Websecurity - Веб безпека

До вже згаданих мною уразливостей в WordPress (зокрема численні уразливості в WordPress) та його плагінах, про що я вже неодноразово згадував, розповім про нові уразливості в цьому движку. До речі, як ви знаєте, мій сайт базується на WordPress, тому за безпекою в цьому движку я посилено слідкую.

Раніше я писав про уразливості в WordPress, які й знайшов в серпні та вересні. Зараз я розповім про уразливості які я знайшов в движку в жовтні (про інші уразливості, які я знайшов в листопаді, я розповім пізніше).

У жовтні я знайшов за два дні активної роботи чималу кількість уразливостей: 7 XSS та 25 XSS - ітого 32 Cross-Site Scripting уразливості (в адмінці WordPress). Розробникам WP буде що фіксити . До речі, я їм вже написав про всі попередні уразливості, і тепер повідомлю про нові діри в движку.

З часом повідомлю деталі про дані уразливості, але спочатку пофіскю всі ці уразливості на своєму сайті та повідомлю розробникам WordPress.

Продовжуючи розпочату традицію, після попереднього відео про SQL Injection, пропоную новий відео мануал. На цей раз відео про File Disclosure в Webmin (від milw0rm.com). Рекомендую подивитися всім хто цікавиться цією темою.

Webmin File Disclosure Demo

В цьому відео ролику, розповідається про File Disclosure атаку на прикладі дадатку Webmin, який був установлений на одному сервері (і автор отримав на ньому права адміна через диру в Webmin). Рекомендую подивитися дане відео для розуміння File Disclosure уразливостей.

Знайдені численні уразливості в Microsoft Internet Explorer та Outlook Express (security vulnerabilities).

Ушкодження пам’яті при обробці помилок Javascript і у функції normalize(). Міжсайтовий доступ до файлів Temporary Internet Files. Переповнення буфера при розборі адресної книги (WAB).

• Microsoft Internet Explorer normalize() Function Memory Corruption Vulnerability (деталі)
• Secunia Research: Internet Explorer Script Error Handling Memory Corruption (деталі)
• Microsoft Security Bulletin MS06-076 Cumulative Security Update for Outlook Express (923694) (деталі)
• Microsoft Security Bulletin MS06-072 (деталі)

В даній добірці уразливості в веб додатках:

• Численнні уразливості в WoltLab Burning Book <=1.1.2 (деталі)
• DEV Web Manager System <= 1.5 XSS Exploit (деталі)
• PHPRecipeBook <= 2.35 ((g_rb_basedir)) Remote File Include Exploit (деталі)
• PhpBB<=2.0.10 (groupcp.php) Remote File Include Vulnerability (деталі)
• CS-Forum 0.82 (ajouter.php) Remote File Include Vulnerability (деталі)
• P-Book <= 1.17 (pb_lang) Remote File Inclusion (деталі)
• zorum_3_5 <=(dbproperty.php) Remote File Inclusion Exploit (деталі)
• Simplog 0.9.3.1 SQL Injection (деталі)
• PHP-інклюдинг в ZoneX Publishers Gold Edition (деталі)
• Multiple PHP remote file inclusion vulnerabilities in circeOS SaveWeb Portal 3.4 (деталі)

Як пише автор vedeney.org.ua, Стефан Ессер залишив команду PHP. Стефан багато років займався виявленням проблем пов’язаних з безпекою, заявив про те, що він іде з PHP security team, втративши віру в можливість вирішення проблем з безпеки в PHP.

Проблеми з безпекою в PHP виправляються дуже довго (в поточному дереві знаходяться виправлення, які користувачі чекають вже 6 місяців), проте ніхто не звертає на це увагу. Проблеми які піднімав Стафан, просто інгорувалися в PHP security team, що часто тянуло за собою появу нових помилок.

Зазначу, що тепер вже колишній учасник PHP security team не закінчує роботу над дослідженням проблем PHP, він лише змінює принцип роботи. Раніше він одразу повідомляв про помилки розробникам і чекав коли помилку виправлять, перед тим як публічно оголосити про неї. Тепер ж він збирається оголошувати результати своїх досліджень не дивлячись на виправлення. Сподіваючись, що це примусить розробників вирішувати проблеми швидше.

Це доволі резонансна подія, бо проблеми з безпекою в PHP виникають регулярно (про що я постійно пишу в своїх новинах), і тепер експертів в PHP security team стало на одного менше. Та й як заявляє сам Стефан, секюріті проблеми доволі довго вирішувалися (і він сподівається змусити розробників швидше реагувати на проблеми). Будемо сподіватися, що цей крок приненесе позитивних наслідків, в плані безпеки PHP, інакше будемо мати лише нові уразливості. Бо мова PHP дуже популярна і розвивається стрімкими темпами.

