Websecurity - Веб безпека

Вчора вийшла нова версія програми Perl Pas Interpreter v.1.2.8. В новій версії:

• Покращена робота зі строковим типом даних.
• Додана функція copy.
• Додана функція concat.
• Покращена робота форматів виводу з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Для пінгування віддалених хостів існують безліч утіліт. Переважно це “настольні” програми для різних операційних систем (є пінг для Windows, для Linux та інших систем). А також утіліти для пінгування можуть створюватися на серверних мовах. Нещодавно з’явилась програма JavaScript WebPing - це розробка пінга на клієнтській мові для браузера.

JavaScript WebPing - це реалізація пінга на Java Script. Це перша подібна розробка. І пінг на Java Script надає нові можливості для розробників.

Подібний функціонал може знадобитися для сканування віддалений хостів і сервісів (тому що можливе сканування по портам). Наприклад в парі з CSS-трюком, про який я розповідав (Використання CSS для розкриття інформації), можна перевіряти на працездатність (валідність) адреси хостів тої ж локальної мережі, щоб зібрати і перевірити необхідну інформацію для подальшої атаки. А також для використання уразливостей на локальних машинах, або у випадку XSS-вірусів.

Окрім безпосередньо хакерського застосування, подібний функціонал може бути використаний для онлайн сервіса пінгування хостів (як онлайн утіліта), на ряду з пінгом на серверних мовах.

Ось дві цікаві програми від ha.ckers.org, які можуть стати у нагоді спеціалістам з веб безпеки для тестування сайтів на уразливості. Це програми XSSFuzz та XSS Testing Greasemonkey Script. Як видно з їх назв - це допоміжні утіліти для тестування XSS уразливостей.

XSSFuzz - це програма на перлі від RSnake для тестування XSS (зокрема variable width encoding issues).

XSS Testing Greasemonkey Script (XSS assistant) - це програма на ява-скрипт (для Greasemonkey) від Whiteacid для тестування XSS уразливостей в формах. Дозволяє відправити XSS у всі поля вибранної форми (що за звичай я роблю вручну), тим сами прискорюючи процес тестування веб додатків.

Сам я для тестування використовую лише свій розум, а також браузер (в основному Mozilla) для самого тестування та GVIM для запису результатів. Але подібні невеличкі утіліти також можуть стати у нагоді.

Нещодавно PHP Development Team оголосила про вихід обновленої версії PHP 5.2.0.

У поточній версії представлений новий менеджер пам’яті для Zend Engine, додане розширення JSON, з’явилася можливість створення і редагування файлів ZIP, доданий новий режим помилок E_RECOVERABLE_ERROR, нові можливості керування інформацією про дату і час, обновлені бібліотеки SQLite, PCRE, OpenSSL, MySQL і PostgreSQL, виправлено безліч помилок у системі безпеки.

Як повідомив RSnake на своєму сайті, вийшла XSS Shell. На що я й звертаю вашу увагу - усіх хто цікавиться темою Cross-Site Scripting, як зі сторони нападу, так і зі сторони безпеки.

XSS Shell - це потужній інструмент для віддаленого контролю за жертвою за допомогою XSS уразливостей. Я вже згадував раніше про можливість підібного в записі Просунутий міжсайтовий скриптінг із віддаленим контролем у реальному часі (для кращого розуміння проблеми варто цю статтю прочитати).

На даний момент можна виділити наступні XSS системи з віддаленим контролем:

• XSS Proxy
• backweb
• BeEF Exploitation Framework
• XSS Shell

В цьому відношенні гострою проблемою стають сайти зомбі. Тому що будь-хто (в браузері з підтримкою java-script), на будь-якому сайті (уразливому до XSS) може стати жертвою хакерської атаки. Тому приділяйте увагу безпеці ваших сайтів.

Вчора вийшла нова версія движку WordPress 2.0.5. Всім хто користується попередніми версіями рекомендується оновити движок своїх сайтів.

WordPress 2.0.5 - це останній стабільний реліз Вордпреса, який доступний для скачування з сайта виробника. В даному релізі виправлено чимало помилок і секюріті уразливостей (близько 50 бакфіксів після попередньої версії), тому остання версія дуже рекомендована для всіх користувачів движку WordPress.

Зокрема були виправлені ті уразливості, про які я повідомив розробників Вордпрес (в тому числі Численні уразливості в WordPress). Але враховуючи мою завантаженність, а також деяки проблеми (в минулу п’ятницу заглючила материнська плата, і до сих пір її ще не відремонтували, і тому я без свого ПК), я не встиг написати їм деталі про всі знайдені уразливості в WP (із числа тих, що запланував розповісти, бо ще чимало я планував їм розповісти вже після виходу нової версії). Тому я найближчим часом планую вислати розробникам WP нову інформацію, щоб непофіксені досі уразливості були виправлені в наступному релізі.

Нещадавно відбулися дві важливі події в житті кожного інтернетчика і веб розробника: 19.10 вийшов IE7, а 24.10 вийшов Firefox 2.0.

Firefox 2.0

Нова версія Firefox містить нові теми інтерфейсу і додаткові засоби безпеки, такі як вбудований захист від фішинга. Крім того, вона наділена пам’яттю сеансу, котра при повторному відкритті браузера повертає його на ті веб-сторінки, що проглядалися перед виходом із програми. Внесено зміни й у технологію імпорту RSS, що тепер пропонує список каналів з назвами і першими рядками.

Internet Explorer 7

Нова версія IE пропонує користувачам можливість переглядати веб-сайти в закладках, оснащена вбудованим модулем для читання каналів RSS, поліпшеною функцією друку та захистом від фішинга.

При тому, що IE7 щойно вийшов, в ньому вже знайдені уразливості про що я окремо повідомлю.

FF2 я вже викачав, для ознайомлення з найостаннішою версією Firefox (бо зараз я користуюся Mozilla та старою версією Firefox). Потрібно рухатися далі. Ну і оцінити новий продукт зі сторони безпеки. IE7 поки ще не викачував, але з часом прийдеться це зробити - щоб мати можливість тестувати веб сайти. Щоб вони корректно функціонували як в старих версіях браузерів, так і нових версіях (IE та Firefox).

Деякий час тому вийшла версія PHP v.5.1.6 - розробниками з PHP Development Team була випущена нова версія мови програмування PHP п’ятого покоління, яка широко використовується для створення веб додатків.

У даному релізі виправляються помилки, а також зроблені інші корисні зміни й поліпшення. Зокрема цей реліз виправляє помилку, що стосувалася обмежень пам’яті на 64-бітних системах.

Сьогодні вийшла нова версія програми Perl Pas Interpreter v.1.2.7. В новій версії:

• Додана кнопка очищення поля текста програми (в онлайн інтерпретаторі).
• Додана функція delete.
• Додана функція insert.
• Покращена робота read та readln з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

До речі вже вийшов Invision Power Board v2.1.7, тому всі хто користується IPB, можуть оновити свій форум на останню версію.

• IP.Board 2.1.7 and IPB.Blog 1.2.4 Released (деталі)
• Русская версия Invision Power Board v2.1.7 (деталі)

Компанія ibresource повідомляє про вихід російської версії форуму Invision Power Board v2.1.7.

Ця версія містить у собі кілька виправлених критичних помилок з моменту виходу IPB 2.1.6, а також нову утиліту “Антивірус” (цю функцію можна знайти у вкладці “ІНШЕ” в адмінці).

Компанія ibresource рекомендує всім адміністраторам форумів IPB 2.1.x по можливості переходити на нову версію 2.1.7.