Websecurity - Веб безпека

Тиждень тому, 05.01.2007, вийшла нова версія движку WordPress 2.0.6 (не одразу написав про це, так як був дуже заклопотаний останнім часом). Всім хто використовує попередні версії движка рекомендується оновити движок своїх сайтів. Але дуже поспішати не варто, тому що і в новій версії існують уразливості (про що я буду розповідати), які потібно буде виправляти, тому виважено підходьте до апгрейда.

WordPress 2.0.6 - це останній стабільний реліз Вордпреса, який доступний для скачування з сайта виробника. В цьому релізі було виправлено чимало уразливостей та помилок, тому в першу чергу це секюріті фікс випуск, і розробники всім рекомендують оновити свій движок. В цій версії також виправили чимало дір, про які я згадував в записах Численні уразливості в WordPress та Нові уразливості в WordPress (але ще є дірі, які потрібно виправляти).

Серед головних оновлень цієї версії:

• Численні секюріті виправлення
• Підтримка HTML quicktags для браузера Safari
• Фільтрація коментарів, для запобігання псуванню ними дизайна блога
• Сумісність з PHP/FastCGI налаштуванням

Для розробників була зроблена нова анти-XSS функція та новий фільтр SQL запитів (зокрема і на моє прохання, бо доводилося багато разів звертати увагу розробників WP на існуючі недоліки). Розробникам плагінів та додатків для WordPress рекомендується використовувати нові функції.

Вчора випустив нову версію програми MustLive/BPG MySQL Perl/CGI Client v1.06.

В новій версії 1.06:

• Виправив визначення форматів колонок-полів зі застарілого $sth->{’format_type_name’} на $sth->{’TYPE’} (для нових версій DBI).
• Виправив XSS уразливість в “SQL запит до Бази Даних” і унеможливив XSS атаки через додавання даних в БД та їх редагування.
• Зробив деякі невеличкі виправлення.

У власних розробках я також слідкую за безпекою, не тільки ж на інших сайтах шукати уразливості . Тому використовуючи мої програми можна бути впевненими в їх безпеці.

Додаткова інформація про MySQL Perl/CGI Client в розділі Онлайн інструменти.

Вчора вийшла нова версія програми Perl Pas Interpreter v.1.2.8. В новій версії:

• Покращена робота зі строковим типом даних.
• Додана функція copy.
• Додана функція concat.
• Покращена робота форматів виводу з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

Для пінгування віддалених хостів існують безліч утіліт. Переважно це “настольні” програми для різних операційних систем (є пінг для Windows, для Linux та інших систем). А також утіліти для пінгування можуть створюватися на серверних мовах. Нещодавно з’явилась програма JavaScript WebPing - це розробка пінга на клієнтській мові для браузера.

JavaScript WebPing - це реалізація пінга на Java Script. Це перша подібна розробка. І пінг на Java Script надає нові можливості для розробників.

Подібний функціонал може знадобитися для сканування віддалений хостів і сервісів (тому що можливе сканування по портам). Наприклад в парі з CSS-трюком, про який я розповідав (Використання CSS для розкриття інформації), можна перевіряти на працездатність (валідність) адреси хостів тої ж локальної мережі, щоб зібрати і перевірити необхідну інформацію для подальшої атаки. А також для використання уразливостей на локальних машинах, або у випадку XSS-вірусів.

Окрім безпосередньо хакерського застосування, подібний функціонал може бути використаний для онлайн сервіса пінгування хостів (як онлайн утіліта), на ряду з пінгом на серверних мовах.

Ось дві цікаві програми від ha.ckers.org, які можуть стати у нагоді спеціалістам з веб безпеки для тестування сайтів на уразливості. Це програми XSSFuzz та XSS Testing Greasemonkey Script. Як видно з їх назв - це допоміжні утіліти для тестування XSS уразливостей.

XSSFuzz - це програма на перлі від RSnake для тестування XSS (зокрема variable width encoding issues).

XSS Testing Greasemonkey Script (XSS assistant) - це програма на ява-скрипт (для Greasemonkey) від Whiteacid для тестування XSS уразливостей в формах. Дозволяє відправити XSS у всі поля вибранної форми (що за звичай я роблю вручну), тим сами прискорюючи процес тестування веб додатків.

Сам я для тестування використовую лише свій розум, а також браузер (в основному Mozilla) для самого тестування та GVIM для запису результатів. Але подібні невеличкі утіліти також можуть стати у нагоді.

