Websecurity - Веб безпека

24.04.2007

У грудні, 25.12.2006, я знайшов нову Cross-Site Scripting уразливість на популярному проекті http://liga.net. Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливість на www.liga.net.

Детальна інформація про уразливість з’явиться пізніше.

12.09.2007

XSS:

• alert(document.cookie)
• цікавий
• html включення

Дана уразливість досі не виправлена.

В даній добірці уразливості в веб додатках:

• MailEnable Web Mail Client Multiple Vulnerabilities (деталі)
• XSS vulnerability in Apple Safari (деталі)
• Safari Improperly Parses HTML Documents & BlogSpot XSS vulnerability (деталі)
• Full Disclosure: Arbitrary Code Execution in LedgerSMB (деталі)
• IBM Rational ClearQuest Web - Cross Site Scripting (деталі)
• FdScript <= v1.3.2 Remote File Disclosure Vulnerability (деталі)
• PHP Membership Manager Cross-Site Scripting Vulnerability (деталі)
• PHP remote file inclusion vulnerability in the Prillian French module for phpBB (деталі)
• PHP-інклюдинг в phpBB Security Suite IP Logger (деталі)
• Міжсайтовий скриптінг в TorrentFlux (деталі)
• Multiple PHP remote file inclusion vulnerabilities in Multi-Page Comment System (MPCS) (деталі)
• PHP remote file inclusion in N/X 2002 Professional Edition Web Content Management System (WCMS) (деталі)
• Cross-site scripting vulnerability in phpFaber Content Management System (CMS) (деталі)
• SQL-ін’єкція в ackerTodo (деталі)
• Security Vulnerability in RSA Signature Verification Affects Sun Java System Application Server, Proxy Server and Web Server (деталі)

Деякий час тому була знайдена серйозна Information disclosure уразливість в Гуглі. Про що повідомив Ronald van den Heetkamp в своєму записі Breaking News: Files From Google On the Streets. Уразливість була в інструменті Removal of websites tool Гугла.

Виявлена дірка доволі серйозна. Тому що папка зі скриптами для роботи з утилітою видалення сайтів з індекса Гугла була не захищена і доступна для усіх бажаючих. Котру і знайшли хакери і опублікували інформацію про дану папку та URL до неї.

Directory Indexing:

http://services.google.com:8882/urlconsole/

Зараз Google прикрив дану дірку, тому потрапити в цю папку і подивитися на розміщені в ній файли не вийде. Але Рональд наводить в себе деяку інформацію з файла конфігурації програми urlremover Гугла, звідки він зокрема дізнався логін та пароль доступу до БД (root та k00k00). І окрім цього, Рональд розмістив в себе на сайті архів з деякими файлами з тієї папки Гугла (з утилітою), тому всі кому цікаво, можуть ознайомитися з ними.

20.04.2007

У грудні, 22.12.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://cool.a.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

10.09.2007

XSS:

• alert(document.cookie)
• цікавий
• html включення (PR5)

Дана уразливість досі не виправлена.

В даній добірці уразливості в веб додатках:

• Cross-site scripting (XSS) vulnerability in Trac before 0.10.3.1 (деталі)
• Обхід захисту tor (protection bypass) (деталі)
• Python 2.5 (Modules/zlib) minigzip local buffer overflow vulnerability (деталі)
• XSS vulnerability in KDE HTML library (kdelibs), as used by Konqueror 3.5.5 (деталі)
• Open Conference Systems = 2.8.2 Remote File Inclusion (деталі)
• AdMentor (banners) admin SQL injection (деталі)
• local Calendar System v1.1 (lcStdLib.inc) Remote File Include (деталі)
• PHP remote file inclusion vulnerability in CyberBrau 0.9.4 (деталі)
• SQL-ін’єкція в системі управління змістом ConPresso CMS (деталі)
• PHP remote file inclusion vulnerability in AROUNDMe (деталі)
• Multiple PHP remote file inclusion vulnerabilities in PHPmybibli (деталі)
• PHP-інклюдинг в BasiliX (деталі)
• Міжсайтовий скриптінг і SQL-ін’єкція в OlateDownload (деталі)
• PostNuke <= 0.763 (PNSV lang) Remote Code Execution Exploit (деталі)
• Multiple PHP remote file inclusion vulnerabilities in Security Suite IP Logger in dwingmods for phpBB (деталі)

