Архів за Серпень, 2007

Обхід CAPTCHA

22:53 31.08.2007

В Інтернеті існує чимало різних CAPTCHA, що охороняють безліч сайтів від спамерів. В себе на сайті я також використовую капчу для захисту від спаму ;-) (так що погані хлопці можуть піті поспамити кудись інде). І спамери намагаються різними методами обійти капчі, щоб побільше наспамити - і відповідно веб розробники випускають все кращі капчі, щоб притидіяти їм. Тому надійність капч є дуже важливою для боротьби зі спамом.

Досліджуючи цю тематику я виявив наступні напрямки обходу капч: розпізнавання символів, ручне введення даних та використання уразливостей в Капчах (і тут в мене є власні наробки).

Оптичне розпізнавання символів є складною задачою, тому воно не дуже поширене. Але погані хлопці розвивають свої програми в цьому напрямку. Стосовно ручного введеня даних на веб сайтах, то для обходу капчі спамер може або сам вводити дані, або найняти для цього інших людей. Оплата тут може бути або грішми, або різними бонусами. Цей варінт доволі цікавий і набирає поширення серед спамерів.

Як написав RSnake в своєму записі Solving CAPTCHAs for Cash, спамери все активніше почали залучати інших людей для обходу капчі. Вони наймають низько оплачувану робочу силу для того, щоб робітники розсилали спам на різних сайтах, форумах та гостьових книгах (вводячи власноруч захисні коди капчи).

Стосовно уразливостей в капчах, то подібні раніше знаходили, але рідко. Проте, як показали мої дослідження, чимало капч мають уразливості і тому цей напрямок доволі перспективний (тому розробникам капч потрібно більше займатися їх безпекою). Деякий час тому я розробив власну методику обходу капч - MustLive CAPTCHA bypass method. Про що я планую написати окрему статтю. А також планую провести окремий захід з приводу дірок в капчах (навіть цілий місяць таких уразливостей - зараз як раз обмірковую це). Як прийде час зроблю офіційний анонс.

В Іспанії затриманий український Інтернет-шахрай

19:49 31.08.2007

У північному іспанському місті Естрелья поліція затримала громадянина України, підозрюваного в Інтернет-шахрайстві, повідомив у вівторок представник Головного управління Національної поліції Іспанії.

“Українець затриманий за те, що незаконно зняв з банківського рахунка жителя мадридського пригорода Парла біля €3 тис. і перевів цю суму на свій власний рахунок в одному з банків Іспанії”, - сказав співробітник поліції, що відмовився назвати ім’я і прізвище затриманого, пославшись на таємницю слідства.

За словами поліцейського, “шахрай копіював web-сторінки відомих банків і розсилав їх безлічі потенційних жертв, пропонуючи їм робити фінансові операції по Інтернету, заповнюючи відповідні електронні формуляри з вказанням банківських реквізитів і кодів”.

“Житель Парли вирішив, що новий вид послуги запропонований його банком і дав по підробленій веб-сторінці розпорядження зняти зі свого рахунка гроші для оплати комунальних послуг, указавши свої банківські коди”, - відзначив представник поліції. Він пояснив, що “одержавши потрібні коди, шахрай зняв з рахунка всі гроші, що там були, у розмірі €3 тис. і перевів їх на свій рахунок”.

“Поліція швидко знайшла і затримала шахрая: зараз вона з’ясовує, чи є житель мадридського пригорода єдиною жертвою українця, чи ж від нього постраждали ще якісь особи”, - сказав поліцейський.

По матеріалам http://ain.com.ua.

P.S.

Ось так затримали фішера. Причому доволі швидко (аж підозріло) - бо на сьогодні фішерів рідко коли ловили (лише вони своїх жертв ловлять). Не варто займатися інтернет-шахрайством.

Добірка уразливостей

17:21 31.08.2007

В даній добірці уразливості в веб додатках:

  • Drupal Project Module Script Insertion Vulnerability (деталі)
  • Siteman 2.0.x2 Remote Md5 Hash Disclosure Vulnerability (деталі)
  • phpCOIN <= RC-1 (modules/mail/index.php) Remote File Include Vulnerability (деталі)
  • ASP EDGE <= V1.2b (user.asp) Remote SQL Injection Vulnerability (деталі)
  • EzDatabase Multiple Cross-Site Scripting Vulnerability (деталі)
  • uniForum <= v4 (wbsearch.aspx) Remote SQL Injection Vulnerability (деталі)
  • Weaknesses in Pingback Design (деталі)
  • Netref 4 (cat_for_aff.php) Source Code Disclosure Exploit (деталі)
  • N/X WCMS <= 4.1 (nxheader.inc.php) Remote File Include Exploit (деталі)
  • Міжсайтовий скриптінг в SAP Internet Transaction Server (деталі)
  • Уразливість форматного рядка в браузері OmniWeb (деталі)
  • SQL injection vulnerability in Snitz Forums 2000 3.4.06 (деталі)
  • Directory traversal vulnerability in phpCards 1.3 (деталі)
  • SQL-ін’єкція в PostNuke (деталі)
  • Multiple cross-site scripting (XSS) vulnerabilities in phpCards 1.3 (деталі)