02.11.2006

У вересні, 11.09.2006, я знайшов декілька уразливостей (Cross-Site Scripting та Full path disclosure) на популярному порталі http://uaportal.com. Про що найближчим часом сповіщу адміністрацію порталу.

Детальна інформація про уразливості з’явиться пізніше.

17.12.2006

XSS:

http://search.uaportal.com

• alert(document.cookie)
• цікавий
• html включення (PR5 )

Full path disclosure:

На сторінці search.uaportal.com.

XSS:

http://uaportal.com

• alert(document.cookie)
• цікавий
• html включення

Дані уразливості досі не виправлені. При тому, що я вже повідомив адмінам про нові уразливості на uaportal.com.

В даній добірці експлоіти в веб додатках:

• YaBBSM 3.0.0 (Offline.php) Remote File Include Vulnerability (деталі)
• phpBB Security <= 1.0.1 (php_security.php) Remote File Include Exploit (деталі)
• Jinzora <= 2.6 (extras/mt.php) Remote File Include Vulnerability (деталі)
• Def-Blog <= 1.0.1 (comadd.php) Remote SQL Injection Vulnerability (деталі)
• Exploits phpBB PlusXL 2.x <= biuld 272 Remote File Include Vulnerability (деталі)

В даній добірці експлоіти в веб додатках:

• phpBB SpamBlocker Mod <= 1.0.2 Remote File Include Exploit (деталі)
• E-Uploader Pro <= 1.0 Image Upload with Code Execution Vulnerability (деталі)
• CentiPaid <= 1.4.2 centipaid_class.php Remote File Include Vulnerability (деталі)
• cPanel <= 10.8.x (cpwrap via mysqladmin) Local Root Exploit (php) (деталі)
• maluinfo version 206.2.38l Remote File Include Vulnerability (деталі)

Пропоную ознайомитися, як я і обіцяв раніше, зі звітом про хакерську активність в Уанеті в 2006.

У даному звіті подана інформація про діяльність хакерів в Уанеті за шість місяців 2006 року - за період з 01.06.2006 по 30.11.2006. З часом підготую звіт за грудень та підведу підсумки за 2006 рік.

За цей час були взломані наступні сайти:

• сайт “Громадський спротив України” sprotiv.info (Путіньскими хакерами ) - 04.06.2006 (по інформації fraza.com.ua)
• сайт silver.biz.ua (хакерами з KSA) - 02.08.2006 (по інформації ain.com.ua)
• сайт Луганської міськради (невідомими хакерами) - 16.08.2006 (по інформації www.podrobnosti.ua)
• сайт групи Stereoliza www.stereoliza.com (хакерами попсовиками) - 10.11.2006 (по інформації ukrainianrecords.com)

Рейтинг хакерів:

1. Путіньскі хакери
2. Невідомі хакери (які взломали сайт Луганської міськради)
3. Арабські хакери (KSA)
4. Хакери попсовики

Інформації вкрай мало, тому що з однієї сторони хакерська активність в Уанеті дуже низька (чи немає кому хакати, чи немає що хакати), а з іншої - про подібні випадки ЗМІ згадують не часто (просто не звертають увагу, особливо коли хакають якийсь невеличкий сайт). Тому активність і хакерів і ЗМІ вкрай низька (та й до цього часу ніхто не проводив досліджень в цьому напрямку).

І дану ситуацію я буду змінювати - країна повинна знайти своїх героїв! Так що очікуйте на нові звіти про хакерську активність в Уанеті.

В даній добірці уразливості в веб додатках:

• Multiple vulnerabilities in SAP Web Application Server 6.40 and 7.00 (деталі)
• Novell iManager Tomcat DoS Vulnerability (деталі)
• Security Advisory for Bugzilla 2.18.5, 2.20.2, 2.22, and 2.23.2 (деталі)
• Directory Traversal in IronWebMail (деталі)
• DigitalHive <= v2.0 RC2 (page) Remote File Inclusion Exploit (деталі)
• Def-Blog <= v1.0.1 (article) Remote SQL Injection Exploit (деталі)
• Def-Blog <= v1.0.1 (article) Remote SQL Injection Exploit (деталі)
• Asbru HardCore Web Content Editor - Command Injection (деталі)
• Cross-site scripting vulnerability in toendaCMS (деталі)
• PHP-інклюдинг в phpBB Spider Friendly Module (деталі)