Деякий час тому в WordPress були знайдені дві уразливості (низького ризику, але тим не менш) - Full path disclosure та Table Prefix disclosure (даний тип уразливостей я називаю SQL DB Structure Extraction).

Full path disclosure та Table Prefix disclosure:
http://site/index.php?m[]=

Уразливі версії WordPress 2.1 Alpha 3 та WordPress =>2.0.6. Версії WordPress <=2.0.5 вразливі лише до Full path disclosure (як я перевірив). Дірка пов'язана з тим, що при некоректному параметрі m, WP виводить повідомлення про помилку.

По замовчуванню Вордпрес виводить повідомлення про помилки, тим самим створюючі витоки важливої інформації. Я вже писав про подібні уразливості в WordPress знайдені мною. В даному випадку треба або перевіряти параметр m, або відключити виведення даних повідомлень (і тим самим виправити чимало дірок в WP).

• Wordpress disclosure of Table Prefix Weakness (деталі)

18.04.2007

У грудні, 22.12.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://work.a.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

08.09.2007

XSS:

• alert(document.cookie)

Дана уразливість вже виправлена.

Як повідомив RSnake в своєму записі Internal Info Leak Via Google Calendar, в сервісі Google Calendar існує витік інформації.

Для пошуку конфеденційної інформації потрібно використати деякі google dorks в пошуці в Календарі Гугла. Дана методика зветься Гугл хакінг, і в даному випадку пошук ведеться не в головній пошуковій системі, а у внутрішньому пошуці в Календарі (для чого потрібно залогінитися в свій гугловський акаунт).

В пості RSnak’а, а також в коментарях, наводяться наступні дорки для пошуку важливої інформації: passcode intranet, password intranet та username password. Перші два вже не працюють (Гугл пофіксив), а ось останній ще працює (і деякі логіни та паролі користувачів можна знайти). Від себе запропоную дорк “login password”, котрий видає ще більше інформації ніж попередній .

Цікава уразливість в даному сервісі Google. Котра може бути використана для пошуку конфеденційної інформації про користувачів, а також для пошуку таких даних, як логіни та паролі. Гуглу потрібно зайнятися безпекою сервіса Calendar, як і інших своїх сервісів, зокрема Blogspot.

В даній добірці уразливості в веб додатках:

• SQL injection vulnerability in Jelsoft vBulletin (деталі)
• Remote File Inclusion in Craig Knudsen WebCalendar (деталі)
• Drupal Project issue tracking Module 4.7 (деталі)
• Vulnerability in the Nodefamily module for Drupal 5.x (деталі)
• Multiple buffer overflows in Ezstream (деталі)
• Vulnerability in ISPUtil (деталі)
• Vulnerability in Trac before 0.10.3.1 (деталі)
• SQL injection vulnerability in Techno Dreams Announcement (деталі)
• Vulnerability in NmnLogger (деталі)
• Cross-site scripting (XSS) vulnerability in foresite CMS (деталі)
• PHP-інклюдинг в VideoDB (деталі)
• PHP-інклюдинг в AllMyGuests (деталі)
• SQL injection vulnerability in Simplog 0.9.3.1 (деталі)
• PHP remote file inclusion vulnerability in PHPRecipeBook 2.36 (деталі)
• SQL-ін’єкція та інклюдинг локальних файлів в OpenBiblio (деталі)

16.04.2007

У грудні, 21.12.2006, я знайшов Cross-Site Scripting уразливості на відомому проекті http://www.interfax.ru (інтернет ЗМІ). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

06.09.2007

XSS:

• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Дані уразливості досі не виправлені.