Websecurity - Веб безпека

05.10.2006

Вчора, 04.10.2006, я виявив Cross-Site Scripting уразливість в phplist - системі керування розсилками. XSS знайдена в phplist v 2.10.2 (і відовідно вразливі попередні версії - як я перевірив, в версіях до 2.10.2 уразливість працює).

До речі це остання версія phplist (як заявлено на офіційному сайті), тому всім користувачам цієї системи прийдеться бути обережними (і відвідувачам сайтів, де встановлена дана система). Та їм потрібно буде звернутися до розробників за апдейтом, а самим розробникам прийдетья терміново випускати нову версію.

Як я вже казав, дану уразливість в phplist я знайшов, коли заходив на сайт phpbb і виявив уразливість на www.phpbb.com.

Як я провів відповідні досліження, існує чимало уразливих сайтів з цією системою. Зокрема по одному запиту Гугл виводить приблизно 320000 сайтів. Тому в інтернеті зараз є вилика кількість сайтів, яким прийдеться зайнятися власною безпекою (раз раніше цим не зайнялися). На що взагалі потрібен звертати увагу кожен власник сайта.

Серед вразливих сайтів:

http://www.phplist.com
http://www.sed.gr
http://www.chrisvaughn.net
http://www.aliquotconsulting.com
http://www.tomalogy.com.ua
http://www.znayu.org.ua
http://helicon.com.ua
http://lists.longform.ca
http://www.localenergy.org
http://britannicadreams.com

Сайт розробників системи - www.phplist.com - також вразливий, що і не дивно, бо вони на своєму сайті використовують власну ж систему.

Деталі уразливості з’являться трохи згодом, спочатку повідомлю розробників системи та перший десяток власників уразливих сайтів.

11.10.2006

Уразливість в параметрі unsubscribeemail в скрипті index.php системи phplist.

XSS:

http://host/phplist_path/?p=unsubscribe&id=1&unsubscribeemail=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Автор phplist вже випустив нову версію системи (phplist 2.10.3). Всім користувачам даної системи потрібно терміново оновити її до останньої версії, хто ще цього не зробив. Як я вже казав, в інтернеті приблизно 319000-320000 сайтів, які використовують дану систему (по інформації від Гугл), тому їм всім потрібно підвищити безпеку власних сайтів.

В даній добірці уразливості в веб додатках:

• Pie Cart Pro => (Inc_Dir) Remote File Inclusion Exploit (деталі)
• Pie Cart Pro => (Home_Path) Remote File Inclusion Exploit (деталі)
• Bcwb 0.99(root_path)Remote File Include Vulnerability (деталі)
• Gnuturk Portal “t_id” Parameter SQL Injection Vulnerability (деталі)
• aeDating “dir[inc]” File Inclusion Vulnerabilities (деталі)
• A.I-Pifou (Cookie) Local File Inclusion (деталі)
• DotNetNuke HTML Code Injection (деталі)
• Neon WebMail for Java Multiple Vulnerabilities (деталі)
• Міжсайтовий скриптінг в GeoClassifieds Enterprise (деталі)
• MWGuest XSS Vulnerability (деталі)

24.09.2006

В минулому місяці, 25.08.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://news2.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

10.10.2006

XSS:

• alert(document.cookie)

Уразливість вже виправлена.

В даній добірці уразливості в веб додатках:

• Techno Dreams Articles&Papers Package <=v2.0 (ArticlesTableview.asp) Remote SQL Injection Vulnerability (деталі)
• Techno Dreams FAQ Manager Package v1.0(faqview.asp) Remote SQL Injection Vulnerability (деталі)
• AzzCoder => PNphpBB (Latest) Remote File Include (деталі)
• Artmedic Links Script Remote File Include Vulnerability (деталі)
• eSyndiCat Portal System XSS Vuln. (деталі)
• Simple Discussion Board Multiple F.le Inclusion Vulnerability (деталі)
• Tekman Portal v1.0 (tr) SQL Injection Vulnerability (деталі)
• Digital WebShop = v1.128 Multiple Remote File Include Vulnerabilities (деталі)
• SQL-ін’єкція в xpoll (деталі)
• Декілька уразливостей в Nuked-Klan (деталі)

Розповім вам про ще одні уразливості в Гуглі. В минулому місяці я вже писав про XSS уразливість в Гуглі, а зараж продовжу тему уразливостей на сайтах Гугла. Це відома в світі компанія та найпопулярнійший пошуковець, тому й зрозуміла увага, яку приділяють до сайтів Гугла дослідники. І тому сам Гугл повинен серйозно слідкувати за безпекою власних сайтів.

