Websecurity - Веб безпека

Зараз в США триває конференція Black Hat (з 28.07 по 02.08), про цікаві доповіді з якої я ще розповім. А зараз одна новина стосовно Блекхету.

Німецького хакера Алвара Флейка, що прибув до США для проведення семінару на конференції Black Hat USA, затримали прикордонники і після 4,5 чосового допиту вислали на батьківщину в Німеччину.

Причиною відмовлення у в’їзді послужили друковані матеріали для семінару, пише Флейк у своєму блозі Addxorrol.blogspot.com. Оскільки він приїхав як приватне особа, а не як представник власної компанії Sabre Security, прикордонники зажадали від його робочу візу H1B. На пропозицію скласти договір з Black Hat на місці від імені його компанії, йому відповіли відмовою.

Флейк проводив семінари на конференції протягом 6 років, приїжджаючи в США щороку. На прикордонному пункті він завжди повідомляв про мету своїх візитів і дотепер до нього не пред’являли подібних претензій.

На нинішню конференцію німецький хакер вже не потрапить: ділову візу він зможе одержати не раніше 24 серпня. Конференція ж проходить з 28 липня по 2 серпня.

За словами Флейка, прикордонники цікавилися змістом матеріалів і задавали йому питання про причину поїздки, рід занять, а також, чому його семінар був підготовлений їм, а не громадянином США.

По матеріалам http://www.cnews.ru.

13.03.2007

У листопаді, 23.11.2006, я знайшов Cross-Site Scripting уразливість на популярному проекті http://www.ljtop.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

31.07.2007

XSS:

• alert(document.cookie)

Дана уразливість вже виправлена.

Сама дірка була цікава. Зазначений скрипт на сайті - це редиректор (що є окремим різновидом уразливостей). Прочому як відкритий редиректор він не працює - бо діє перевірка на URL. Але в самій перевірці була допущена XSS уразливість. Котра і була виправлена після мого повідомлення адмінам.

В даній добірці експлоіти в веб додатках:

• DBImageGallery 1.2.2 (donsimg_base_path) RFI Vulnerabilities (деталі)
• Connectix Boards <= 0.7 (p_skin) Multiple Vulnerabilities Exploit (деталі)
• Oracle 10g KUPW$WORKER.MAIN Grant/Revoke dba Permission Exploit (деталі)
• Oracle 10g ACTIVATE_SUBSCRIPTION SQL Injection Exploit (деталі)
• Oracle 10g DBMS_METADAT.GET_DDL SQL Injection Exploit (деталі)
• eFiction <= 3.1.1 (path_to_smf) Remote File Include Vulnerabilities (деталі)
• FlashGameScript 1.5.4 (index.php func) Remote File Include Vulnerability (деталі)
• Sinapis Forum 2.2 (sinapis.php fuss) Remote File Include Vulnerability (деталі)
• Exploits ClonusWiki .5 - Cross-Site Scripting Vulnerability (деталі)
• ABC Excel Parser v4.0 Remote File Include Exploit (деталі)

Вчора вийшла нова версія програми Perl Pas Interpreter v.1.3.1. В новій версії:

• Додана підтримка константи pi в операторі присвоєння.
• Додана підтримка константи pi в функціях.
• Покращена робота оператора for.
• Покращена робота функцій tan та cotan з масивами (з індексом-змінною).

Деталі на сайті інтерпретатора. Тема для обговорення програми на форумі.

Додаткова інформація про Perl Pas Interpreter в розділі Онлайн інструменти.

В даній добірці уразливості в веб додатках:

• Movable Type “nofollow” Plugin Comment Script Insertion (деталі)
• b2evolution “redirect_to” HTML Attribute Cross-Site Scripting (деталі)
• Ezboxx multiple vulnerabilities (деталі)
• LunarPoll (PollDir) Remote File Include Vulnerabilities (деталі)
• Nwom topsites v3.0 (деталі)
• easy-content filemanager (деталі)
• Getahead Direct Web Remoting (DWR) DoS (деталі)
• Multiple cross-site scripting vulnerabilities in Sum Effect Software digiSHOP 4.0 (деталі)
• SQL-ін’єкція в EShoppingPro (деталі)
• SQL-ін’єкція в Techno Dreams Articles & Papers Package (деталі)
• PPA Gallery <= 1.0 (functions.inc.php) Remote File Include Exploit (деталі)
• PHP remote file inclusion vulnerability in Skrypty PPA Gallery (деталі)
• PHP remote file inclusion vulnerability in PHP Web Scripts Easy Banner Free (деталі)
• Multiple PHP remote file inclusion vulnerabilities in BasiliX (деталі)
• Інклюдинг локальних файлів в AlstraSoft E-Friends (деталі)

Відповідно до щомісячного звіту компанії Sophos, у червні 2007 року кількість сайтів, що містять шкідливий код, помітно збільшилась. Якщо в квітні 2007 року в день їх з’являлося по 5000, то в червні це число виросло до 30000.

“Це безперечно величезний приріст, якщо на початку червня в день з’являлося по 9500 зловмисних сайтів, до кінця місяця їхня кількість збільшилася до 29000″ - говорить старший консультант по безпеці компанії Sophos Карол Теріо.

