Websecurity - Веб безпека

Настав час для анонсу мого нового проекту - Місяця багів в Капчах (Month of Bugs in Captchas). Даний проект відбудеться в наступному місяці. Тому листопад - це місяць багів в Капчах .

В Інтернеті існує чимало різних Captcha систем і багато з них є вразливими. Капчі створюють лише ілюзію захищеності. Метою даного Місяця багів є демонстрація реального стану справ з безпекою Капч, що використовуються на багатьох веб сайтах.

В листопаді 2007 року відбудеться Апокаліпсис для Капч. Чимало Капч будуть захакані до смерті. Вони помруть для того, щоб переродитися в нові більш захищені Капчі. Час прийшов.

Адреса проекту: http://websecurity.com.ua/category/mobic/

Додаткова інформація про проект буде опублікована в кінці поточного місяця. Листопад буде дуже спекотним місяцем.

29.05.2007

У січні, 05.01.2007, я знайшов Cross-Site Scripting уразливості на проекті http://horo.meta.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Останнього разу стосовно проектів компанії Мета я писав про уразливості на chumaki.meta.ua.

Детальна інформація про уразливості з’явиться пізніше.

17.10.2007

XSS:

• alert(document.cookie)
• alert(document.cookie)

Дані уразливості вже виправлені.

В даній добірці експлоіти в веб додатках:

• Nuked-klaN 1.7.6 Remote Code Execution Exploit (деталі)
• Wikivi5 (show.php sous_rep) Remote File Inclusion Vulnerability (деталі)
• XOOPS Module wfquotes 1.0 0 Remote SQL Injection Vulnerability (деталі)
• NoAh <= 0.9 pre 1.2 (mfa_theme.php) Remote File Inclusion Vulnerability (деталі)
• Friendly <= 1.0d1 (friendly_path) Remote File Inclusion Vulnerabilities (деталі)
• DynamicPAD <= 1.02.18 (HomeDir) Remote File Inclusion Vulnerabilities (деталі)
• ACGVAnnu <= 1.3 (acgv.php rubrik) Local File Inclusion Vulnerability (деталі)
• Tropicalm Crowell Resource 4.5.2 (RESPATH) RFI Vulnerabilities (деталі)
• GNUEDU 1.3b2 Multiple Remote File Inclusion Vulnerabilities (деталі)
• Jupiter CMS SQL Injection Vulnerability (POC #1) (деталі)

Як повідовив RSnake в своєму записі IE Sends Local Addresses in Referer Header, існує можливість дізнатися важливу інформацію через реферер. В Internet Explorer 7 (в якому він тестував) при відкритті сторінки (зі спеціальним кодом) передається реферер.

<xml id="xml" src="http://site.com"><xml>

В даному випадку, якщо ця сторінка була збережена на локальний диск і відкрита локально, то на віддалений сервер передасться реферер локальної папки. Що буде витоком інформації, зокрема імені диску та локального шляху, а також (в більшості випадків) імені користувача - його логіна в системі. Раніше для цього потрібно було використовувати JavaScript або інші активні елементи, а тепер реферер можна отримати за допомогою цього простого методу.

Даний метод працює в Internet Explorer і не працює в Mozilla та Firefox. Окрім IE 7, як я перевірив, в IE 6 він також працює.

Корпорація Microsoft планує внести деякі зміни в механізм обробки універсальних ідентифікаторів ресурсу (Uniform Resource Identifier, URI) браузером Internet Explorer.

Влітку нинішнього року експерти з питань комп’ютерної безпеки оприлюднили інформацію про серйозну проблему, пов’язану з обробкою ідентифікаторів URI. Тоді повідомлялося, що за допомогою сформованій спеціальним чином веб-сторінки зловмисник теоретично може виконати довільний JavaScript-код у браузері Firefox через Internet Explorer.

У Microsoft заявили, що проблему повинні вирішувати сторонні розробники, оскільки нібито саме в їхніх додатках міститься дірка. Більш того, пізніше співтовариство Mozilla.org навіть випустило апдейт для Firefox, що змінює схему обробки URI.

