Websecurity - Веб безпека

В своєму записі Google Text Ad Subversion, RSnake розповідає про можливість підробки реклами Google AdSense.

В даному випадку, він навів лінку на статтю в ZDNet, де розповідається як підміняли текстову рекламу Гугла за допомогою трояна на комп’ютерах користувачів, щоб вони клікали на рекламу зловмисників. Тобто на різних сайтах, що відвідує користувач, де розміщена реклама Google AdSense, реклама замінялася на іншу (що посилається на акаунт шахрая), щоб при кліках на цю рекламу заробив не власник сайта, а розробник трояна.

Цікава методика шахрайства на PPC. Це варіант іншої методики, коли хакаються сайти, на котрих розміщена реклама Google AdSense (або інших систем) і її код замінюється на інший, в цій системі, що посилається на акаунт зловмисника. І власник сайта навіть не здогадується, поки в коді не побачить зміни, що реклама на його сайті приносить дохід зовсім не йому.

В даній добірці уразливості в веб додатках:

• BlueCat Networks Adonis root Privilege Access (деталі)
• SquirrelMail G/PGP Plugin gpg_help.php Local File Inclusion Vulnerability (деталі)
• SquirrelMail G/PGP Plugin gpg_check_sign_pgp_mime() Command Injection Vulnerability (деталі)
• pheap [edit LFI] vulnerability (деталі)
• LoveCMS 1.4 multiple vulnerabilities (деталі)
• Plantilla PHP Simple (деталі)
• Pics Navigator Directory Traversal Vulnerability (деталі)
• Дві уразливості в HyperACCESS (деталі)
• FileCOPA FTP Server <= 1.01 (LIST) Remote BoF Exploit (meta) (деталі)
• Cross-site request forgery (CSRF) vulnerability in SPINE (деталі)
• Численні уразливості в Sun Java JRE (деталі)
• Vulnerability in M-Core (деталі)
• Міжсайтовий скриптінг в Drupal MySite Module (деталі)
• Sun Java System Content Delivery Server May Allow Unauthorized Viewing of Content Details (деталі)
• PHP-інклюдинг в CuteNews AJ-Fork (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах fGallery, WP-Cal та Adserve. Для котрих нещодавно з’явилися експлоіти. fGallery - це плагін для створення галереї зображень, WP-Cal - це плагін для створення календаря, а Adserve - це плагін для керування рекламою на сайті.

• Wordpress plugin fGallery 2.4.1 fimrss.php SQL Injection Vulnerability (деталі)
• Wordpress Plugin WP-Cal 0.3 editevent.php SQL Injection Vulnerability (деталі)
• Wordpress Plugin Adserve 0.2 adclick.php SQL Injection Exploit (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжу тему “Warning” Гугл хакінга (”Warning” Google hacking). Котрий є різновидом Гугл хакінга - використання пошукових систем (зокрема Гугла) для пошуку уразливостей на сайтах.

Дана методика передбачає використання Гугла (чи інших пошукових систем) з метою пошуку повідомлень про помилки на сайтах, і дозволяє знайти важливу інформацію стосовно даних сайтів. За допомогою спеціальних пошукових запитів (дорків) можна знайти Full path disclosure та Information disclosure уразливості на різноманітних сайтах в Інтернеті.

Новий перелік “варнінг” пошукових запитів (dorks):

Warning: addcslashes

Warning: addslashes

Warning: array_change_key_case

Warning: array_chunk

Warning: array_combine

Warning: array_count_values

Warning: array_diff

Warning: array-fill

Warning: array-filter

Warning: array-flip

Warning: array-intersect

Warning: array-key-exists

Warning: array-keys

Warning: array-merge

Warning: array-merge-recursive

26.02.2007

Ще в вересні, 29.09.2006 (трохи відклалося з цим анонсом), я знайшов Cross-Site Scripting та Full path disclosure уразливості на популярному проекті http://zakladka.org.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

30.01.2008

XSS:

POST запит на сторінці http://zakladka.org.ua/add.html

<script>alert(document.cookie)<script>В полі: Подай URL сторінки.

Full path disclosure:

Такий самий POST запит на сторінці http://zakladka.org.ua/add.html.

