Websecurity - Веб безпека

16.11.2006

У вересні, 20.09.2006, я знайшов Cross-Site Scripting уразливості на відомому проекті http://www.wm-exchanger.com (сервіс обміну веб грошей). Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже згадував про уразливість в іншому обміннику веб грошей, зокрема про уразливість на www.allmoney.com.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

27.01.2007

XSS:

• alert(document.cookie)
• alert(document.cookie)

Уразливості вже виправлені.

Але не до кінця. З невеличкою модифікацією вони знову працюють (клікніть на поля “E-mail” та “Логин”).

• alert(’xss’)
• alert(document.cookie)
• alert(document.cookie)
• цікавий

Адмінам ww.wm-exchanger.com варто більш ретельно виправляти уразливості.

В даній добірці уразливості в веб додатках:

• SQL Injection Vulnerability in bfExplorer 0.0.6 (деталі)
• Sun java System Messenger Express XSS (деталі)
• WFTPD Pro Server 3.23 Buffer Overflow (деталі)
• WarFTPd 1.82.00-RC11 Remote Denial Of Service (деталі)
• Hosting Controller Multiple Vulnerabilities (деталі)
• Cross Site Scripting (XSS) Vulnerability in Web Mail platform by “Mirapoint” (деталі)
• Cross Site Scripting (XSS) Vulnerability in “ViewImage.asp” by Daronet Internet Solutions (деталі)
• Помилка в бібліотеці Verity в Adobe ColdFusion (деталі)
• Multiple PHP remote file inclusion vulnerabilities in Tutti Nova 1.6 (деталі)
• PHP-інклюдинг в Sonium Enterprise Adressbook (деталі)

31.10.2006

В минулому місяці, 20.09.2006, я знайшов Cross-Site Scripting уразливість на відомому проекті http://www.allmoney.com.ua (сервіс обміну веб грошей). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

25.01.2007

XSS:

• alert(document.cookie)

Уразливість вже виправлена.

В даній добірці уразливості в веб додатках:

• SQL in WebWizForum by almaster hacker (деталі)
• Multiple XSS Vulnerabilities in Zend Google Data Client Library Preview 0.2.0 (деталі)
• Essentia Web Server 2.15 Buffer Overflow (деталі)
• Cross Site Scripting (XSS) Vulnerability in Web Mail service by “Walla! Communications LTD” (деталі)
• Cross Site Scripting Vulnerability in iPlanet Messaging Server Messenger Express by “Sun” (деталі)
• PHP-Nuke <= 7.9 Journal module (search.php) "forwhat" SQL Injection vulnerability (деталі)
• phpMyConferences <= 8.0.2 Remote File Inclusion (деталі)
• Численні уразливості в sendcard (деталі)
• PHP remote file inclusion vulnerability in SportsPHool 1.0 (деталі)
• SQL-ін’єкція в autoDealer (деталі)

08.10.2006

В минулому місяці, 01.09.2006, а також додатково сьогодні, я знайшов чимало SQL Injection та Cross-Site Scripting уразливостей на популярному проекті http://www.daily.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Особливо небезпечними є SQL Injection уразливості (для яких я визначаю степінь ризику як дуже високу, для XSS - як високу), завдяки яким можливі витоки важливої та конфіденційної інформації.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

23.01.2007

SQL Injection:

• SQL ін’єкція на сторінці page.php
• SQL ін’єкція на сторінці rubric.php
• SQL ін’єкція на сторінці part.php

Та інші скрипти з параметром id.

В скрипті page.php додали додаткову фільтраіцю (або просто його переробили) проти вкладених запитів до БД (які дозволяють отримати будь-яку інформацію в тому числі логіни і хеші паролів адмінів). При тому що в скриптах rubric.php та part.php все ще залишилася можливість подавати вкладені запити.

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)

В параметрах node та sid скриптів вже не працюють уразливості (бо в результаті тех. робіт на сайті вже на існують самі параметри).

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Та інші скрипти з параметром id.

