Websecurity - Веб безпека

15.10.2010

У липні, 02.07.2010, я знайшов SQL Injection уразливість на сайті http://shtormovoe.kiev.ua. Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливість з’явиться пізніше.

18.07.2011

SQL Injection:

http://shtormovoe.kiev.ua/index.php?content_id=-1%20or%20version()%3E4

Зараз дана уразливість вже не працює. Тому що адміни змінили движок - один дірявий на інший дірявий.

Продовжуючи тему уразливостей в ADSL модемі Callisto 821+, розповім вам про нові уразливості в даному модемі. У квітні, 07.04.2011, я виявив численні Cross-Site Request Forgery та Cross-Site Scripting уразливості в ADSL модемі Callisto 821+ (SI2000 Callisto821+ Router).

Уразлива версія SI2000 Callisto821+ Router: X7821 Annex A v1.0.0.0 / Argon 4×1 CSP v1.0 (ISOS 9.0) [4.3.4-5.1]. Дана модель з іншими прошивками також повинна бути вразливою.

Дані атаки потрібно проводити на власника модему, який залогінений в адмінку. Враховуючи, що малоймовірно застати його в такому стані, то можна використати раніше згадані уразливості для проведення віддаленого логіну (щоб залогінити його в адмінку). Після чого можна спокійно провести CSRF або XSS атаку.

CSRF:

В розділі LAN connection: Ethernet routed (http://192.168.1.1/configuration/lan_create_service.html?
EmWeb_ns:vim:3=/configuration/lan_ether_routed.html) через CSRF можна додати конекшен.

В розділі LAN connection: Ethernet bridged (http://192.168.1.1/configuration/lan_create_service.html?
EmWeb_ns:vim:3=/configuration/lan_ether_bridged.html) через CSRF можна додати конекшен.

В розділі LAN connections (http://192.168.1.1/configuration/lan.html) фунціонал редагування та видалення конекшенів явно також уразливий до CSRF. Але так як в моєму модемі фунціонал створення конекшенів працював некоректно (не можна було їх створити), то не було змоги це перевірити.

XSS:

В вищезгаданих функціоналах багато persistent XSS уразливостей.

http://192.168.1.1/configuration/lan_create_service.html?EmWeb_ns:vim:9=%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://192.168.1.1/configuration/lan_create_service.html?EmWeb_ns:vim:10=%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://192.168.1.1/configuration/lan_create_service.html?EmWeb_ns:vim:11=%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://192.168.1.1/configuration/lan_create_service.html?EmWeb_ns:vim:15=%3Cscript%3Ealert(document.cookie)%3C/script%3E

А також атаки через імена параметрів (коли XSS код задається в імені параметра), про що я писав раніше.

В даному випадку код виконається одразу, а також при відвіданні сторінок http://192.168.1.1/system/events.html і http://192.168.1.1/shared/event_log_selection.html.

В розділі LAN connection: Ethernet routed (http://192.168.1.1/configuration/lan_create_service.html?
EmWeb_ns:vim:3=/configuration/lan_ether_routed.html) у всіх текстових полях та деяких прихованих полях мають місце persistent XSS уразливості (включаючи XSS атаки через імена параметрів).

В даному випадку код виконається одразу, а також при відвіданні сторінок http://192.168.1.1/system/events.html і http://192.168.1.1/shared/event_log_selection.html. А у випадку деяких полів XSS код спрацює на сторінці http://192.168.1.1/configuration/lan.html.

В розділі LAN connection: Ethernet bridged (http://192.168.1.1/configuration/lan_create_service.html?
EmWeb_ns:vim:3=/configuration/lan_ether_bridged.html) у всіх текстових полях та деяких прихованих полях мають місце persistent XSS уразливості (включаючи XSS атаки через імена параметрів).

В даному випадку код виконається одразу, а також при відвіданні сторінок http://192.168.1.1/system/events.html і http://192.168.1.1/shared/event_log_selection.html. А у випадку деяких полів XSS код спрацює на сторінці http://192.168.1.1/configuration/lan.html.

В даній добірці уразливості в веб додатках:

• HP Data Protector Backup Client Service GET_FILE Directory Traversal Vulnerability (деталі)
• HP Data Protector Backup Client Service bm Message Processing Remote Code Execution Vulnerability (деталі)
• Path disclousure in phpMySport (деталі)
• SQL Injection in phpMySport (деталі)
• HP Data Protector Backup Client Service omniiaputil Message Processing Remote Code Execution Vulnerability (деталі)
• HP Data Protector Backup Client Service HPFGConfig Remote Code Execution Vulnerability (деталі)
• SQL Injection in Phenotype CMS (деталі)
• Huawei HG default WEP/WPA generator (деталі)
• SQL Injection in Phenotype CMS (деталі)
• XSRF (CSRF) in PHP MicroCMS (деталі)

Продовжуючи тему уразливостей в ADSL модемі Callisto 821+, розповім вам про нові уразливості в даному модемі. У квітні, 07.04.2011, я виявив численні Cross-Site Request Forgery та Cross-Site Scripting уразливості в ADSL модемі Callisto 821+ (SI2000 Callisto821+ Router).

Уразлива версія SI2000 Callisto821+ Router: X7821 Annex A v1.0.0.0 / Argon 4×1 CSP v1.0 (ISOS 9.0) [4.3.4-5.1]. Дана модель з іншими прошивками також повинна бути вразливою.

