виявлена 09.10.2013. Зараз сайт не входить до переліку підозрілих.

У версії WordPress 3.6 розробники виправили декілька уразливостей. Але про них розробники WP навмисно не повідомили (для применшення офіційної кількості виправлених дірок).

В цьому місяці я дослідив зміни в версії 3.6 движка і виявив Full path disclosure уразливості в адмінці. Про які не згадали в описі релізу WP 3.6, але згадали про них в Codex серед виправлених багів (при тому, що вони іноді згадують про FPD в анонсах релізів). Що типово для розробників WP - ще з 2007 року вони часто приховують виправлені уразливості.

Раніше я вже писав про уразливості в WordPress та Akismet.

Full path disclosure (WASC-13):

В Media Library якщо атачмент не має батька.
В функції parent_dropdown().
В функції wp_new_comment().
В функції mb_internal_encoding().
При обробці метаданих зображень.
В функції get_post_type_archive_feed_link().
В функції WP_Image_Editor::multi_resize().
В функції wp_generate_attachment_metadata().
При видаленні або відновленні елемента, що вже не існує.

Уразливі WordPress 3.5.2 та попередні версії.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.nsj.gov.ua (хакерами з @Df Brazil Hack Team) - 11.09.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.tsdazu.gov.ua (хакером Error7rB) - 13.09.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://ekonomics.com.ua (хакером dr.m1st3r)
• http://ecopsycholog.com (хакерами Arddzz і A’Rui)
• http://isol-pack.com.ua (хакером Hmei7) - 16.09.2013, зараз сайт вже виправлений адмінами

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах IndiaNIC Testimonia, NextGen Smooth Gallery та Event Easy Calendar. Для котрих з’явилися експлоіти. IndiaNIC Testimonia - це плагін для написання рецензій, NextGen Smooth Gallery - це плагін для створення галереї зображень, Event Easy Calendar - це плагін для створення календаря на сайті.

• WordPress IndiaNIC Testimonial 2.2 XSS / CSRF / SQL Injection (деталі)
• WordPress NextGen Smooth Gallery Cross Site Scripting (деталі)
• WordPress Event Easy Calendar 1.0.0 XSS / CSRF / Input Validation (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.