Однак, як тепер повідомляється в блозі Джонатана Несса, одного з розробників Microsoft, корпорація також має намір модифікувати механізм взаємодії Internet Explorer з універсальними ідентифікаторами ресурсу. Таким чином, виходить, що виявлена влітку проблема актуальна не тільки для програм сторонніх розробників, але і для продуктів самої Microsoft.

Оновлення, що готується до випуску, буде призначене для комп’ютерів з Internet Explorer 7, що працюють під керуванням операційних систем Windows XP і Windows Server 2003. Для Windows Vista проблема не актуальна.

По матеріалам http://www.secblog.info.

В даній добірці уразливості в веб додатках:

• DoS vulnerability in lighttpd (деталі)
• Vulnerability in lighttpd 1.4.12 and 1.4.13 (деталі)
• Remote Sql Injection in EasyMoblog 0.5.1 (деталі)
• php web portail [remote file include & local file include] (деталі)
• Cross-site scripting vulnerability in the IFrame module for DotNetNuke (DNN) (деталі)
• Vulnerability in the MuddyDogPaws FileDownload snippet for MODx (деталі)
• Vulnerability in Textimage module for Drupal and Captcha module for Drupal (деталі)
• Vulnerability in SeleniumServer FTP Server 1.0 (деталі)
• Multiple cross-site scripting (XSS) vulnerabilities in Extreme CMS 0.9 (деталі)
• Vulnerability in Extreme CMS 0.9 (деталі)
• Міжсайтовий скриптінг в phpFaber CMS (деталі)
• Directory traversal vulnerability in Anton Vlasov DoSePa 1.0.4 (деталі)
• SQL injection vulnerability in Property Pro 1.0 (деталі)
• Multiple SQL injection vulnerabilities in E-Calendar Pro 3.0 (деталі)
• PHP-інклюдинг в phpBB Spider Friendly (деталі)

Виявлені проблеми з оновленнями в багатьох розширеннях Mozilla та Firefox (upgrade weakness).

Механізм оновлення багатьох розширень дозволяє оновлення по протоколу HTTP без використання SSL/TLS. Що дозволяє зловмиснику підмінити розширення для браузера в процесі його завантаження.

• New Vulnerability against Firefox/ Major Extensions (деталі)

09.07.2007

У січні, 05.01.2007, я знайшов Cross-Site Scripting уразливості на проекті http://dating.meta.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Останній раз стосовно проектів компанії Мета я писав про уразливості на horo.meta.ua, а також в MOSEB-01 та в MOSEB-01 Bonus.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

15.10.2007

XSS:

• alert(document.cookie)
• alert(document.cookie)

Дані уразливості вже виправлені.

В даній добірці експлоіти в веб додатках:

• Versado CMS 1.07 (ajax_listado.php urlModulo) RFI Vulnerability (деталі)
• E-GADS! 2.2.6 (common.php locale) Remote File Inclusion Vulnerability (деталі)
• PHP TopTree BBS 2.0.1a (right_file) Remote File Inclusion Vulnerability (деталі)
• Persism CMS <= 0.9.2 system[path] Remote File Inclusion Vulnerabilities (деталі)
• PMECMS <= 1.0 config[pathMod] Remote File Inclusion Vulnerabilities (деталі)
• Net Portal Dynamic System (NPDS) <= 5.10 Remote Code Execution (2) (деталі)
• vm watermark for Gallery 0.4.1 Remote File Inclusion Vulnerability (деталі)
• PHPtree 1.3 (cms2.php s_dir) Remote File Inclusion Vulnerability (деталі)
• Archangel Weblog 0.90.02 Local File Inclusion / Admin Bypass Vulns (деталі)
• PhpSploit Class (деталі)

На цих вихідних в Києві пройшла конференція BlogCamp 2007. В якій я прийняв участь та виступив з доповіддю.

Вчора, 13.10.2007, я відвідав BlogCamp - першу подібну конференцію в Україні (та першу на теренах СНГ і Балтії). Сама конференція вийшла цікавою - мені вона сподобалась. На ній я послухав декілька інтересних доповідей, а також виступив зі своєю доповіддю на тему “Безпека Блогосфери”.

Якщо вам цікава дана тема, то можете ознайомитися з текстом моєї доповіді: Безопасность Блогосферы (Security of Blogosphere).