Websecurity - Веб безпека

Нещодавно знайшов цікавий веб сайт (блог) на тему веб безпеки: http://ha.ckers.org/blog/ - ha.ckers.org web application security lab.

Всім рекомендую, кто цікавиться темою безпеки (і веб безпеки зокрема). В майбутньому планую викласти на сайті перелік корисних веб сайтів на тему безпеки, з числа моїх обраних (і які можу порекомендувуати).

Останні п’ять цікавих тем:

• Brute Force Password Guessing (деталі)
• Masking XSS Attacks (деталі)
• Redirection in Yahoo Forwards Phishing (деталі)
• Email Risks (деталі)
• Why XSS is Here to Stay (деталі)

27.08.2006

На початку місяця, 07.08.2006, знайшов декілька Cross-Site Scripting уразливостей на відомому проекті http://www.liveinternet.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

03.09.2006

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• цікавий

Уразливості досі не виправлені.

В даній добірці експлоіти в веб додатках:

• POWERGAP <= 2003 (s0x.php) Remote File Include Vulnerability (деталі)
• Mambo mambelfish Component <= 1.1 Remote File Include Vulnerability (деталі)
• Joomla com_jim Component <= 1.0.1 Remote File Include Vulnerability (деталі)
• Joomla Mosets Tree <= 1.0 Remote File Include Vulnerability (деталі)
• vBulletin Version 3.5.4 exploit (деталі)

В даній добірці уразливості в веб додатках:

• Smart Traffic Remote File Include Vulnerability (деталі)
• Diesel Paid Mail getad.php Cross-Site Scripting Vulnerability (деталі)
• Diesel Job Site forgot.php Cross-Site Scripting (деталі)
• SimpleBlog 2.0 <= "comments.asp" SQL Injection Exploit (деталі)
• PHP iAddressBook Cross-Site Scripting and Script Insertion (деталі)
• PHP iAddressBook “cat_name” Script Insertion Vulnerability (деталі)
• PHProjekt Content Management Module “pre_path” File Inclusion (деталі)
• VistaBB <= 2.x Multiple File Inclusion Vulnerabilities (деталі)
• Integramod Portal <= 2.x File Inclusion Vulnerability (деталі)
• PHP-інклюдинг в PortailPHP (деталі)

25.08.2006

На початку місяця, 02.08.2006, знайшов декілька уразливостей (Cross-Site Scripting та Full path disclosure) на відомомму проекті http://www.searchanyway.com (PPC search engine). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

02.09.2006

XSS:

• alert(document.cookie)

XSS:

На сторінці http://www.searchanyway.com/ru/scripts/showbids.php.

При подачі POST запиту можливий XSS-напад:
"><script>alert(document.cookie)</script>

Full path disclosure:

На сторінці http://www.searchanyway.com/ru/scripts/showbids.php.

P.S.

Досі не вcі уразливості виправлені.

В даній добірці експлоіти в веб додатках:

• Woltlab Burning Board <= 2.3.5 (links.php) SQL Injection Exploit (деталі)
• CubeCart <= 3.0.11 (oid) Remote Blind SQL Injection Exploit (деталі)
• IRSR <= 0.2 (_sysSessionPath) Remote File Include Vulnerability (деталі)
• WTcom <= 0.2.4-alpha (torrents.php) Remote SQL Injection Vulnerability (деталі)
• Exploits XMB <= 1.9.6 Final basename() 'langfilenew' arbitrary local inclusion / remote commands xctn (деталі)

У той час як усе більше число компаній прагне відкривати онлайнові сервиси і власні представництва в Інтернеті, статистика організації Web Application Security Consortium показує, що кількість взломів веб-додатків неухильно зростає. Якщо якийсь час тому хакери здебільшого організовували мережні атаки, метою яких був взлом і одержання контролю над ПК чи сервером, то торік був відзначений 70-відсоткове зростання числа взломів веб-сайтів, у порівнянні з показниками 2004 року. Багаторазовим атакам торік, зокрема піддавалися ресурс Sourceforge.net і соціальна мережа MySpace.com.