На думку Sophos, причина настільки різкого росту інфікованих сайтів у тім, що зловмисники стали поступово відмовлятися від розсилання спама, як від стандартного методу розсилання вірусів, троянів і хробаків. У деяких випадках зловмисники створюють власні сайти з вірусами, але в більшості випадків вони просто вбудовують зловмисний код у легальні сайти, непомітно для власника зламавши ресурс.

Згідно даним Sophos, з 29700 нових сайтів, що містили віруси в червні, 80% - це легітимні сайти, що були скомпрометовані. Головним засобом для інфікування сайтів став засіб iFrame malware.

Примітно, що він же очолил десятку самих небезпечних шкідливих кодів червня за версією Sophos. Ще однією характерною червневою рисою став масовий взлом сайтів, що розташовуються на площадках провайдерів.

По матеріалам http://itua.info.

19.02.2007

За час моєї активної роботи в 2006 (та 2007) році по проведенню соціального секюріті аудита я нерідко стикався з уразливостями в пошуці Яndex.Server. В даному випадку це Cross-Site Scripting уразливості. Причому як класичні XSS, так і XSS в DOM.

Мені періодично трапляються сайти, здебільшого це відомі й крупні проекти, де на сайті використовується Яndex.Server. Котрий виявився уразливим до XSS. І подібних випадків я зустрічав чимало.

Наприклад, 15.09.2006 я знайшов уразливість на safe.cnews.ru, де як раз використовується Яndex.Server. Це був перший випадок, і надалі я почав зустрічатися з подібними випадками на інших сайтах, тому і прийшов до висновку, що це не поодинокий випадок, а система - Яndex.Server вразливий до XSS.

Далі, 05.11.2006, я знайшов уразливість internet.cnews.ru (а на cnews.ru полюбляють використовувати пошуковець Яndex.Server). В новинах про цей випадок я так і не написав, бо як тільки я до нього дістався, вияснилося що снювсці вже виправили цю діру. Що зрозуміло, бо я багато разів писав їм про безліч дір на їхніх сайтах.

Потім 11.11.2006, я знайшов уразливість на www.rian.ru (а ще пізніше 14.12.2006 нову дірку), також в пошуці (на Яndex.Server). Є ще й інші випадки, про які ще буду писати, як дійду до них. Ось зараз знайшов ще один сайт з пошуком на цьому движку, який також уразливий (до XSS в DOM). Пошук в Гуглі дозволяє швидко знаходити сайти, що використовують Яндекс.Сервер, і виявляти в них уразливості.

Детальна інформація про уразливості з’явиться пізніше. Компанії Яндекс варто слідкувати за безпекою власного локального пошуковця і підвищувати його рівень безпеки.

29.07.2007

Окрім уразливостей на сайтах safe.cnews.ru, internet.cnews.ru та www.rian.ru, я також виявив уразливості на декількок інших сайтах, пошук який базується на Яndex.Server. Зокрема на www.actis.ru та tabloid.com.ua.

XSS:

Уразливості в параметрах query та within (в головному скрипті):
http://site/search/?query=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/search/?within=%27%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Як я писав стосовно уразливостей в Яndex.Server, вразливими є обидві версії локального пошуковця - Free Edition та Enterprise.

В даній добірці експлоіти в веб додатках:

• PHP-Nuke <= 8.0 Final (INSERT) Remote SQL Injection Exploit (деталі)
• PHP-Nuke <= 8.0 Final (INSERT) Blind SQL Injection Exploit (mysql) (деталі)
• webSPELL <= 4.01.02 (topic) Remote SQL Injection Exploit (деталі)
• SendStudio <= 2004.14 (ROOTDIR) Remote File Inclusion Vulnerability (деталі)
• deV!Lz Clanportal [DZCP] <= 1.4.5 Remote File Disclosure Vulnerability (деталі)
• Nabopoll 1.2 (result.php surv) Remote Blind SQL Injection Exploit (деталі)
• DBGuestbook 1.1 (dbs_base_path) Remote File Include Vulnerabilities (деталі)
• Oracle 10g KUPV$FT.ATTACH_JOB Grant/Revoke dba Permission Exploit (деталі)
• ezConvert: phpBB ezBoard converter v0.2 (ezconvert_dir) Remote File Include Exploit (деталі)
• Webspeed OpenEdge Dos exploit (деталі)

Продовжуючи тему експлоітів для PHP, пропоную вам наступну добірку.

Цього разу есплоіти в функції snmpget() в PHP 5.2.3, в розширенні win32std для PHP 5.2.3 та в бібліотеці php_gd2.dll (GD library).

• PHP <= 5.2.3 snmpget() object id Local Buffer Overflow Exploit (деталі)
• PHP 5.2.3 win32std ext. safe_mode/disable_functions Protections Bypass (деталі)
• PHP php_gd2.dll imagepsloadfont Local Buffer Overflow PoC (деталі)

Виявлений міжсайтовий доступ до кешу в Firefox (crossite access).

Уразливі версії: Mozilla Firefox 2.0.

URL wyciwyg:// у сполученні з перенапрявленням через відповідь 302 дозволяє одержати доступ до вмісту кеша деяких сторінок.

• Mozilla Foundation Security Advisory 2007-24 (деталі)
• Firefox wyciwyg:// cache zone bypass (деталі)