Websecurity - Веб безпека

24.03.2008

У вересні, 05.09.2007, я знайшов Cross-Site Scripting уразливість на проекті http://www.link.ru (веб брокер). Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливості на www.link.ru.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

08.09.2008

XSS:

• alert(document.cookie)

Дана уразливість вже виправлена.

Пропоную вашій увазі нову уразливість в рамках продовження проекту День багів в Google Chrome (Day of bugs in Google Chrome). Вчора я виявив цікавий баг, що безпосередньо впливає на безпеку користувачів браузера Chrome.

При заходженні на https://google.com, Хром видає наступне повідомлення:

Можливо, це не той сайт, який ви шукаєте!
Ви спробували отримати доступ до google.com, але натомість встановлено з’єднання з сервером, який ідентифікує себе як www.google.com. Це може бути спричинено неправильною конфігурацією на сервері або чимось серйознішим. Зловмисник у мережі міг спробувати змусити вас відвідати оманну (та потенційно шкідливу) версію google.com. Рекомендуємо не продовжувати.

Виходить, що Гугл вважає власний сайт небезпечним .

Зображення екрану “Помилка SSL”:

Скріншот на англійській мові: SSL Error.

Цей баг першим виявив автор сайта www.anewmorning.com, в статті про Google Chrome якого я і дізнався про нього. Причому ще в середу, як поставив Хром, я пройшовся по декільком сайтам, в тому числі і на https ресурс заходив, але жодних проблем не виникло (бо заходив я по лінці, а не набирав адресу вручну).

Автор сайта, що виявив баг, заявив, що Хром зовсім на підтримує SSL. Після власних досліджень можу заявити, що SSL він підтримує, але не повноцінно - іноді глючить при SSL з’єднанні . У випадку коли заходять на сайт за адресою “без www” та на сайті існує редирект з “домена без www” на “домен з www”.

Даний баг призводить до появи уразливості в браузері - до появи ризику витоку інформації (зокрема логінів та паролів), у випадку використання звичайного, а не SSL з’єднання з сайтом (навіть коли на сайті є SSL). Бо після отримання такого повідомлення, користувач може або зовсім передумати йти на даний сайт, або перейти на версію сайта без SSL, щоб уникнути даного повідомлення. Тобто Хром сам зменшує безпеку своїх користувачів.

Пропоную вашій увазі мою п’яту уразливість в рамках продовження проекту День багів в Google Chrome (Day of bugs in Google Chrome). Позавчора я виявив нову Automatic File Download уразливість в браузері Google Chrome.

Дана уразливість в Хромі дозволяє автоматично завантажувати файли. На відміну від попередніх трьох Automatic File Download уразливостей (через теги iframe, frame та meta), ця уразливість пов’язана з тегом script - атака відбувається через JavaScript. При цьому браузер залишається на тій же сторінці, тому атака також є прихованою. Ця уразливість може бути корисною у випадку коли існує фільтрація тегів iframe, frame та meta, тоді можна використати JS для проведення даної атаки.

Експлоіт:

Google Chrome Exploit-4.html

Уразлива версія Google Chrome 0.2.149.27.

Пропоную вашій увазі мою четверту уразливість в рамках продовження проекту День багів в Google Chrome (Day of bugs in Google Chrome). Учора я виявив нову Denial of Service уразливість в браузері Google Chrome.

Досліджуючи найпершу DoS уразливість в Хромі (знайдену Rishi Narang), що спрацьовувала при кліку на спеціально створеній лінці, я також виявив, що браузер вилітає, коли дану спеціальну адресу скопіювати і вставити в адресний рядок. Тобто, це інший прояв цієї уразливості. А коли я вчора її опублікував, я виявив, що Хром вилітає при наведенні курсору на дану лінку (DoS при MouseOver). Це вже інша уразливість в браузері, що пов’язана зі вказанням в лінках спеціально створених протоколів - цього разу вона проявляється в статусбарі (що призводить до закриття браузеру).

Для демонстрації DoS уразливості я створив експлоіт, що працює повністю автоматично (тобто курсор сам буде наведений на лінку). При запуску експлоіта Хром одразу вилітає зі своїм повідомлення “Ааа! Google Chrome аварійно завершив роботу. Перезапустити?” (”Whoa! Google Chrome has crashed. Restart now?”) . Причому він не завжди перезапускається після такого.

Експлоіт:

Google Chrome DoS Exploit-3.html

Уразлива версія Google Chrome 0.2.149.27.

Пропоную вашій увазі мою третю уразливість в рамках продовження проекту День багів в Google Chrome (Day of bugs in Google Chrome). Учора я виявив нову Automatic File Download уразливість в браузері Google Chrome.

