Websecurity - Веб безпека

Взлом найбільшого у світі рекрутінгового сайта Monster.com, зафіксований наприкінці минулого тижня, був здійснений з комп’ютера, розташованого на території України. До такого висновку прийшли фахівці компанії Symantec, що відповідає за безпеку Monster.com.

Зловмисники викрали близько 1,6 мільйона записів з бази даних Monster. Хоча не кожна з них містила персональну інформацію про користувачів сайта, у руках хакерів виявилися докладні відомості про сотні тисяч чоловік. Адміністрація Monster пообіцяла “ужити заходів”, однак у чому вони будуть полягати, поки не уточнюється.

Доступ до баз даних сайта, на якому розміщено більш 70 мільйонів резюме, був здійснений за допомогою троянської програми Infostealer.Monstres. Користувачі залишали наступну інформацію про себе: адреси, телефони й електронну пошту; ніяких відомостей про номери кредитних карт і банківських рахунків на Monster не містилося. Зловмисники почали розсилання листів нібито від імені Monster із пропозицією встановити деякий додатковий модуль для роботи із сайтом. Під виглядом модуля хакери намагаються змусити користувачів установити на свої машини шпигунські програми.

По матеріалам http://lenta.ru.

Існує такий термін “Гугл хакінг” (Google hacking) - це використання пошукових систем (в першу чергу Гугла, але можна й інших систем) для пошуку уразливостей на сайтах. Давно планую розповісти вам про дану методику пошуку дірок, і раніше я вже торкався цієї теми (зокрема в записі MOSEB-20 Bonus: Google dorks strikes back), і планую ще додатково розповісти про неї.

В цій статті я розповім про методику пошуку уразливостей типу Full path disclosure та Information disclosure.

Дану методику я назвав “Warning” Гугл хакінг (”Warning” Google hacking), тому що використовується слово “Warning” для пошуку повідомлень про помилки на сайті. Які Гугл заніс у свою базу. І за допомогою спеціальних пошукових запитів можна знайти Full path disclosure та Information disclosure уразливості на різноманітних сайтах в Інтернеті.

До “варнінг” пошукових запитів відносяться наступні дорки (dorks):

Warning: home

Warning: fetch_config

Warning: mysql_num_rows

Warning: mysql_query

Warning: mysql_select_db

Warning: mysql_fetch_row

Warning: mysql_connect

Warning: mysql_close

Warning: mysql_fetch_array

Warning: mysql_result

Warning: mysql

Warning: fopen

Warning: mkdir

Warning: Permission denied

Warning: include_once

Warning: include

Warning: main

Це об’ємний, але не вичерпний перелік “warning” запитів до пошукових систем (можливі й інші запити), котрі дозволяють шукати Full path disclosure та Information disclosure дірки на веб сайтах.

В даній добірці уразливості в веб додатках:

• TFTP directory traversal in Kiwi CatTools (деталі)
• Advanced Guestbook <=- 2.4.2 (include_path) Remote File Include Vulnerability (деталі)
• Upload Service 1.0 remote file inclusion (деталі)
• SQL Injection by using Cookie Poisoning for Website Baker Version 2.6.5 and before (деталі)
• Uploader <= (userdata/user_1.txt) Password Disclosure Vulnerability (деталі)
• UploadScript <=- v1.02 (password.txt) Remote Password Disclosure Vulnerability (деталі)
• AToZed Software Intraweb Component for Borland Delphi and Kylix DoS vulnerability (деталі)
• Міжсайтовий скриптінг в веб додатку для електронної комерції CubeCart (деталі)
• Міжсайтовий скриптінг в FacileForms (деталі)
• Multiple direct static code injection vulnerabilities in phpPowerCards 2.10 (деталі)
• PHP remote file inclusion vulnerability in ALiCE-CMS 0.1 (деталі)
• PHP remote file inclusion vulnerability in P-News (деталі)
• PHP-інклюдинг в продуктах Comdev (деталі)
• Декілька уразливостей в скрипті для ведення блогів Blog PixelMotion (деталі)
• PHP remote file inclusion vulnerability in phpBB (деталі)

Виявлена можливість обходу обмежень безпеки в WordPress. Уразливість дозволяє віддаленому користувачу скомпрометувати цільову систему.

Уразливі версії: WordPress версії до 2.2.1, WordPress MU версії до 1.2.3.

Уразливість існує через некоректну перевірку аутентифікації. Зловмисник може додати поле “_wp_attached_file” до повідомлення, завантажити довільний PHP сценарій на систему за допомогою wp-app.php чи app.php і виконати його з привілеями веб сервера.

• Обход ограничений безопасности в WordPress (деталі)

26.12.2006

У грудні, 05.12.2006, а також додатково сьогодні, я знайшов чимало уразливостей (чимало Cross-Site Scripting та кілька Full path disclosure) на відомому сайті http://www.gameland.ru - сайті видавництва журнала Хакер . Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

24.08.2007

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)

Дані уразливості вже виправлені. А також виправлена XSS в subscribe.asp (через POST запит) і 4 Full path disclosure уразливості.

