Websecurity - Веб безпека

Нещодавно на ha.ckers.org стався один цікавий і драматичний інцидент. Як повідомив RSnake в своєму записі Owning Ha.ckers.org - Or Not, його сайт спробували похати.

Ця спроба відбулася 03.11.2007 і атаку провели не деякі “невідомі особи”, а добрі знайомі RSnak’а. Це вони вирішили так пожартувати, як вияснилося потім (коли вони розкаялися і почали пояснювати свою поведінку). Але атака не вдалася, тому що сайт добре захищений і його адміни серйозно слідкують за безпекою ресурсу, і своєю власною також (RSnake в цьому плані дещо параноїк, як він це називає “здоровий реалізм”).

Ці хлопці, Sirdarckcat та Kuza55, вирішили дефейснути сайт використовуючі XSS+CSRF атаку. Для того щоб просто пожартувати (як вони думали). Але цей номер не пройшов, RSnake попалив цю атаку і знайшов винуватців. Й образився на них за їхню поведінку. Але потім, під час подальших бесід з цього приводу в коментарях та по емайлу, вони помирилися. І тепер, я дуже на це сподіваюся, всі вони будуть жити дружньо і щасливо . Бажано без подібних жартів в майбутньому.

В даній добірці уразливості в веб додатках:

• Multiple SQL injection vulnerabilities in DocMan 1.3 RC2 (деталі)
• PHP remote file inclusion vulnerability in RS Gallery2 component (com_rsgallery2) for Joomla! (деталі)
• Vulnerability in RS Gallery2 component (com_rsgallery2) for Joomla! (деталі)
• Jetbox CMS version 2.1 XSS Attack Vulnerability (деталі)
• ClonusWiki .5 Cross-Site Scripting Vulnerability (деталі)
• Sun Java System Web Proxy Multiple Buffer Overflow Vulnerabilities (деталі)
• Inout Meta Searh engine Remote Code Execution (деталі)
• Multiple SQL injection vulnerabilities in Doug Luxem Liberum Help Desk (деталі)
• Міжсайтовий скриптінг в phpComasy (деталі)
• Декілька уразливостей в OpenBase SQL (деталі)
• Vulnerability in Business Objects Crystal Enterprise 9 and 10 (деталі)
• Cross-site scripting (XSS) vulnerability in TikiWiki 1.9.6 (деталі)
• Cross-site scripting (XSS) vulnerability in TikiWiki (деталі)
• Міжсайтовий скриптінг в Portix2 (деталі)
• Обхід каталогу в Network Administration Visualized (деталі)

Продовжується Місяць багів в Капчах і сьогодні я опублікував нову уразливість.

На сьомий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі mt-scode (це плагін для Movable Type, а також є порт для Drupal). Дана Капча вразлива до MustLive CAPTCHA bypass method.

• MoBiC-07: mt-scode CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Next participant of the project is mt-scode. It is captcha anti-spam plugin for Movable Type (with port for Drupal). This is popular plugin which is using at many sites. So there are many thousands of sites which are in risk with this plugin.

This captcha is vulnerable to MustLive CAPTCHA bypass method. This Insufficient Anti-automation hole I found 25.10.2007.

For bypassing you need to use the same code and scode values many times (for every post). This is classic MustLive CAPTCHA bypass method.

Insufficient Anti-automation:

mt-scode CAPTCHA bypass.html

This exploit for educational purposes only.

You need to setup exploit to test it (set site’s URL and others data). If you want to test it immediately, here is online example.

I found this hole at blogs.nature.com which is using mt-scode.

Insufficient Anti-automation:

blogs.nature.com CAPTCHA bypass.html

Guys not overdo with this Captcha bypass test. Not post too much at this site. This exploit for educational purposes only.

Moral: never make such vulnerable captchas.

09.01.2007

Нещодавно, 06.01.2007, я знайшов численні Cross-Site Scripting уразливості на відомому секюріті проекті http://www.securitylab.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Секлаб - це один з популярних ресурсів Рунета на тему безпеки, один з моїх улюблених сайтів даної тематики і дуже прикро бачити уразливості (й чимало) на даному ресурсі.

Детальна інформація про уразливості з’явиться пізніше.

07.11.2007

XSS:

• alert(’XSS’)
• alert(document.cookie)
• цікавий
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)

Це універсальні XSS в PDF. Адміни секлаба несерйозно віднеслися до моїх застережень (та взагалі несерйозно відреагували) і не виправили дані уразливості. Тому користувачам даного сайта варто слідкувати за власною безпекою. Раніше я також писав про дірки редиректори на securitylab.ru (в Бітрікс).