Нещодавно PHP Development Team оголосила про вихід обновленої версії PHP 5.2.0.

У поточній версії представлений новий менеджер пам’яті для Zend Engine, додане розширення JSON, з’явилася можливість створення і редагування файлів ZIP, доданий новий режим помилок E_RECOVERABLE_ERROR, нові можливості керування інформацією про дату і час, обновлені бібліотеки SQLite, PCRE, OpenSSL, MySQL і PostgreSQL, виправлено безліч помилок у системі безпеки.

Як повідомив RSnake на своєму сайті, вийшла XSS Shell. На що я й звертаю вашу увагу - усіх хто цікавиться темою Cross-Site Scripting, як зі сторони нападу, так і зі сторони безпеки.

XSS Shell - це потужній інструмент для віддаленого контролю за жертвою за допомогою XSS уразливостей. Я вже згадував раніше про можливість підібного в записі Просунутий міжсайтовий скриптінг із віддаленим контролем у реальному часі (для кращого розуміння проблеми варто цю статтю прочитати).

На даний момент можна виділити наступні XSS системи з віддаленим контролем:

• XSS Proxy
• backweb
• BeEF Exploitation Framework
• XSS Shell

В цьому відношенні гострою проблемою стають сайти зомбі. Тому що будь-хто (в браузері з підтримкою java-script), на будь-якому сайті (уразливому до XSS) може стати жертвою хакерської атаки. Тому приділяйте увагу безпеці ваших сайтів.

Вчора вийшла нова версія движку WordPress 2.0.5. Всім хто користується попередніми версіями рекомендується оновити движок своїх сайтів.

WordPress 2.0.5 - це останній стабільний реліз Вордпреса, який доступний для скачування з сайта виробника. В даному релізі виправлено чимало помилок і секюріті уразливостей (близько 50 бакфіксів після попередньої версії), тому остання версія дуже рекомендована для всіх користувачів движку WordPress.

Зокрема були виправлені ті уразливості, про які я повідомив розробників Вордпрес (в тому числі Численні уразливості в WordPress). Але враховуючи мою завантаженність, а також деяки проблеми (в минулу п’ятницу заглючила материнська плата, і до сих пір її ще не відремонтували, і тому я без свого ПК), я не встиг написати їм деталі про всі знайдені уразливості в WP (із числа тих, що запланував розповісти, бо ще чимало я планував їм розповісти вже після виходу нової версії). Тому я найближчим часом планую вислати розробникам WP нову інформацію, щоб непофіксені досі уразливості були виправлені в наступному релізі.

Нещадавно відбулися дві важливі події в житті кожного інтернетчика і веб розробника: 19.10 вийшов IE7, а 24.10 вийшов Firefox 2.0.

Firefox 2.0

Нова версія Firefox містить нові теми інтерфейсу і додаткові засоби безпеки, такі як вбудований захист від фішинга. Крім того, вона наділена пам’яттю сеансу, котра при повторному відкритті браузера повертає його на ті веб-сторінки, що проглядалися перед виходом із програми. Внесено зміни й у технологію імпорту RSS, що тепер пропонує список каналів з назвами і першими рядками.

Internet Explorer 7

Нова версія IE пропонує користувачам можливість переглядати веб-сайти в закладках, оснащена вбудованим модулем для читання каналів RSS, поліпшеною функцією друку та захистом від фішинга.

При тому, що IE7 щойно вийшов, в ньому вже знайдені уразливості про що я окремо повідомлю.

FF2 я вже викачав, для ознайомлення з найостаннішою версією Firefox (бо зараз я користуюся Mozilla та старою версією Firefox). Потрібно рухатися далі. Ну і оцінити новий продукт зі сторони безпеки. IE7 поки ще не викачував, але з часом прийдеться це зробити - щоб мати можливість тестувати веб сайти. Щоб вони корректно функціонували як в старих версіях браузерів, так і нових версіях (IE та Firefox).

Деякий час тому вийшла версія PHP v.5.1.6 - розробниками з PHP Development Team була випущена нова версія мови програмування PHP п’ятого покоління, яка широко використовується для створення веб додатків.

У даному релізі виправляються помилки, а також зроблені інші корисні зміни й поліпшення. Зокрема цей реліз виправляє помилку, що стосувалася обмежень пам’яті на 64-бітних системах.