Польський дослідник Michal Zalewski, що регулярно виявляє уразливості в популярних броузерах, відзвітувався ще про чотири, по дві у кожному.

Сама небезпечна дісталася IE - у короткий момент переходу від однієї сторінки до іншої нападник може виконати скрипт зі старої сторінки в контексті нової. Що відкриває ряд цікавих можливостей, включаючи крадіжку кук, впровадження коду тощо. Друга уразливість IE відноситься до шостої версії і дає можливість атакуючій сторінці прикинутися іншим сайтом.

Перша уразливість FF пов’язана з обробкою вбудованих фреймів і дозволяє стороннім сайтам підмінювати їхній вміст. Друга пов’язана з затримками, використовуваними при виведенні деяких діалогів з підтвердженням. За допомогою ланцюжка операцій втрати й встановлення фокуса нападник може примусити жертву завантажити і виконати довільний код.

По матеріалам http://bugtraq.ru.

P.S.

Нещодавно я писав, про знайдену мною нову уразливість в Internet Explorer.

В даній добірці експлоіти в веб додатках:

• ScriptMagix Jokes <= 2.0 (index.php catid) Remote SQL Injection Exploit (деталі)
• Moodle <= 1.5.2 (moodledata) Remote Session Disclosure Vulnerability (деталі)
• MetaForum <= 0.513 Beta Remote File Upload Exploit (деталі)
• ScriptMagix Lyrics <= 2.0 (index.php recid) SQL Injection Exploit (деталі)
• NetVios Portal (page.asp) Remote SQL Injection Vulnerability (деталі)
• phpBB Minerva Mod <= 2.0.21 build 238a SQL Injection Vulnerability (деталі)
• PHP-Nuke Module splattforum 4.0 RC1 Local File Inclusion Exploit (деталі)
• pragmaMX Module Landkarten 2.1 Local File Inclusion Exploit (win) (деталі)
• PHP-Nuke Module htmltonuke 2.0alpha (htmltonuke.php) RFI Vuln (деталі)
• Microsoft IIS Malformed URI DoS Exploit (деталі)

Продовжуючи тему експлоітів для Apache, пропоную вам нову добірку експлоітів і уразливостей в цьому веб сервері.

Дані експлоіти для уразливостей в Apache Tomcat, mod_rewrite та mod_imap. Адмінам варто слідкувати за оновленням своїх серверів.

• Apache Tomcat JK Web Server Connector Long URL Stack Overflow Vulnerability (деталі)
• Apache HTTP Server / Tomcat directory traversal (деталі)
• Security Vulnerabilities in the Apache 1.3 Web Server “mod_rewrite” and “mod_imap” Modules (деталі)

Новий метод поширення шкідливого коду через веб-сторінки знайшли фахівці Finjan. Механізм відображення інфікованих сторінок зберігає IP-адреси відвідувачів і спрацьовує для кожної адреси тільки один раз.

При наступному відвідуванні користувач бачить чисту веб-сторінку, говориться в “Доповіді тенденцій веб-безпеки” за II квартал. Компанія назвала цей метод “ухильною атакою”.

Однократне відображення шкідливого коду сильно ускладнює можливість відстеження джерела зараження, а також визначення й ідентифікації інфікованого сайта антивірусними компаніями, що блокують сторінки по сигнатурах - унікальних ділянкам коду, стверджують фахівці Finjan. Вони радять користувачам не відвідувати сумнівні сайти і відключати в браузері виконання активних сценаріїв.

По матеріалам http://www.securitylab.ru.

В даній добірці уразливості в веб додатках:

• JBoss jmx-console CSRF (деталі)
• IBM DB2 symbolic links problem on temporary files creation (деталі)
• RPW 1.0.2 (config.php sql_language) Remote File Inclusion Vulnerability: (деталі)
• Enthusiast Cross-Site Scripting and SQL Injection (деталі)
• Yana Framework Guestbook Profile Security Bypass (деталі)
• subscribe (pwd.txt) Remote Password Disclosur (деталі)
• RANDOM PHP QUOTE 1.0 (pwd.txt) Remote Password Disclosur (деталі)
• Переповнення буфера в Mac OS X ftpd (деталі)
• PHP-інклюдинг в додатку для створення блогів A-Blog (деталі)
• Vulnerability in MiniHTTP Web Forum&File Server PowerPack 4.0 (деталі)
• PHP-інклюдинг в системі управління змістом Pie Cart Pro Site Builder (деталі)
• Міжсайтовий скриптінг в PHP Invoice (деталі)
• Cross-site scripting (XSS) vulnerability in GOOP Gallery (деталі)
• Cross-site scripting vulnerability in Oracle Application Express (formerly HTML DB) (деталі)
• Vulnerability in Axalto Protiva 1.1 (деталі)