В цьому році в Google було знайдено чимало різноманітних уразливостей. Окрім вже згадуваного мною XSS в Гуглі, в своєму запису Cross Site Scripting Vulnerability in Google (датованого липнем цього року) RSnake повідомляє про нові уразливості в Гуглі (частина з яких вже виправлена). Зокрема про XSS та CSRF. А також про ще один редиректор (я вже писав про попередній редиректор в записі Фішинг за допомогою Yahoo та Google).

До редиректорів я ще поверусь окремо, в інших моїх дослідженнях, а зараз розглянемо XSS та CSRF уразливості.

XSS була знайдена в інструменті додавання RSS feed (в налаштуваннях Персональної сторінки Гугла). Зараз ця уразливість вже виправлена, але ви можете глянути на скріншот на сайті RSnake.

CSRF (Cross Site Request Forgery) була знайдена в інших персоналізованих налаштуваннях Гугла, що дозволяє довільному (зловмисному) сайту змінити дефолтну локацію пошуку по мапам.

В цьому році Гугл все частіше з’являється в новинах - з повідомленням про нові уразливості на їхніх сайтах. Інші пошуковці, до речі, теж не виключення.

22.09.2006

В минулому місяці, 22.08.2006, я знайшов декілька Cross-Site Scripting уразливостей на відомому секюріти проекті http://www.securityfocus.com. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

07.10.2006

XSS:

На сторінці http://www.securityfocus.com/jobs/seekers/register при відправлені POST запиту:
"><script>alert(document.cookie)</script>

В полях: First Name, Last Name, Email, City та Username.

Уразливості вже виправлені.

Власникам секюріти проекта www.securityfocus.com потрібно більше слідкувати за безпекою власного сайту.

В даній добірці уразливості в веб додатках:

• EShoppingPro v1.0(search_run.asp) Remote SQL Injection Vulnerability (деталі)
• Charon Cart v3(Review.asp) Remote SQL Injection Vulnerability (деталі)
• HitWeb v3.0 - Remote File Include Vulnerabilities (деталі)
• Plume CMS <= 1.1.10 [prepend.php] Remote File Include Vulnerability (деталі)
• PHP-Post Multiple Input Validation Vulnerabilities (деталі)
• PHPQuiz Multiple Remote Vulnerabilites (деталі)
• NixieAffiliate all version bypass admin and xss (деталі)
• ECardPro v2.0(search.asp) Remote SQL Injection Vulnerability (деталі)
• Joomla! Colophon 1.2 PHP remote file inclusion vulnerability (деталі)
• MWNewsletter SQL Injection and XSS Vulnerabilities (деталі)

23.09.2006

В минулому місяці, 25.08.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://www.polit.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

06.10.2006

XSS:

• alert(document.cookie)
• цікавий
• html включення

Уразливості досі не виправлені.

В даній добірці уразливості в веб додатках:

• mcLinksCounter v1.1 - Remote File Include Vulnerabilities (деталі)
• ClickBlog! <= v2.0 (default.asp) Admin ByPASS SQL Injection (деталі)
• Busy box httpd file traversal vulenrability (деталі)
• BizDirectory all version xss (деталі)
• PhotoPost PHP 4.6 - 4.5 [PP_PATH] >> Remote File Include Vulnerability (деталі)
• Sql injection in Moodle (деталі)
• MyBB 1.2 Full path and Cross site scripting vulnerabilities (деталі)
• Q-Shop v3.5(browse.asp) Remote SQL Injection Vulnerability (деталі)
• Joomla! LMO 1.0b2 PHP remote file inclusion vulnerability (деталі)
• Виконання довільного коду в Exponent CMS (деталі)

30.07.2006

Попередня уразливість на Рамблері нещодавно була нарешті виправлена, тому настав час повідомити про нові уразливості . Це окрім уразливості на Лєнтє, яку ще не виправили і про яку я повідомлю деталі найближчим часом.

Одразу ж за попередньою уразливістю на пошуковці Рамблер, я знайшов нову уразливість - XSS на Rambler-Гороскопи. Про що найближчим часом поводомлю адміністрації Рамблера, раз вони вже виправили попередній секюріті-баг. І пізніше повідомлю на сайті деталі останної Cross-Site Scripting уразливості на Рамблері.

03.10.2006

Публікація деталей останньої уразливості на Рамблері (одразу декількох XSS на Rambler-Гороскопи) затянулося. Довгий час я чекав пока рамблеровці пофіксять всі попередні уразливості, про які їм повідомив, як на Рамблері, так і на Лєнтє (XSS на Лєнтє, Уразливості на lenta.ru). Так на Рамблері уразливості вони пофіксили, а от на Лєнтє до сих пір і не взялися (вже їм про нові урізливості повідомив на Лєнтє). Дуже затянувся цей процес, тому після повідомлення деталей адмінам (пепередньо повідомив ще в липні), публікую деталі уразливостей.

Одразу 3 уразливості (в трьох параметрах скрипта).

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Уразливості досі не виправлені.