Websecurity - Веб безпека

03.10.2008

У грудні, 23.12.2007, я знайшов Cross-Site Scripting в системі Mephisto. Це поширений блог движок. Дірку виявив на одному сайті на даному движку.

Детальна інформація про уразливість з’явиться пізніше. Спочатку повідомлю розробникам системи.

15.04.2009

XSS:

http://site/search/?q=%3Cscript%3Ealert(document.cookie)%3C/script%3E

Уразливі Mephisto 0.7.3 та попередні версії.

Що цікаво, на securityvulns.ru вже була оприлюднена дана уразливість, про що я писав торік. Але я лише в жовтні 2008 знайшов дану інформацію (вже після публікації даного запису).

У липні, 19.07.2008, я знайшов Insufficient Anti-automation та Cross-Site Scripting уразливості на сайті http://www.textil.com.ua. Про що найближчим часом сповіщу адміністрацію сайта. Дані уразливості в PostNuke, про які я писав раніше.

Insufficient Anti-automation:

http://www.textil.com.ua/user.php?uname=test&email=test@test.com&vemail=test@test.com&agreetoterms=1&module=NS-NewUser&op=finishnewuser

XSS:

• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

На сайті використовується WAF (ModSecurity), який я легко обійшов. Про використання флешу для обходу WAF (для проведення XSS атак) я вже писав.

В даній добірці уразливості в веб додатках:

• IP Diva VPN SSL many XSS attacks (деталі)
• IPDiva VPN SSL Brute force attack (деталі)
• LFI in PowerBook 1.21 (деталі)
• Multiple Remote HP Mercury SiteScope Vulnerabilities (деталі)
• Multiple Security Vulnerabilities in Bolinos 4.6.1 (деталі)
• Cuteflow Bin v1.5.0 Local File Inclusion Vuln (деталі)
• e107 My_Gallery Plugin Arbitrary File Download Vulnerability (деталі)
• aeries browser interface(ABI) 3.8.3.14 Remote SQL Injection (деталі)
• EfesTech E-Kontr (id) Remote SQL INJECTION (деталі)
• Alkacon OpenCms users_list.jsp searchfilter XSS (деталі)

Сьогодні я виявив Cross-Site Scripting уразливість в плагіні vbAnonymizer для vBulletin. Про що найближчим часом повідомлю розробникам веб додатку.

Нещодавно я писав про уразливості в vBulletin, які виявилися уразливостями в vbAnonymizer, що є плагіном для vBulletin. Це були Redirector та Cross-Site Scripting уразливості. Якщо до Redirector вразливі всі версії vbAnonymizer, то до XSS вразливі версії до 2.8 (в якій XSS була виправлена).

Але я розробив метод обходу даного захисного фільтру. Тим самим повернувши до життя цю XSS .

XSS:

http://site/redirector.php?url=javascript:alert(document.cookie)//http://

Уразливі vbAnonymizer 3.0 та попередні версії.

24.11.2008

У січні, 22.01.2008, я знайшов Insufficient Anti-automation та Full path disclosure уразливості на проекті http://www.developers.org.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

13.04.2009

Insufficient Anti-automation:

Уразливість в капчі на сторінках записів. Яка вразлива до Constant values bypass method, що я описав в проекті Місяць багів в Капчах.

Для атаки потрібно посилати одне і те саме значення параметра dumb_captcha (dumb_captcha = 9).

Full path disclosure:

http://www.developers.org.ua/wordpress/wp-content/plugins/dumb_captcha.php

Дані уразливості досі не виправлені.

Продовжуючи тему редиректорів в CMS пропоную вам нову добірку редиректорів.

В даних записах я наводжу приклади редиректорів в різних CMS (та інших веб додатках). Дані уразливості можна виявити майже на всіх сайтах, що використовують зазначені системи.

