Websecurity - Веб безпека

Продовжуючи тему антивірусів для сайтів, розповім вам про ще один подібний сервіс. Це WebMoney Advisor. В деякій мірі це ще один конкурент моїй Web VDS.

Сервіс WebMoney Advisor був створений багато років тому і мені давно про нього відомо. Але подібним сервісам я особливо не довіряю, які лише надають тулбари та не мають власного сканування, а лише з різних джерел визначають (і роблять це повільно) шкідливість того, чи іншого сайта. Тим не менше, розповім про нього.

Як зазначає WebMoney, їхній сервіс Advisor - це інструмент для оцінки ділової активності сайтів та захисту від шахрайських і шкідливих ресурсів. При цьому подібно до таких сервісів як McAfee SiteAdvisor, Norton Safe Web від Symantec та Web of Trust є можливість користувачам системи писати відгуки про сайти (тобто присутня соціальна складова).

Щоб скористатися даним сервісом, потрібно зайти на сайт, ввести адресу сайту в пошуковий рядок (або переглянути перелік сайтів за популярністю) та почитати детальну інформацію про сайт на сторінці з його описом. Де може бути вказана інформація про шкідливість конкретного сайта. Або можна скористатися плагіном WebMoney Advisor, що розроблений для багатьох браузерів (Internet Explorer, Mozilla Firefox, Opera та Google Chrome, а також існує букмарклет для інших браузерів).

Можете подитивитися на статистичну інформацію, що надає сервіс стосовно мого сайта:

http://advisor.wmtransfer.com/…?url=websecurity.com.ua

Продовжуючи тему тестування DNS серверів, після додатку Porkbind - сканера DNS серверів, пропоную вашій увазі новий онлайн сервіс для даної задачі. Це DNSreport від DNSstuff - онлайновий сервіс перевірки DNS серверів.

За допомогою даного сервіса можна перевірити стан DNS сервера вашого хостера. DNSreport - це платний сервіс і потрібно бути офіційним клієнтом компанії DNSstuff. Необхідно оплатити (на рік) послугу Professional Toolset, що включає DNSreport, Mail Server Test Center, Email Path Analyzer та ще більше 30 різних інструментів.

Але є безкоштовний DNSreport Demo. В демо версії можна провести перевірку лише семи визначених доменів, включаючи google.com. В результаті перевірки видається звіт про стан DNS сервера. Користь від демо версії в тому, що ви можете побачити які саме параметри DNS сервера перевіряються і в чому можуть бути проблеми (і відповідно перевірити дані параметри у власного сервера).

Продовжуючи тему тестування DNS серверів, після онлайн сервісу перевірки на DNS Poisoning, пропоную вашій увазі утіліту для даної задачі. Це Porkbind - відомий рекурсивний сканер уразливостей DNS серверів, що визначає версії неймсерверів і визначає, чи не використовуються застарілі версії, що вразливі до відомих уразливостей в DNS серверах.

Остання версія Porkbind 1.3. Цей сканер перевіряє 14 уразливостей в DNS, включаючи DNS Poisoning. Так що можете протестувати ваші DNS сервери.

Porkbind 1.3

Враховуючи, що сайт автора не працює, тому даю лінку на інший сайт, де можна скачати дану програму. Є чимало порталів з ПЗ, звідки можна скачати Porkbind.

Торік я писав про DNS Poisoning атаки і радив почитати відповідну статтю. А зараз пропоную вам онлайн сервіс для перевірки DNS серверів на предмет вразливості до DNS Poisoning атак.

DNS Nameserver Spoofability Test

Даний сервіс від Steve Gibson (так званий ISP DNS testing tool), презначений для перевіки DNS серверів вашого ISP на предмент уразливостей, в тому числі й DNS Poisoning. Також на сторінці Стіва Гібсона наводиться детальна інформація про атаки для підробки DNS серверів.

Під час тестування перевіряються всі DNS сервери, що використовуються браузером для доступу до сайта Стіва (DNS резолвери вашого Інтернет провайдера), які перевіряються на відомі уразливості. Після чого кожному з DNS серверів виставляється оцінка. Так що можете протестувати ваші DNS сервери.

Через п’ять днів після реліза чотирнадцятої версії Chrome, фахівці компанії Google представили екстрене оновлення для браузера, обновивши додаток до версії 14.0.835.186.

Причиною оперативного випуску патча стала виявлена в коді Flash-плагіна критична zero-day-уразливість. Тобто діра, що допускає можливість захоплення зловмисниками повного контролю над комп’ютером користувача і для якої виробник програмного продукту - Adobe Systems - ще не встиг випустити відповідну заплатку.