Дані атаки потрібно проводити на власника модему, який залогінений в адмінку. Враховуючи, що малоймовірно застати його в такому стані, то можна використати раніше згадані уразливості для проведення віддаленого логіну (щоб залогінити його в адмінку). Після чого можна спокійно провести CSRF або XSS атаку.

CSRF:

Дана уразливість дозволяє очистити логи подій.

Callisto 821+ CSRF15.html

XSS:

http://192.168.1.1/system/events.html?%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

XSS (persistent):

POST запит на сторінці http://192.168.1.1/system/events.html. XSS код потрібно задати в імені параметра (після крапки). Уразливі наступні параметри: EmWeb_ns:vim:2., EmWeb_ns:vim:7., EmWeb_ns:vim:11., EmWeb_ns:vim:12., EmWeb_ns:vim:13., EmWeb_ns:vim:14., EmWeb_ns:vim:15.

В даному випадку код виконається одразу, а також при відвіданні сторінок http://192.168.1.1/system/events.html і http://192.168.1.1/shared/event_log_selection.html.

До такої persistent XSS уразливості через ім’я параметра вразливий майже весь функціонал адмінки (той, що працює через POST). Про деякі подібні дірки через довільні параметри в інших розділах адмінки я вже писав раніше.

14.10.2010

У липні, 02.07.2010, я знайшов SQL Injection уразливість на сайті http://pmk6.com.ua. Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

15.07.2011

SQL Injection:

http://pmk6.com.ua/index.php?content_id=-1%20or%20version()%3E4

Дана уразливість досі не виправлена.

11.02.2011

Сьогодні я знайшов можливість виконання коду в TinyBrowser - файл менеджері для редактора TinyMCE. Що можливе через обхід захисних фільтрів веб додатку. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про Arbitrary File Upload уразливість в TinyBrowser.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатку.

14.07.2011

Code Execution:

Можливе виконання коду в TinyBrowser (на веб серверах IIS і Apache).

Код виконається через завантаженні файла. Програма вразлива до трьох методів виконання коду: через використання символа “;” (1.asp;.txt) в імені файла (IIS), або через “1.asp” в імені папки (IIS), або через подвійне розширення (1.php.txt) (Apache).

Уразливі TinyBrowser v1.42 та попередні версії (та всі веб додатки, що його використовують, такі як TinyMCE). Як повідомив мені автор веб додатку, в версії 1.43 (яка офіційно ще не вийшла) він виправив дані уразливості.

31.07.2010

У липні, 01.07.2010, я знайшов SQL Injection та Redirector уразливості на проекті http://www.skypatrol.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

13.07.2011

SQL Injection:

http://www.skypatrol.com.ua/c.php?id=1%20and%20version()=5

Redirector:

http://www.skypatrol.com.ua/c.php?…&url=http://websecurity.com.ua

Дані уразливості досі не виправлені.

Раніше я вже багато разів, починаючи з 2007 року, розповідав про уразливості на сайтах Укртелекома, а також в їхніх Інтернет і телекомунікаційних послугах та в модемах Callisto, що він видає своїм клієнтам. Який був моїм Інтернет провайдером на протязі 2007-2011 років. І от на початку травня я змінив провайдера на Bilink, який, як виявилося, також погано слідкує за безпекою власних сайтів.

У травні, 07.05.2011, одразу ж як підключився до них, я знайшов Insufficient Authentication, Abuse of Functionality та Brute Force уразливості на сайті https://my.bilink.ua. Про що ще в травні повідомив даному провайдеру.

Insufficient Authentication:

При спеціальному запиті можлива зміна паролю довільному акаунту (де xxxxxxx - це логін).

https://my.bilink.ua/userLogin?dogovor=xxxxxxx&first_enter=1

Abuse of Functionality:

https://my.bilink.ua/userLogin?dogovor=xxxxxxx&first_enter=1

Можна виявляти робочі логіни в системі (якщо виводить “Ваш аккаунт не підключений”, значить такого логіна немає в системі, а якщо пароль змінився, значить є такий логін).

Brute Force:

https://my.bilink.ua/userLogin

Перші дві уразливості вже виправлені, але BF досі не виправлена.

В даній добірці уразливості в веб додатках:

• IBM Lotus Domino iCalendar Meeting Request Parsing Remote Code Execution Vulnerability (деталі)
• IBM Lotus Domino LDAP Bind Request Remote Code Execution Vulnerability (деталі)
• Path disclousure in OpenCart (деталі)
• SQL Injection in LightNEasy (деталі)
• IBM Lotus Domino Calendar Request Attachment Name Parsing Remote Code Execution Vulnerability (деталі)
• IBM Lotus Domino IMAP/POP3 Non-Printable Character Expansion Remote Code Execution Vulnerability (деталі)
• Path disclousure in ocPortal (деталі)
• CSRF (Cross-Site Request Forgery) in Open blog (деталі)
• Linksys WAP610N Unauthenticated Root Consle (деталі)
• Skadate Multiple Persistent Cross Site Scripting Vulnerabilities (деталі)

29.07.2010

У липні, 01.07.2010, я знайшов SQL Injection та Redirector уразливості на проекті http://pearl-ua.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

11.07.2011

SQL Injection:

http://pearl-ua.com.ua/c.php?id=1%20and%20version()=5

Redirector:

http://pearl-ua.com.ua/c.php?id=1&url=http://websecurity.com.ua

Якщо перша уразливість вже виправлена, то друга до сих пір не виправлена.