Дана уразливість в Хромі дозволяє автоматично завантажувати файли. На відміну від попередніх двух Automatic File Download уразливостей (через теги iframe та frame), ця уразливість пов’язана з тегом meta - атака відбувається через meta-refresh. При цьому браузер залишається на тій же сторінці, тому атака також є прихованою.

Експлоіт:

Google Chrome Exploit-3.html

Уразлива версія Google Chrome 0.2.149.27.

Пропоную вашій увазі мою другу уразливість в рамках проекту День багів в Google Chrome (Day of bugs in Google Chrome). Учора я виявив нову Denial of Service уразливість в браузері Google Chrome.

В даному випадку Chrome не виявляє завантаженності процесора, що призводить до перенавантаження комп’ютера (браузер не вилітає, тому це потенційний DoS). Що може бути вирішено лише закриттям необхідного таба чи браузера. При запуску експлоіта Хром одразу починає забирати 100% процесорних ресурсів, що перенавантажує увесь комп’ютер (CPU overload).

Експлоіт:

Google Chrome DoS Exploit-2.html

Уразлива версія Google Chrome 0.2.149.27.

Пропоную вашій увазі мою першу уразливість в рамках проекту День багів в Google Chrome (Day of bugs in Google Chrome). Учора я виявив Denial of Service уразливість в браузері Google Chrome.

В даному випадку Chrome не справляється з зацикленою функцією, що призводить до відмови браузера (DoS). При запуску експлоіта Хром одразу починає забирати 100% процесорних ресурсів та починає поступово забирати пам’ять (resources consumption) - і через деяких час вилітає. Причому вилітає повністю, без свого традиційного повідомлення “Whoa! Google Chrome has crashed. Restart now?” і можливості рестартнути браузер.

Експлоіт:

Google Chrome DoS Exploit.html

Уразлива версія Google Chrome 0.2.149.27.

Як я писав, учора вийшов Google Chrome. І викачавши сьогодні браузер для ознаймовлення з новим продуктом Гугла (до того ж найновішим браузером), я найперше звернув увагу на його безпеку.

І одразу виявив декілька уразливостей в Хромі. Про деякі з них я напишу найближчим часом, а зараз розповім про Automatic File Download уразливості в Google Chrome. Ще до того, як я викачав Хром, в ньому вже були виявлені дві уразливості й розроблені експлоіти для них (про які я детально напишу завтра).

Досліджуючи одну з даних уразливостей, що дозволяла автоматично завантажувати файли (що може бути використано для розповсюдження вірусів), я розробив нову версію експлоіта. Дана уразливість пов’язана з тегом iframe, в якому можна зіслатися на будь-який файл, в тому числі й exe. В моїй версії ескплоіта не потрібен JavaScript, тому він є більш універсальним.

Google Chrome Exploit-1 (original).html

Google Chrome Exploit-1.html

А також я виявив нову уразливість в Chrome, що дозволяє автоматично завантажувати файли - через тег frame.

Google Chrome Exploit-2.html

Уразлива версія Google Chrome 0.2.149.27.

В даній добірці уразливості в веб додатках:

• bloofoxCMS 0.2.2 Remote File Include Vulnerabilitiy (деталі)
• Vulnerability in Maian Weblog v3.1 (деталі)
• Vulnerability in Flip-search-add-on 2.0 (деталі)
• Vulnerability in MySpeach v1.9 (деталі)
• Vulnerability in B2evolution 1.6 RFi (деталі)
• Vulnerability in Maian Gallery v1.0 (деталі)
• Vulnerability in Maian Search v1.1 (деталі)
• RFI vulnerability in phpMyChat-0.14.5 (деталі)
• SQL injection vulnerability in AlstraSoft Video Share Enterprise (деталі)
• Authentication bypass in AlstraSoft Video Share Enterprise (деталі)

Нещодавно, 24.08.2008, після знайдення попередньої, я знайшов нові SQL Injection уразливості в системі myPHPNuke. Дірки я виявив на одному сайті, що використовує даний движок. Про що найближчим часом повідомлю розробникам системи.

SQL Injection:

Уразливості в скрипті sections.php в параметрах artid та secid.

http://site/sections.php?op=viewarticle&artid=-1%20union%20select%20null,null,aid,pwd,null,null,null,null%20from%20mpn_authors%20limit%200,1

http://site/sections.php?op=listarticles&secid=-1%20union%20select%20concat(aid,char(45),pwd)%20from%20mpn_authors%20limit%200,1

Уразливі версії до myPHPNuke 1.8.8_8rc2 (тому що в останній версії наявні додаткові фільтри). При цьому остання версія системи також уразлива - в ній можлива обмежена SQL Injection атака.