В даній добірці експлоіти в веб додатках:

• OpenBASE 0.6a (root_prefix) Remote File Inclusion Vulnerabilities (деталі)
• vBulletin vBGSiteMap 2.41 (root) Remote File Inclusion Vulnerabilities (деталі)
• My Little Forum <= 1.7 (user.php id) Remote SQL Injection Exploit (деталі)
• gCards <= 1.46 SQL Injection/Remote Code Execution Exploit (деталі)
• TROforum 0.1 (admin.php site_url) Remote File Inclusion Vulnerability (деталі)
• Mazens PHP Chat V3 (basepath) Remote File Inclusion Vulnerabilities (деталі)
• Frequency Clock 0.1b (securelib) Remote File Inclusion Vulnerabilities (деталі)
• Fundanemt <= 2.2.0 (spellcheck.php) Remote Code Execution Exploit (деталі)
• Joomla Component Phil-a-Form <= 1.2.0.0 SQL Injection Exploit (деталі)
• VS-Link-Partner <= 2.1 (script_pfad) Remote File Include Exploit (деталі)

Продовжується Місяць багів в Капчах і сьогодні я опублікував нові уразливості.

На шостий день Місяця багів в Капчах я опублікував інформацію про дірки в Капчі itua.info. Дана Капча вразлива до двох методів обходу.

• MoBiC-06: itua.info CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Next participant of the project is captcha at itua.info. Which is using in subscribe form at every news page of the site.

This captcha is vulnerable for two methods of bypassing. These Insufficient Anti-automation holes I found 16.10.2007.

1. Code guessing bypass method.

Captcha has easy algorithm of images generation (constant). Code on image is less on 111 from t parameter’s value. So it’s easy for program to find out what is the code needed for current captcha.

2. MustLive CAPTCHA bypass method.

For bypassing you need to use the same skod and iskod values many times (for every post). This is my mine CAPTCHA bypass method. And use new email for every post.

Insufficient Anti-automation:

itua.info CAPTCHA bypass.html

This exploit for educational purposes only.

Moral: never make such unreliable captchas.

Викрито групу хакерів, учасники якої займалися розкраданням коштів з рахунків клієнтів різних банків і електронних платіжних систем Росії та Білорусії.

Правоохоронним органам стало відомо про існування угруповання на початку року. Хакери створили в Інтернеті ряд підставних сайтів, при відвідуванні яких на комп’ютери користувачів записувався троян, що пересилав інформацію на сервер групи.

Інформацію продавали людям, що безпосередньо здійснювали вхід у комп’ютерні системи під чужими обліковими записами і викрадали кошти. Гроші виводилися різними способами - шляхом обготівлення у віртуальних обмінних пунктах, виготовлення підроблених пластикових карт, виведення через мобільні телефони.

Встановлено, що одним з організаторів угруповання був громадянин Білорусії, що викрав через Інтернет порядку 2 млн. рублів у клієнта організації, що займається оплатою послуг зв’язку. В результаті спільної операції російських і білоруських правоохоронних органів підозрюваний був затриманий.

По матеріалам http://www.secblog.info.

В даній добірці уразливості в веб додатках:

• Cross-site scripting (XSS) vulnerability in reviews section in PostNuke 0.764 (деталі)
• Vulnerability in DocMan 1.3 RC2 (деталі)
• Cross-site scripting (XSS) vulnerability in DocMan 1.3 RC2 (деталі)
• HLstats v1.35 Cross-Site Scripting Vulnerability #3 (деталі)
• RM EasyMail Plus - Cross-Site Scripting Vulnerability #2 (деталі)
• GMTT Music Distro 1.2 XSS Exploit (деталі)
• PsychoStats v3.0.6b Multiple Cross-Site Scripting Vulnerabilities (деталі)
• Updated links packages fix smb vulnerability (деталі)
• Cross-site scripting vulnerability in HIOX Star Rating System Script (HSRS) (деталі)
• Переповнення буферу в Essentia Web Server (деталі)
• SQL injection vulnerability in ContentNow (деталі)
• Multiple cross-site scripting vulnerabilities in PMOS Help Desk (Ace Helpdesk) (деталі)
• Декілька уразливостей в iPrimal Forums (деталі)
• PHP-інклюдинг в Soholaunch Pro (деталі)
• SQL injection vulnerability in Doug Luxem Liberum Help Desk (деталі)