Дані уразливості вже виправлені. Але XSS дірка виправлена не повністю і при невеликій модифікації знову працює.

XSS:

POST запит на сторінці http://zakladka.org.ua/add.html (для IE)

" style="xss:expression(alert(document.cookie))В полі: Подай URL сторінки.

В даній добірці експлоіти в веб додатках:

• Joomla Flash uploader 2.5.1 Remote File Inclusion Vulnerabilities (деталі)
• Joomla Component com_colorlab 1.0 Remote File Inclusion Vulnerability (деталі)
• WWWISIS <= 7.1 (IsisScript) Local File Disclosure / XSS Vulnerabilities (деталі)
• KwsPHP 1.0 mg2 Module Remote SQL Injection Vulnerability (деталі)
• doop CMS <= 1.3.7 (page) Local File Inclusion Vulnerability (деталі)
• Okul Otomasyon Portal 2.0 Remote SQL Injection Vulnerability (деталі)
• Artmedic CMS <= 3.4 (index.php page) Local File Inclusion Vulnerability (деталі)
• Boa 0.93.15 HTTP Basic Authentication Bypass Exploit (деталі)
• awzMB <= 4.2 beta 1 Multiple Remote File Inclusion Vulnerabilities (деталі)
• Absolute Image Gallery MSSQL CMD Injection Exploit (деталі)

У своєму пості Автоматизация тестирования Flash, Олександр Комлев навів презентацію стосовно автоматизації тестування flash додатків.

Автоматизация тестирования сложных Flash-интерфейсов

В своїй презентації “Автоматизація тестування складних Flash-інтерфейсів”, Олександр розповідає про особливості тестування flash додатків, зокрема автоматизованого тестування з використанням плагіна до Selenium.

В першій половині січня вийшов Invision Power Board v2.3.4, тому всім хто користується движком IPB, раджу звернути увагу на нову версію.

• Invision Power Board (IP.Board) v2.3.4 (деталі)

Компанія IBResource повідомляє про вихід російської версії Invision Power Board v2.3.4.

Цей дистрибутив містить у собі виправлення декількох десятків помилок, що були виявлені в попередній версії 2.3.3.

P.S.

Найближчим часом розробникам доведеться випускати нову версію движка, після того як я їм повідомлю про уразливості в IPB.

В даній добірці уразливості в веб додатках:

• Vulnerability in getID3 in the Mediafield and Audio modules for Drupal (деталі)
• Vulnerability in the Secure site module for Drupal (деталі)
• Firebird process_packet() Remote Stack Overflow Vulnerability (деталі)
• SquirrelMail G/PGP Plugin gpg_recv_key() Command Injection Vulnerability (деталі)
• SquirrelMail G/PGP Plugin deleteKey() Command Injection Vulnerability (деталі)
• SendStudio <= 2004.14 Remote File Inclusion Vulnerability (деталі)
• SaphpLesson v3.0 SQL Injection Exploit (деталі)
• Уразливість при обробці RETR кодманд в Star FTP Server (деталі)
• Vulnerability in CarbonCommunities (деталі)
• PHP-інклюдинг в MxBB Portal mx_charts (деталі)
• Уразливість при обробці вхідних даних в SQL-Ledger (деталі)
• Directory traversal vulnerability in VerliAdmin (деталі)
• New elog packages fix arbitrary code execution (деталі)
• Декілька уразливостей в ScriptMate User Manager (деталі)
• mono-web ASP.net sourcecode disclosure (деталі)

Німецькі хакери поставили під сумнів введення в 2009 році в Нідерландах електронних квитків для суспільного транспорту. Хакерам вдалося взломати код, що захищав квитки.

Таким чином зараз голландській компанії NXP, що розробила чіп, прийдеться впритул зайнятися вивченням методів взлому і їхніх можливих наслідків (які неважко передбачити). Як запасний варіант NXP має більш дорогу і краще захищену модифікацію чіпа, однак у випадку його застосування виявляться викинутими “на вітер” гроші, витрачені на створення колишньої версії чипа Mifare.

По матеріалам http://www.secblog.info.

P.S.

Ось такі вони, хакери . Полюбляють хакати електронні квитки та їздити безкоштовно у транспорті.