Виконання довільних команд в Mozilla Firefox

22:28 30.08.2007

Виявлена можливість виконання довільних команд в Mozilla Firefox. Уразливість дозволяє віддаленому користувачу виконати довільні команди на цільовому комп’ютері.

Уразливі версії: Mozilla Firefox 2.0.0.5, можливо більш ранні версії.

Уразливість існує через недостатню перевірку вхідних даних у різних URI оброблювачах. Віддалений користувач може за допомогою спеціально сформованої веб сторінки виконати довільні команди на цільовій системі.

В якості виправлення для даної уразливості рекомендується вимкнути непотрібні оброблювачі URI (або оновити браузер до версії 2.0.0.6). В налаштуваннях FF, в about:config, потрібно встановити значення false для наступних параметрів: network.protocol-handler.external.news, network.protocol-handler.external.snews, network.protocol-handler.external.mailto, network.protocol-handler.external.nntp.

До речі, як я писав, в новій версії Firefox 2.0.0.6 вже також були знайдені уразливості.

  • Выполнение произвольных команд в Mozilla Firefox (деталі)

XSS уразливість в Joomla

19:37 30.08.2007

03.08.2007

В липні, 08.07.2007, я знайшов Cross-Site Scripting уразливість на одному сайті (адмінам котрого я вже повідомив). І враховуючи, що на сайті використовується Joomla!, то XSS дірка наявна в даній CMS.

Деталі уразливості з’являться пізніше, спочатку повідомлю розробникам системи.

30.08.2007

XSS:

Уразливість в пошуці по сайту в параметрі searchword. Дірка являє собою DOM based XSS.

http://site/index.php?option=com_search&searchword=';alert('XSS')//

Для виконання коду, користувач повинен змінити кількість результатів пошуку на одну сторінку.

Остання версія Joomla! 1.0.13 також уразлива. Розробникам Joomla! я повідомив, але вони так і не відповіли. Тому користувачам даного движка варто самотужки виправити цю дірку.

Добірка експлоітів

17:40 30.08.2007

В даній добірці експлоіти в веб додатках:

  • Active Auction Pro 7.1 (default.asp catid) SQL Injection Vulnerability (деталі)
  • ActiveBuyandSell 6.2 (buyersend.asp catid) SQL Injection Vulnerability (деталі)
  • Active Trade v 2 (default.asp catid) Remote SQL Injection Vulnerability (деталі)
  • RoseOnlineCMS 3 beta2 (op) Local File Inclusion Exploit (деталі)
  • eWebquiz <= V.8 (eWebQuiz.asp) Remote SQL Injection Exploit (деталі)
  • Joomla/Mambo Component SWmenuFree 4.0 RFI Vulnerability (деталі)
  • Joomla Component RWCards <= 2.4.3 Remote SQL Injection Exploit (деталі)
  • Joomla Component Car Manager <= 1.1 Remote SQL Injection Exploit (деталі)
  • ttCMS <= v4 (ez_sql.php lib_path) Remote File Inclusion Vulnerability (деталі)
  • GGCMS <= v1.1.0 RC1 Remote Auto Deface Exploit / Remote Code Execution Exploit (деталі)

Результати Black Hat та DefCon

21:37 29.08.2007

Наприкінці липня початку серпня в Лас-Вегасі пройшли конференції Black Hat та DefCon (28.07-02.08 та 03.08). Про що я вже писав в новинах.

Про результати своєї поїздки на ці дві конференції поділилися RSnake та Jeremiah.

Як написав RSnake в своєму записі Blackhat Pics and Roundup - це були чудові конференції. Де вони з Джеремією виступили з доповіддю (про котру я ще розповім окремо). Він також виклав фотки з DefCon 15, судячи з яких, їм було дуже весело :D . В його записі наведені лінки на деяки з тем, що обговорювалися на конференціях, а також на цікавий фото-звіт від Лани Гроссман про подорож на Black Hat та DefCon.

Джеремія також опублікував деякі фотографії з OWASP/WASC вечірки на Блекхеті.

