Websecurity - Веб безпека

Ще в листопаді, 06.11.2006, я знайшов Cross-Site Scripting уразливість в WordPress MultiUser. Лише зараз взявся про неї повідомити, тому що запис про цю дірку загубився серед моїх численних записів про уразливості на різних сайтах Мережі та у веб додатках, котрі я щоденно знаходжу.

Уразливий WordPress MultiUser 1.0 та попередні версії.

XSS:

POST запит на сторінці http://site/wp-newblog.php:

"><script>alert(document.cookie)</script>В полі Username.

У версіях WordPress MU 1.1.1 та наступних дана уразливість вже виправлена.

З 8 по 12 серпня в Німеччині пройшла хакерська конференція на відкритому повітрі Chaos Communication Camp 2007.

Захід Chaos Communication Camp проводиться один раз у чотири роки при фінансовій підтримці організації Chaos Computer Club. У нинішньому році зліт хакерів проходив у Фіновфурті (недалеко від Берліна). На площі в 100 тисяч квадратних метрів були розбиті десятки наметів, споруджені спеціальні лекційні комплекси і розважальні павільйони. У постояльців табору було все необхідне - електрика, їжа і напої і, звичайно, доступ у Всесвітню мережу.

У рамках заходу Chaos Communication Camp 2007 проводилися семінари, лекції і практичні заняття. Учасники конференції ділилися досвідом, демонстрували нові способи взлому криптографічних систем, мереж Wi-Fi тощо. Крім того, обговорювалися питання, пов’язані з захистом відкритих і пропрієтарних програмних платформ, розповсюджених додатків і апаратних рішень. Учасники конференції також демонстрували свої оригінальні проекти і висловлювали свіжі ідеї. На конференцію Chaos Communication Camp зібралися хакери практично з усіх куточків світу.

Варто додати, що нещодавно в Лас-Вегасі (США) пройшли чергова хакерська конференція Black Hat, а також конференція Defcon, присвячена питанням безпеки. У ході цих заходів серед іншого була оприлюднена інформація про нові діри в комп’ютерних системах і програмних продуктах, зокрема, медіаплеєрах і одній з розповсюджених систем диспетчерського керування і збору даних (Supervisory Control and Data Acquisition, SCADA).

По матеріалам http://www.securitylab.ru.

02.04.2007

У грудні, 04.12.2006, я знайшов Cross-Site Scripting уразливість на http://www.grammy.ru - популярному музичному порталі. Про що найближчим часом сповіщу адміністрацію порталу.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

22.08.2007

XSS:

• alert(document.cookie)
• цікавий
• html включення

Дана уразливість досі не виправлена.

В даній добірці експлоіти в веб додатках:

• MPM Chat 2.5 (view.php logi) Local File Include Vulnerability (деталі)
• Php-Stats <= 0.1.9.1b (php-stats-options.php) admin 2 exec() eExploit (деталі)
• ScriptMagix FAQ Builder <= 2.0 (index.php) Remote SQL Injection Exploit (деталі)
• Guestbara <= 1.2 Change Admin Login and Password Exploit (деталі)
• Net Portal Dynamic System (NPDS) <= 5.10 Remote Code Execution (деталі)
• Katalog Plyt Audio (pl) <= 1.0 Remote SQL Injection Exploit (деталі)
• iFrame for Phpnuke (iframe.php) Remote File Inclusion Vulnerability (деталі)
• ScriptMagix Photo Rating <= 2.0 Remote SQL Injection Exploit (деталі)
• ScriptMagix Recipes <= 2.0 (index.php catid) SQL Injection Exploit (деталі)
• LiteWEB 2.7 404 Denial of Services (деталі)

Пропоную вам подивитися цікавий і веселий відеоролик про комп’ютерну безпеку - хакінг приставки Wii. В цьому ролику йдеться про взлом системи захисту Wii (ця доповідь була представлена на конференції Console Hacking 2006) та її порівняння з попередньою приставкою Nintendo.

Console Hacking 2006 - Wii

Доволі цікава доповідь , в котрій розповідається про декілька методів взлому приставки. Автор доповіді з гумором підійшов до опису недоліків системи захисту приставки і весело порівняв зміни в цій системі між Wii та GameCube.

Виявлена можливість підміни адресного рядка в IE. Уразливість дозволяє віддаленому користувачу виконати спуфінг атаку.

Уразливі версії: Microsoft Internet Explorer 7, можливо більш ранні версії.