Редиректори в CMS движках:

Bitrix:

• http://www.securitylab.ru/…goto=http://websecurity.com.ua
• http://www.securitylab.ru/…goto=http://websecurity.com.ua
• http://www.securitylab.ru/…goto=http://websecurity.com.ua

Про редиректори на www.securitylab.ru я вже писав в 2007 році.

Openads / OpenX:

• http://ads.fraza.ua/…ck.php?dest=http://websecurity.com.ua

TYPO3 CMS:

• http://www.viland.ua/…?jumpurl=http://websecurity.com.ua

В даній добірці уразливості в веб додатках:

• Infinite invalid authentication attempts possible in BEA WebLogic Server (деталі)
• webutil.pl is still vulnerable against Remote Command Execution (деталі)
• DotNetNuke Default Machine Key Exposure (деталі)
• Баг в модулі CMS DataLife Engine (деталі)
• ZyXEL Gateways Vulnerability Research (деталі)
• phpAddressBook v2.11 Multiple Local File Inclusion Vulnerabilities (деталі)
• New serendipity packages fix cross site scripting (деталі)
• HIS-webshop is vulnerable against Directory-Traversal (www.shoppark.de) (деталі)
• RFI-LFI in PowerClan 1.14a (деталі)
• Multiple LFI in PowerPHPBoard 1.00b (деталі)

У березні, 23.03.2009, я виявив Redirector уразливість, в вчора ще Cross-Site Scripting уразливість в форумному движку vBulletin. Про що найближчим часом повідомлю розробникам веб додатку.

XSS уразливість в vBulletin я виявив на сайті domaintimes.net. Redirector уразливість я перевірив на версіях vBulletin 3.7.0 Beta 5 та 3.7.4. XSS працює в 3.7.0 Beta 5, але вже виправлена в 3.7.4.

Redirector:

http://site/redirector.php?url=http://websecurity.com.ua

XSS:

http://site/redirector.php?url=javascript:alert(document.cookie)

До XSS уразливі vBulletin 3.7.0 Beta 5 та попередні версії, а також потенційно деякі наступні версії. До Redirector вразливі потенційно всі версії vBulletin.

23.09.2007

Ще раз продовжу тему уразливостей на сайтах українських спецслужб. Після вчорашніх уразливостей на www.sbu.gov.ua (СБУ), перейдемо до сайта Служби Зовнішньої Розвідки України (СЗРУ).

В січні, 08.01.2007 (а також додатково сьогодні), я знайшов Cross-Site Scripting уразливості на http://www.szru.gov.ua - сайті Служби Зовнішньої Розвідки України. Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше.

10.04.2009

XSS:

• alert(document.cookie)
• alert(document.cookie)

Дані уразливості вже виправлені. Причому виправили вони їх доволі швидко.

Але 30.09.2007 я знайшов на сайті СЗРУ ще 4 нові уразливості - 2 XSS та 2 SQL Injection, про які також повідомив адміна сайта спецслужби. І якщо обидві XSS дірки були виправлені, то з двох SQL ін’єкцій була виправлена лише одна. Інша SQL Injection не була виправлена і вона працює й досі.

Враховуючи, що працівники СЗРУ наполегливо не хотіли прибирати цю дірку, я в 2008 році написав про неї СБУ, щоб ті поговорили зі своїми колегами з СЗРУ і переконали їх виправити дірку. Але СБУ проігнорували мій лист, так само як і випадку дірок на їхньому сайті, і дана дірка на www.szru.gov.ua працює й досі. Єдине, що рятує СЗРУ від взлому їхнього сайта, це те, що в них на сайті використовується MySQL 3.23.58 . Але небезпека DoS атак на сайт (через SQL Injection) залишається.

Сьогодні я знайшов Cross-Site Scripting та Redirector уразливості на проекті http://domaintimes.net. Про що найближчим часом сповіщу адміністрацію сайта.

XSS:

• alert(document.cookie)
• цікавий

Redirector:

• редиректор