Дані уразливості досі не виправлені - більше як за три місяці, після мого повідомлення адміністраторам. Сайт досі уразливий - майже кожна його сторінка!

Більшість XSS та SQL Injection так і не були виправлені. Використовуйте ці уразливості на власний страх і ризик . Адмінам daily.com.ua варто змінити своє ставлення до безпеки власного сайта.

В даній добірці уразливості в веб додатках:

• PHPEasyData Pro 2.2.1 (index.php) Remote SQL Injection Vulnerability (деталі)
• PHPEasyData Pro 1.4.1 (index.php) Remote SQL Injection Vulnerability (деталі)
• Simple Website Software v0.99 (common.php) Remote File Include (деталі)
• foresite CMS - Cross Site Scripting Issue (деталі)
• easy notes manager sql injection and authentication bypass (деталі)
• freenews—> fileinclude (деталі)
• Cross Site Scripting (XSS) Vulnerability in Netquery by “VIRtech” (деталі)
• Відкритий пароль адміністратора в лог файлах в Adobe Contribute Publishing Server (деталі)
• SQL injection vulnerability in XennoBB 2.2.1 (деталі)
• PHP-інклюдинг в Mambo bigAPE-Backup (деталі)

14.11.2006

У вересні, 18.09.2006, я знайшов Cross-Site Scripting уразливості на відомому проекті http://www.xshop.com.ua (інтернет магазин). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

Раніше я вже згадував про уразливості в іншому інтернет магазині (Уразливості на myshop-in.net).

20.01.2007

XSS:

• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Дані уразливості досі не виправлені.

Продовжуючи тему уразливих президентських сайтів, після публікації новини про Уразливість на сайті Президента Білорусії, анонсую нового номінанта.

Сьогодні я знайшов Cross-Site Scripting уразливість (UXSS в PDF) на http://www.prezident.sk - сайті Президента Словацької республіки. Адмінам сайта www.prezident.sk я вже вислав інформацію про дану уразливість. Так що вони зможуть проаналізувати ситуацію і при бажанні виправити уразливість.

XSS:

• alert(document.cookie)
• alert(’XSS’)
• цікавий

На сайті п’ятого номінанта також не одна подібна UXSS уразливість. Всьго знайшов дві pdf-ки на сайті Президента Словакії, плюс три лінки на pdf-ки на одному урядовому сайті (але потенційно на сайті ще можуть бути подібні діри).

P.S.

Це п’ятий приклад з серії уразливих президентських сайтів. На даний час я припиняю цю президентську фієсту, сподіваюся і відвідувачі мого сайту і самі президенти (та адміни їх сайтів) зрозуміли, що за безпекою треба слідкувати.

Може ще з часом повернуся до цієї теми, а зараз продовжу свою роботу в звичному режимі - буду публікувати інформацію про діри на тих сайтах, які відвідую (а також планую розповісти про діри на сайтах спецслужб - щоб вони не розслаблялися , на додаток до вже опублікованої інформації про діри на сайтах спецслужб США).

В даній добірці уразливості в веб додатках:

• blueshoes filemanager Remote File Include Vunerability (деталі)
• phptreeview Remote File Include (деталі)
• Bcwb 2.5 Multiple Remote File Include (деталі)
• opendocman <= 1.2p3 Bypass admin/user Login (деталі)
• QnECMS <= 2.5.6 (adminfolderpath) Remote File Inclusion Vulnerability (деталі)
• Punbb <= 1.2.13 Multiple Vulnerabilities (деталі)
• Nucleus Core v3.23 - Remote File Include (деталі)
• PHP remote file inclusion vulnerability in AkoComment 1.1 module for Mambo 4.5 (деталі)
• PHP remote file inclusion vulnerability in ANJEL Component for Mambo (деталі)
• Міжсайтовий скриптінг та SQL-ін’єкція в BestWebApp (деталі)

15.11.2006

У вересні, 19.09.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://www.liga.net. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

18.01.2007

XSS:

• alert(document.cookie)
• цікавий
• html включення

Дана уразливість досі не виправлена.