• Google устранила критическую уязвимость в Chrome 14 (деталі)

У вересні, 16.09.2011, через півтора місяці після виходу Google Chrome 13, вийшов Google Chrome 14.

В браузері зроблено ряд нововведень. А також виправлено 32 помилки у безпеці, з яких 15 уразливостей позначені як небезпечні, 10 - помірні і 7 - незначні. Серед небезпечних проблем фігурує кілька звертань до областей пам’яті після їхнього очищення, ефект гонки при роботі з кешем сертифікатів, крахи в движку V8, проблема зі збирачем сміття в переглядачі PDF.

• Релиз web-браузера Chrome 14 (деталі)

На минулому тижні, 28.09.2011, вийшов Mozilla Firefox 7. Нова версія браузера вийшла через півтора місяця після виходу Firefox 6 і через 22 доби після виходу Firefox 6.0.2.

Mozilla офіційно представила реліз веб браузера Firefox 7.0, до складу якого включені давно очікувані наробітки по скороченню споживання пам’яті. Випуск Firefox 8 очікується через 6 тижнів, у середині листопада, а Firefox 9 вийде наприкінці року. Крім того, також були випущені Firefox 3.6.23, Firefox 7 for Android, Seamonkey 2.4 і Thunderbird 7.0.

Додам, що вже 29.09.2011 Мозіла випустила Firefox 7.0.1, в якому виправила проблему з доповненнями до браузера (що зникали в версії 7.0).

Зазначу, що окрім нововведень і виправлення помилок у Firefox 7.0 і Firefox 3.6.23 усунути численні уразливості. Усього усунуто 10 уразливостей, з яких 8 мають критичний характер і можуть привести до виконання коду зловмисника при відкритті спеціально створених сторінок.

• Релиз Firefox 7.0 и сопутствующих проектов Mozilla (деталі)

Після виходу Mozilla Firefox 6, Mozilla випустила два оновлення для шостої гілки Firefox - 6.0.1 і 6.0.2. Після чого нещадавно випустила сьому версію браузера. Для порівняння, для гілки Firefox 5.0 не було зроблено секюріті оновлень (була лише випущена версія 5.0.1 для Mac OS X без секюріті виправлень) і одразу була випущена шоста версія (з секюріті виправленнями).

Mozilla Firefox 6.0.1 вийшов 30.08.2011, а Firefox 6.0.2 вийшов 06.09.2011. В даних версіях браузера були зроблені наступні покращення:

• В Firefox 6.0.1 був доданий захист від підроблених сертифікатів DigiNotar.
• В Firefox 6.0.2 був доданий додатковий захист від підроблених сертифікатів DigiNotar.

В серпні, 02.08.2011, через два місяці після виходу Google Chrome 12, вийшов Google Chrome 13.

В браузері зроблено ряд нововведень. А також виправлено 30 помилок у безпеці, з яких 14 уразливостей позначені як небезпечні, 9 - помірні і 7 - незначні. В тому числі виправлена URL Spoofing уразливість, про яку я писав раніше.

• Релиз web-браузера Chrome 13 с исправлением 30 уязвимостей (деталі)

У серпні, 18.08.2011, вийшов PHP 5.3.7, а вже через п’ять днів, 23.08.2011, вийшов PHP 5.3.8. В яких виправлено більше 90 помилок, в тому числі й чимало уразливостей. Дані релізи направлені на покращення стабільності та безпеки гілки 5.3.x.

Після виходу версії 5.3.7 вияснилося, що в ній має місце уразливість - в функції crypt(). Тому розробники опублікували на сайті офіційне застереження з цього приводу і вже за добу випустили нову версію, в якій зокрема виправили дану уразливість.

Cеред секюріті покращень та виправлень в PHP 5.3.7:

• Оновлений crypt_blowfish до 1.2.
• Виправлений збій в error_log().
• Виправлений buffer overflow при довгій солі в crypt().
• Виправлений баг #54939 (File path injection уразливість в RFC1867 імені файла для завантаження).
• Виправлений stack buffer overflow в socket_connect().
• Виправлений баг #54238 (use-after-free в substr_replace()).
• Оновлений Sqlite3 до версії 3.7.7.1.
• Оновлений PCRE до версії 8.12.
• Виправлено 20 різних вибивань.

Cеред секюріті покращень та виправлень в PHP 5.3.8:

• Виправлений баг #55439 (crypt() повертав лише сіль для MD5).
• Відмінена зміна в обробці таймаутів, для відновлення поведінки PHP 5.3.6, яка призводила до того, що mysqlnd SSL з’єднання підвисали (баг #55283).

По матеріалам http://www.php.net.