Websecurity - Веб безпека

Джеремія Гроссман в своєму блозі розповів про останні хакерські інциденти.

В добірку останніх нових потрапило десять інцидентів даної тематики.

1. Пара студентів коледжу похакали базу даних PeopleSoft в California State University щоб змінити свої оцінки.

2. Oracle звинувачує SAP у взломі їхнього клієнтського порталу.

3. Scarborough & Tweed нещодавно повідомили про витік персональної інформації їхніх клієнтів через SQL Injection.

4. Парочка хакерів спробувала атакувати сайт RSnake.

5. Активно просувається проект Month of Bugs in Captchas. В якому вже засвітилося чимало зіркових капч.

6. Art.com та Vertical Web Media повідомили про взлом їхніх сайтів.

7. Відбулися дефейси сайта президента Чилі та сайта міської ради Абердіна.

8. Була виявлена уразливість на сайті Інтернет банка Cahoot.

9. Раян Барнет виявив Blind SQL Injection в WASC Distributed Open Proxy Honeypot Project.

10. На YouTube було розміщене цікаве відео про використання XSS уразливості на Facebook.

Окрім цього, Джеремія згадав ще про інциденти з QVC та OpenSocial, про які він писав раніше. І про які я ще додатково розповім. Листопад виявився дуже насиченим на хакерську активність місяцем .

• A whole lot of WEB hacking going on (деталі)

В даній добірці експлоіти в веб додатках:

• Kravchuk letter script 1.0 (scdir) Remote File Inclusion Vulnerabilities (деталі)
• Comicsense 0.2 (index.php epi) Remote SQL Injection Exploit (деталі)
• PBLang <= 4.67.16.a Remote Code Execution Exploit (деталі)
• DRDoS - Distributed Reflection Denial of Service (деталі)
• Kartli Alisveris Sistemi 1.0 Remote SQL Injection Vulnerability (деталі)
• NewsSync for phpBB 1.5.0rc6 Remote File Inclusion Exploit (деталі)
• Joomla Component JEvents 1.4.1 Remote File Inclusion Vulnerability (деталі)
• MiniWeb Http Server 0.8.x Remote Denial of Service Exploit (деталі)
• e-Vision CMS <= 2.02 SQL Injection/Remote Code Execution Exploit (деталі)
• NukeSentinel 2.5.05 (nukesentinel.php) File Disclosure Exploit (деталі)

Продовжується Місяць багів в Капчах і сьогодні я опублікував нові уразливості.

На дванадцятий день Місяця багів в Капчах я опублікував інформацію про дірки в Капчі Peter’s Random Anti-Spam Image (це плагін для WordPress). Дана Капча вразлива до half-automated method та має Cross-Site Scripting уразливість.

• MoBiC-12: Peter’s Random Anti-Spam Image CAPTCHA bypass (деталі)
• MoBiC-12 Bonus: Peter’s Random Anti-Spam Image XSS (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Continue our talk about last participant of the project - Peter’s Random Anti-Spam Image. It is captcha plugin for WordPress.

This is popular captcha plugin which is using at many sites. So there are many web sites which are in risk with it. Vulnerable version of plugin is Peter’s Random Anti-Spam Image 0.2.4 (and all previous).

This captcha is vulnerable for XSS. As I wrote in article MoBiC-05 Bonus: Google CAPTCHA bypass, there are vulnerabilities in captchas different from Insufficient Anti-automation (and I’ll write about some of them). This Cross-Site Scripting hole I found 03.11.2007.

XSS:

POST query in comment form in comment field:
</textarea><script>alert(document.cookie)</script>

Peter’s Random Anti-Spam Image XSS.html

This exploit for educational purposes only. Don’t use this hole and exploit for malicious purposes.

You need to setup exploit to test it (set site’s URL and others data).

Moral: try to make captchas without XSS holes.

Next participant of the project is Peter’s Random Anti-Spam Image. It is captcha plugin for WordPress. This plugin from the same author as Peter’s Custom Anti-Spam Image and it’s more reliable than previous plugin, but also has vulnerabilities.

This is popular captcha plugin (like Custom Anti-Spam Image) which is using at many sites. So there are many web sites which are in risk with this plugin. Vulnerable version of plugin is Peter’s Random Anti-Spam Image 0.2.4 (and all previous).

This captcha is vulnerable for half-automated method (I’ll wrote about another more serious hole in bonus post). It is one of Advanced MustLive CAPTCHA bypass methods which I described in article MoBiC-05: Blogger CAPTCHA bypass. This Insufficient Anti-automation hole I found 03.11.2007.

