Websecurity - Веб безпека

Продовжується Місяць багів в Пошукових Системах і сьогодні я опублікував нові уразливості.

На п’ятнадцятий день Місяця багів в Пошукових Системах я опублікував Content Spoofing та дві Cross-Site Scripting уразливості. Цього разу інформація про дірки в пошуковій системі Google.

• MOSEB-15: Vulnerabilities at images.google.com (деталі)
• MOSEB-15 Bonus: Vulnerability in Google Custom Search Engine (деталі)

XSS та Content Spoofing уразливість у пошуці Гугла по зображенням та XSS уразливість в пошуковці Google Custom Search Engine.

Очікуємо на наступний день Month of Search Engines Bugs.

New bonus vulnerability in Google. In this case vulnerability not directly at Google’s site, like at MOSEB-15: Vulnerabilities at images.google.com, but in his search engine called Google Custom Search Engine (also known as Google Co-op).

The hole are in Google Custom Search Engine, which can be used as local engine for site or as custom engine (for special purposes). And at present this engine are using by a lot of sites (and so many of them can be vulnerable).

Searching in Google (aka Google Hacking) allow you to quickly find sites which are using Google Custom Search Engine and find holes in them. So every user of this engine need to attend to security.

The vulnerability is in q parameter (in main script):
http://site/search.php?q=%3C%2Ftitle%3E%3Cscript%3Ealert(document.cookie)%3C%2Fscript%3E

As an examples I’ll show you three sites jumpup.intuit.com (hole found 25.10.2006), ukrbs.org.ua (hole found 17.04.2007) and progler.ru (hole found 15.06.2007) with this custom search engine.

http://jumpup.intuit.com

XSS:

• alert(document.cookie)
• redirector
• html injection (PR4)

Also page with html injection hole has PR4. It will be interesting for black seo guys.

http://ukrbs.org.ua

XSS:

• alert(document.cookie)
• redirector
• html injection

http://progler.ru

XSS:

• alert(document.cookie)
• redirector
• html injection

The main question: is Google thinking about its users’ security? Not too much. Like in case of others local engines Yandex in MOSEB-07 Bonus and AltaVista in MOSEB-12 Bonus. Vendors have a lot of places for improvement.

Moral #1: searching in custom engines can be dangerous.

Moral #2: if you are using local (custom) search engine at your site (even from famous vendor), always attend to security audit of the site.

Moral #3: if you are top search engine vendor you need to attend to security of your applications and not to put users of your services into the risk.

Next participant of Month of Search Engines Bugs is Google. It is the most popular search engine in the world.

The vulnerabilities are at Google Image Search (images.google.com, on others domains such as images.google.com.ua the same situation). These are Cross-Site Scripting and Content Spoofing holes which I found 03.06.2007. There were similar security issues at Yahoo in MOSEB-02 and at search.live.com (and others engines) - vulnerabilities in image search are common for search engines.

XSS:

• redirector 1st
• redirector 2nd

The vulnerability is in imgrefurl parameter:
http://images.google.com/imgres?imgurl=http://194.84.161.5/MetDoc/Gdtran/NTS/Teplovoz/Bezop_dv/L_R/2_1.gif&imgrefurl=http://websecurity.com.ua/webtools/xss_r.html&h=512&w=818&sz=19&tbnid=3IYCwB3Is49zAM:&tbnh=90&tbnw=14

I called this type of XSS attacks Remote XSS/HTML Include (in this case remote HTML including as remote XSS including are possible). First time I found this type of holes 12.11.2006 in site’s search at one site of one security company wich developed their security scanner (which is lame because not found a lot of holes at their own site) . I didn’t write about holes at that site in my news yet, because I’m very overloaded with hundreds (even thousands) of vulns which I found on sites all over the web. But I’ll certainly do it with time.

Content Spoofing:

• html injection

Bad guys also can make content spoofing attack with Google Image Search. Because they can spoof not just a page in image preview (imgrefurl parameter), for remote XSS/HTML inclusion as mentioned above, but also imgurl parameter. And because Google save links to images thumbnails in tbnid parameter, so it is possible to find any useful image in Google and use it for attracting users while imgrefurl and imgurl parameters can be spoofed (because they are not checking in connection with tbnid). And these parameters can be arbitrary, so attackers can create special image preview page with custom image, custom previewed html page and custom links (to image and page).

Moral #1: searching for images even in top engines can be dangerous.

Moral #2: pupular search engines need to take care of their and their users security (especially top engines).

P.S.

Also I prepared another hole concerned with Google. So wait for today’s bonus post .