Серед основних причин негативної тенденції називають широку приступність необхідних для атаки програмних засобів, що будь-який бажаючий може відшукати за допомогою будь-якого онлайнового пошуковця. Друга причина - недостатня увага з боку розроблювачів сайтів до питань безпеки.

Захищеність сайту від взлому найбільш критична для банків, усе більше число яких прагнуть надавати свої послуги через Інтернет. Відповідно до недавньої статистики Bank of America, торік послугами банку онлайн скористалося на 70 відсотків більше клієнтів, чим у 2004 році.

Нагадаємо, що торік найбільші банки Washington Mutual, Bank of America і Wells Fargo були змушені відмовитися від використання PIN-кодів при здійсненні грошових переказів і перевипустити кілька тисяч платіжних карт після того, як шляхом комп’ютерного взлому була викрадена клієнтська база даних. З розкраданням конфіденційних даних зіштовхнулися торік також банк HSBC і брокерська компанія Scottrade.

При цьому на обачність самих користувачів, що нерідко стають жертвами фішинга, розраховувати також не приходиться. За результатами опитування, проведеного банком TD Canada Trust серед більш 700 клієнтів, про потенційну загрозу фішинга були інформовані лише 30 відсотків респондентів. У той час як більшість цілком довіряє банку в питаннях захисту інформації. Незважаючи на те, що увага до проблеми поступово підвищується, і компанії всі частіше використовують програмні й апаратні засоби захисту інформації, по оцінках експертів, нинішній рік обіцяє бути нітрохи не краще попереднього.

По матеріалам http://security.compulenta.ru.

В даній добірці уразливості в веб додатках:

• mtg_myhomepage Component For Mambo R.F.I (деталі)
• Barracuda Vulnerability: Arbitrary File Disclosure (деталі)
• Barracuda Vulnerability: Hardcoded Password (деталі)
• faille include in “VeriTECH” isreal (деталі)
• BlackBoard Multiple Vulnerabilities (XSS) (деталі)
• PHProjekt v0.6.1 Remote File Inclusion Vulnerability (2) (деталі)
• PHlyMail Lite [PM_[path][lib]=] Remote File Include Vulnerability (деталі)
• Tons of SQL-injections and XSS in Eichhorn Portal and vendor page (деталі)
• DieselPay I.ndex.php Cross-Site Scripting Vulnerability (деталі)
• indexcity SQL Injection and XSS Vulnerabilities (деталі)

В даній добірці експлоіти в веб додатках:

• phpCodeGenie <= 3.0.2 (BEAUT_PATH) Remote File Include Vulnerability (деталі)
• Mambo MamboWiki Component <= 0.9.6 Remote Include Vulnerability (деталі)
• Joomla Link Directory Component <= 1.0.3 Remote Include Vulnerability (деталі)
• Joomla Kochsuite Component <= 0.9.4 Remote File Include Vulnerability (деталі)
• xoops myAds module exploit for users hash viewing (деталі)

До речі вже вийшов Invision Power Board v2.1.7, тому всі хто користується IPB, можуть оновити свій форум на останню версію.

• IP.Board 2.1.7 and IPB.Blog 1.2.4 Released (деталі)
• Русская версия Invision Power Board v2.1.7 (деталі)

Компанія ibresource повідомляє про вихід російської версії форуму Invision Power Board v2.1.7.

Ця версія містить у собі кілька виправлених критичних помилок з моменту виходу IPB 2.1.6, а також нову утиліту “Антивірус” (цю функцію можна знайти у вкладці “ІНШЕ” в адмінці).

Компанія ibresource рекомендує всім адміністраторам форумів IPB 2.1.x по можливості переходити на нову версію 2.1.7.