In half-automated method you need to prepare captchas image-code pairs beforehand (because of one-time captcha images). For bypassing you need to use new securitycode and matchthis values for every post. It’s not fully automated, but it’s still half-automated bypass (without using OCR, only using vulnerabilities in captcha directly). Those who don’t want to work by themselves, can use low cost work force to prepare image-code pairs or use OCR software (even for not real time recognition), and bad guys often use such techniques. Though this method allow personal captcha bypassing without additional resources (work force or OCR).

Insufficient Anti-automation:

Peter’s Random Anti-Spam Image CAPTCHA bypass.html

This exploit for educational purposes only.

You need to setup exploit to test it (set site’s URL and others data).

Moral: try to make more secure captchas.

P.S.

Also I prepared another vulnerability in Peter’s Random Anti-Spam Image. So wait for today’s bonus post .

В даній добірці уразливості в веб додатках:

• SonicBB version 1.0 XSS Attack Vulnerabilities (деталі)
• SonicBB version 1.0 Multiple Path Disclosure Vulnerabilities (деталі)
• XSS in Microsoft SharePoint (деталі)
• Pligg critical vulnerability (деталі)
• BoastMachine index.php Cross Site Scripting Vulnerability (деталі)
• Web Directory / Search Engine v2.0 Authentication Bypass/Database Download Vulne (деталі)
• Vulnerability - cpCommerce - XSS (деталі)
• ProFTPD: Remote execution of arbitrary code (деталі)
• Multiple cross-site scripting (XSS) vulnerabilities in BirdBlog 1.4.0 (деталі)
• PHP remote file inclusion vulnerability in Site News (site_news) (деталі)
• slackware-security: seamonkey (деталі)
• SQL-ін’єкція в abarcar Realty Portal (деталі)
• PHP remote file inclusion vulnerability in PEGames (деталі)
• Інклюдинг локальних файлів в phpMyChat Plus (деталі)
• Уразливість при обрабці HTML коду в браузері Safari (деталі)

Продовжується Місяць багів в Капчах і сьогодні я опублікував нову уразливість.

На одинадцятий день Місяця багів в Капчах я опублікував інформацію про дірку в Капчі Digg. Дана Капча вразлива до MustLive CAPTCHA bypass method.

• MoBiC-11: Digg CAPTCHA bypass (деталі)

Очікуємо на наступний день Month of Bugs in Captchas.

Next participant of the project is Digg’s captcha. Digg.com is very popular web site, so it’s star captcha.

This captcha is using at Create an Account page and it’s vulnerable for MustLive CAPTCHA bypass method. This Insufficient Anti-automation hole I found 12.09.2007.

For bypassing captcha you need to use the same captcha and captchaid values many times (for every post). Note, that one captcha image works not long, so you need new image-code pairs periodically.

Insufficient Anti-automation:

Digg CAPTCHA bypass.html

Guys not overdo with this Captcha bypass test. This exploit for educational purposes only.

Moral: never make such insecure captchas.

12.07.2007

У січні, 17.01.2007, я знайшов Cross-Site Scripting уразливість на http://s9y.org - офіційному сайті движка Serendipity. Про що найближчим часом сповіщу адміністрацію сайту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

11.11.2007

XSS:

• alert(document.cookie)
• цікавий
• html включення (PR7 )

Дана уразливість досі не виправлена. Причому адмін s9y.org відповів на мого листа, подякував та сказав, що займеться цією діркою, але так досі її не виправив. Не варто забувати про дірки на своєму сайті.

В даній добірці експлоіти в веб додатках:

• Particle Gallery <= 1.0.1 Remote SQL Injection Exploit (деталі)
• Quick.Cart <= 2.2 RFI/LFI Remote Code Execution Exploit (деталі)
• PNphpBB2 <= 1.2 (index.php c) Remote SQL Injection Exploit (деталі)
• Madirish Webmail 2.0 (addressbook.php) Remote File Inclusion Vuln (деталі)
• EQdkp <= 1.3.2 (listmembers.php rank) Remote SQL Injection Exploit (деталі)
• Sendcard <= 3.4.1 (Local File Inclusion) Remote Code Execution Exploit (деталі)
• screen 4.0.3 Local Authentication Bypass Vulnerability (деталі)
• IBM Tivoli Provisioning Manager PRE AUTH Remote Exploit (деталі)
• Comicsense 0.2 (index.php epi) Remote SQL Injection Vulnerability (деталі)
• Exploits webSPELL v4.01.02 (showonly) Remote SQL Injection (деталі)