Уразливість існує через помилку при обробці методу “document.open()”. Віддалений користувач може за допомогою спеціально сформованої веб сторінки підмінити вміст сайта, якщо користувач набере URL вручну в адресному рядку.

• Подмена адресной строки в Microsoft Internet Explorer (деталі)

В даній добірці уразливості в веб додатках:

• IBM DB2 Universal Database DB2INSTANCE File Creation Vulnerability (деталі)
• IBM DB2 Universal Database Multiple Privilege Escalation Vulnerabilities (деталі)
• Openads / Openads for PostgreSQL Cross-Site Scripting Vulnerability (деталі)
• ASP NEWS <= V3 (news_detail.asp) Remote SQL Injection Vulnerability (деталі)
• ASP EDGE <= V1.2b (user.asp) Remote SQL Injection Vulnerability (деталі)
• phpXD <= 0.3 (path) Remote File Inclusion Vulnerability (деталі)
• BBClone 0.31 (selectlang.php) Remote File Inclusion Vulnerability (деталі)
• Декілька уразливостей в системі управління змістом JAF CMS (деталі)
• Інклюдинг локальних файлів в фотоальбомі Exporia (деталі)
• Декілька уразливостей в Telnet - Ftp Server (деталі)
• Multiple SQL injection vulnerabilities in PacPoll (деталі)
• Authentication bypass in PacPoll (деталі)
• Міжсайтовий скриптінг в Sun Secure Global Desktop (деталі)
• PHP remote file inclusion vulnerability in University of British Columbia iPeer (деталі)
• Directory traversal vulnerability in the SSL server in AEP Smartgate 4.3b (деталі)

Співробітники Служби безпеки України Донецької області розслідують три злочини, пов’язані з вторгненнями в комп’ютерні мережі місцевих підприємств, повідомляє прес-служба СБУ.

У першому випадку хакер проникнув у мережу одного з відділень Торгово-промислової палати і спробував перевести 75 тис. гривень ($15 тис.) на рахунок приватної особи.

В другому, відбувся взлом мережі одного з металургійних підприємств. Хакер збільшив кількість металу, призначеного для переплавляння, на 72 тонни, що могло нанести підприємству збиток на суму в 300 тис. гривень ($60 тис.)

Третій випадок відноситься до телефонії - зловмисник виготовив пристрій, за допомогою якого здійснював безкоштовні телефонні розмови. Пристрій був зібраний зі стаціонарного телефону, комп’ютера і спеціального телекомунікаційного устаткування.

Порушено кримінальні справи по статті 361 КК України про несанкціоноване вторгнення в комп’ютерні системи. Стаття передбачає максимальний термін тюремного ув’язнення до 5 років.

По матеріалам http://safe.cnews.ru.

21.07.2007

У січні, 26.01.2007, я знайшов Cross-Site Scripting уразливість в пошуковому движку Search Engine Builder. Як раз коли виявив уразливість на www.niisp.gov.ua, де і використовується цей локальний пошуковець.

Деталі уразливості з’являться пізніше, спочатку повідомлю розробникам системи.

20.08.2007

XSS:

Уразливість на сторінці search.html в параметрі searWords.

http://site/search/search.html?searWords=%3Cscript%3Ealert(document.cookie)%3C/script%3E

Розробникам Search Engine Builder я повідомив, але вони так і не відповіли. Тому користувачам даного движка потрібно самотужки виправити цю дірку.

В даній добірці експлоіти в веб додатках:

• WebCalendar 0.9.45 (includedir) Remote File Inclusion Vulnerability (деталі)
• Creative Files 1.2 (kommentare.php) Remote SQL Injection Vulnerability (деталі)
• Php-Stats <= 0.1.9.1b (ip) Remote SQL Injection Exploit (деталі)
• Php-Stats <= 0.1.9.1b (PC-REMOTE-ADDR) SQL Injection Exploit (деталі)
• McGallery 0.5b (download.php) Arbitrary File Download Vulnerability (деталі)
• Absolute Image Gallery 2.0 (gallery.php categoryid) SQL Injection Vuln (деталі)
• Particle Blogger <= 1.2.0 (post.php postid) Remote SQL Injection Exploit (деталі)
• PHP DB Designer <= 1.02 Remote File Include Vulnerabilities (деталі)
• Active PHP Bookmark Notes <= 0.2.5 Remote File Inclusion Exploit (деталі)
• Conti FTP Server v1.0 Denial of Service (деталі)