В даній добірці уразливості в веб додатках:

• pnamazu Cross-Site Scripting Vulnerability (деталі)
• LuckyBot v3 Remote File Include (деталі)
• XSS - CMS Made Simple v1.0.2 (деталі)
• HLStats Remote SQL Injection Exploit (деталі)
• logahead UNU edition 1.0 Remote upload file & code execution (деталі)
• PhpbbXtra v2.0 (phpbb_root_path) Remote File Include Vulnerability (деталі)
• Міжсайтовий скриптінг в MKPortal (деталі)
• Межсайтовий скриптінг в ackerTodo (деталі)
• PHP remote file inclusion vulnerability in guanxiCRM (деталі)
• Multiple PHP remote file inclusion vulnerabilities in Simple Discussion Board 0.1.0 (деталі)

Продовжується Місяць багів в Пошукових Системах і сьогодні я опублікував нові уразливості.

На чотирнадцятий день Місяця багів в Пошукових Системах я опублікував 2 Cross-Site Scripting уразливості. Цього разу інформація про дірки в пошуковій системі Mamma.

• MOSEB-14: Vulnerabilities at www.mamma.com (деталі)

Дві XSS уразливості у пошуці по вебу Mamma Metasearch.

Очікуємо на наступний день Month of Search Engines Bugs.

Next participant of the project is Mamma search engine (Mamma Metasearch). It is one of the popular search engines (and it is meta engine).

The vulnerabilities are at Mamma (www.mamma.com) in web search. These Cross-Site Scripting holes I found 30.05.2007.

XSS:

• alert(document.cookie)
• alert(document.cookie)
• redirector
• html injection

The vulnerabilities are in query and cb parameters:
http://www.mamma.com/Mamma?cb=Askjeeves_mamma&query=test--%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Moral: meta searching can be dangerous.

В даній добірці експлоіти в веб додатках:

• Bradabra <= 2.0.5 (include/includes.php) Remote Inclusion Vulnerability (деталі)
• PhpSherpa (include/config.inc.php) Remote File Include Vulnerability (деталі)
• WebChat 0.77 (defines.php WEBCHATPATH) Remote File Include Vuln (деталі)
• Sun Microsystems Java GIF File Parsing Memory Corruption Exploit (деталі)
• VisoHotlink 1.01 functions.visohotlink.php Remote File Include Exploit (деталі)
• Upload Service 1.0 (top.php maindir) Remote File Inclusion Vulnerability (деталі)
• webSPELL 4.01.02 (gallery.php) Remote Blind SQL Injection Exploit (деталі)
• Exploit for Oracle10g R1 and R2 prior to CPU Oct 2006 (деталі)
• Exploit for Oracle10g R1 and R2 prior to CPU Oct 2006 (деталі)
• phpBP <= RC3 (2.204) (sql/cmd) Remote Code Execution Exploit (деталі)

Продовжується Місяць багів в Пошукових Системах і сьогодні я опублікував нові уразливості.

На тринадцятий день Місяця багів в Пошукових Системах я опублікував 2 Cross-Site Scripting уразливості. Цього разу інформація про дірки в пошуковій системі MetaCrawler.

• MOSEB-13: Vulnerabilities at metacrawler.com (деталі)

Дві XSS уразливості в пошуці MetaCrawler по Білим Сторінкам.

Очікуємо на наступний день Month of Search Engines Bugs.

Next participant of the project is MetaCrawler search engine. It is one of the popular meta search engines.

The vulnerabilities are at MetaCrawler (www.metacrawler.com) in White Pages search. These Cross-Site Scripting holes I found 27.05.2007.

XSS:

• alert(document.cookie)
• alert(document.cookie)
• redirector
• html injection

The vulnerabilities are in qf and qn parameters:
http://www.metacrawler.com/info.metac/white-pages/message.htm?otmpl=/white-pages/results.htm&qf=%3Cscript%3Ealert(document.cookie)%3C/script%3E&searchtype=citystate

Moral: searching in white pages can be dangerous.

Note, that MetaCrawler engine belongs to InfoSpace, Inc. So they also responsible for these vulnerabilities. And don’t worry guys, InfoSpace will also be in MOSEB.

Користувачі готові платити більше за товари, придбані в онлайні, якщо продавці демонструють, що можуть забезпечити кращий захист конфіденційних даних клієнтів, повідомляється в результатах дослідження, проведеного серед онлайн-магазинів США.

Дослідження проводилося університетом Carnegie Mellon. Як з’ясувалося, клієнти охоче платять додатково до 60 центів на кожні $15, якщо їх задовольняє політика поводження з даними продавця. При вивченні використовувалися дані спеціалізованого пошукового “движка”, що автоматично оцінював політику сайтів і реакцію користувачів на те, як їхня персональна інформація використовується.

Клієнти стурбовані неправильним використанням даних кредитної карти, розсиланням спама чи порушенням конфіденційності даних. Однак онлайн-продавці не здатні забезпечити гідну безпеку, продаючи товари за низькими цінами. На думку керівника даного проекту, у першу чергу продавець повинний інформувати покупця про те, як використовуються дані та забезпечується їхній захист.

По матеріалам http://www.securitylab.ru.