Число Інтернет загроз значно зросло

19:54 29.08.2007

У період між груднем 2005 р. і листопадом 2006 р. кількість загроз зрослася на 163%, повідомляє Trend Micro за результатами дослідження, спрямованого на вивчення досвіду реакції корпоративних користувачів на загрози безпеки, а також сприйняття ними цих загроз. У 5,4 рази збільшилося число Інтернет-загроз - за період із січня 2005 р. по січень 2007 р.

Через прихований характер зараження багато користувачів недостатньо серйозно відносяться до власної ІБ. Ступінь сприйняття загроз у різних країнах відрізняється. Респонденти з Великобританії сприймають загрози безпеки в 2007 р. менш серйозно, чим у 2005 р. На відміну від них, респонденти з Німеччини вважають, що в 2007 р. загрози стали більш серйозними в порівнянні з 2005 р.

40% респондентів зі США упевнені, що їхній робочий комп’ютер краще захищений від спама, шпигунських програм і фішинга в порівнянні з домашнім комп’ютером. У результаті ці користувачі з більшою імовірністю заходять по підозрілих лінках, коли знаходяться на робочому місці (17% респондентів).

Дослідження Trend Micro і результати опитування свідчать про збільшення обсягу спама в період між 2005 і 2007 р. Незважаючи на те, що 4 з 10 респондентів із усіх чотирьох країн (США, Великобританії, Німеччині і Японії) повідомили про те, що за останні 3 місяці стало більше спама, опитування американських користувачів свідчить про загальне зменшення частки спама (84% у 2005 р. у порівнянні з 72% у 2007 г).

Відсоток респондентів, що зіштовхнулися зі шпигунським ПО, зменшився в США (41% у 2005 р. у порівнянні з 35% у 2007 р.) і Німеччини (23% у 2005 р. у порівнянні з 19% у 2007 р.). Найбільш помітне зменшення відбулося у Великобританії (42% у 2005 р. у порівнянні з 26% у 2007 р.).

Дослідження також показало, що кінцеві користувачі з Японії в основному покладаються на свої ІТ-відділи. Протягом трьох місяців перед проведенням опитування близько 44% респондентів зверталися до ІТ-спеціалістів своїх компаній. Корпоративні ж користувачі зі США менше звертаються у свої ІТ-відділи за порадою і підтримкою - тільки 24% респондентів зверталися туди протягом цього тримісячного періоду.

Однак респонденти зі США також з більшою імовірністю всерйоз розглядають більшість загроз безпеки - особливо в порівнянні з респондентами з Великобританії. Як приклад: 60% американських респондентів відзначили, що вони вважають шпигунське ПО серйозною загрозою, у порівнянні з 48% респондентів з Великобританії. Подібним же чином 48% респондентів зі США вважають спам небезпечним, тоді як аналогічної думки дотримують тільки 27% респондентів з Великобританії. 48% усіх респондентів, що стали жертвами шпигунських програм чи фішинга, вважають, що їхній ІТ-підрозділ міг би запобігти цьому інциденту.

По матеріалам http://www.securitylab.ru.

Добірка уразливостей

17:47 29.08.2007

В даній добірці уразливості в веб додатках:

  • XMB “U2U Instant Messenger” Cross-Site Scripting (деталі)
  • FreeForum 0.9.0 <=- (index.php fpath) Remote File Include Vulnerability (деталі)
  • FishCart [injection sql] (деталі)
  • @Mail WebMail Cross Site Request Forgery (деталі)
  • CGI Rescue WebFORM Cross-Site Scripting and HTTP Header Injection (деталі)
  • Drupal Project Issue Tracking Module Multiple Vulnerabilities (деталі)
  • Shopping Basket Professional Command Injection (деталі)
  • PHP remote file inclusion vulnerability in Comdev Form Designer 4.1 (деталі)
  • PHP remote file inclusion vulnerability in Comdev Web Blogger 4.1 (деталі)
  • Multiple vulnerabilities in postgresql (деталі)
  • Invision Gallery => 2.0.7 ReadFile() & SQL injection exploit (деталі)
  • Численні уразливості в компоненті статистики Joomla BSQ Sitestats (деталі)
  • PHP-інклюдинг в phpBB XS (деталі)
  • PHPEasyData Pro 2.2.2 (index.php) Remote SQL Injection Exploit (деталі)
  • Інклюдинг локальних файлів в Skrypty KGB (деталі)

Експлоіт для WordPress 2.2

23:36 28.08.2007

Нещодавно я писав про виявлений обхід обмежень безпеки в WordPress. І до цієї уразливості в WP був розроблений експлоіт. Дана уразливість дозволяє віддаленому користувачу закачати довільний PHP файл на цільову систему.

  • WordPress 2.2 (wp-app.php) Arbitrary File Upload Exploit (деталі)

До цієї Arbitrary File Upload дірки вразливі Wordpress 2.2 та Wordpress MU <= 1.2.2.