Websecurity - Веб безпека

Фахівці з безпеки з ізраїльської компанії Finjan знайшли хакерський сервіс, що продає FTP-паролі до 8700 серверів, багато з яких належать великим компаніям з Fortune 100.

Дані паролі дозволяють використовувати взломані сайти для поширення троянів, упроваджуючи шкідливий код через iframe. Саме в такий спосіб були заражені торік сайти РБК і Утро.Ру, що потім роздавали заразу своїм російським читачам.

Бізнес на продажі паролів до взломаних сайтів існує давно, однак раніше ми не чули про цілком автоматизовані сервіси для роботи з базами паролів. Фактично, це перший яскравий приклад “software as a service” із дружнім інтерфейсом для хакерів, що дає миттєвий доступ до чужих сайтів на вибір. Сервіс продає доступи за різною ціною, в залежності від Google Page Rank, географічного розташування й інших характеристик сайтів. Тут же пропонується “меню” зі шкідливих кодів, що можуть бути відразу впроваджені на чужі сайти.

Сервіс знайдений на російському хакерському сайті, стверджує Finjan. Серед взломаних сайтів, пропонованих у цьому “мазагині”, більшість американських (2621), але наступними по популярності йдуть російські (1247). Є також австралійські (392) і азіатські (354). Інші - в основному зі Східної Європи (Україна, Чехія), і лише кілька десятків - з Німеччини і Великобританії.

По матеріалам http://www.securitylab.ru.

26.09.2007

У квітні, 11.04.2007, я знайшов Cross-Site Scripting уразливість на сайті http://mail.kmv.gov.ua - веб пошті Київської Мiської Державної Адмiнiстрацiї. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про іншу уразливість на kmv.gov.ua.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

29.02.2008

XSS:

• alert(document.cookie)
• цікавий
• html включення (PR4)

Дана уразливість досі не виправлена.

В даній добірці експлоіти в веб додатках:

• SquirrelMail G/PGP Plugin deletekey() Command Injection Exploit (деталі)
• Simple HTTPD 1.3 (/aux) Remote Denial of Service Exploit (деталі)
• BadBlue <= 2.72b Multiple Remote Vulnerabilities (деталі)
• MonAlbum 0.87 Upload Shell / Password Grabber Exploit (деталі)
• BarracudaDrive <= 3.7.2 Multiple Remote Vulnerabilities (деталі)
• Falcon CMS 1.4.3 (RFI/XSS) Multiple Remote Vulnerabilities (деталі)
• Falt4 CMS RC4 10.9.2007 Multiple Remote Vulnerabilities (деталі)
• Lotfian.com DATABASE DRIVEN TRAVEL SITE SQL Injection Vuln (деталі)
• ViArt CMS/Shop/HelpDesk 3.3.2 Remote File Inclusion Vulnerability (деталі)
• eWebquiz <= V.8 (eWebQuiz.asp) Remote SQL Injection Exploit (деталі)

Продовжуючи тему редиректорів в CMS пропоную вам нову добірку редиректорів.

В даних записах я наводжу приклади редиректорів в різних CMS. Дані уразливості можна виявити майже на всіх сайтах, що використовують зазначені системи.

Редиректори в CMS движках:

WordPress:

• http://www.seoblog.com.ua/…websecurity.com.ua&action=logout
• http://www.seoblog.com.ua/…websecurity.com.ua

Про редиректори в WordPress я вже писав детально.

GarnaCMS:

• http://www.ua-admin.com/…?url=http://websecurity.com.ua

Movable Type:

• http://loki.lokislabs.org/…_redirect=http://websecurity.com.ua

В своїй презентації “Безпека JavaScript”, Jason Harwig розповідає про особливості мови JavaScript в контексті безпеки.

JavaScript Security

В презентації розповідається про особливості безпеки в JavaScript та про різні секюріті аспекти та різновиди атак з використанням можливостей мови JavaScript.

20.02.2008

Виявлений витік інформації в Mozilla Firefox та Opera.

Уразливі продукти: Mozilla Firefox 2.0, Opera 9.50.

Помилка при відображенні файлів BMP дає можливість читання фрагментів динамічної пам’яті.

• FireFox 2.0.0.11 and Opera 9.50 beta Remote Memory Information Leak, FireFox 2.0.0.11 Remote Denial of Service (деталі)

28.02.2008

Додаткова інформація.

• Mozilla Foundation Security Advisory 2008-07 (деталі)

В даній добірці уразливості в веб додатках:

• Code execution in WebMplayer (деталі)
• Multiple SQL injection vulnerabilities in WebMplayer (деталі)
• Ingres wakeup setuid(ingres) file truncation (деталі)
• Ingres stack overflow in uuid_from_char function (деталі)
• Multiple cross-site scripting (XSS) vulnerabilities in Docebo CMS (деталі)
• SAP Web Dynpro Java (BC-WD-JAV) Vulnerability (деталі)
• DoS and code execution issue in LedgerSMB < 1.1.5 and SQL-Ledger < 2.6.25 (деталі)
• SQL-ін’єкція в autoDealer (деталі)
• SQL-ін’єкція в Newsletter MX (деталі)
• Oracle 10g < R2 CPU Oct 2006 (EXECUTE_CATALOG_ROLE) Exploit (деталі)
• Oracle 10g < R2 CPU Oct 2006 (CREATE SESSION/PROCEDURE) Exploit (деталі)
• PHP-інклюдинг в Irokez CMS (деталі)
• Міжсайтовий скриптінг в TimberWolf CMS (деталі)
• Multiple cross-site scripting vulnerabilities in Arnaud Guyonne (aka Arnotic) a-forum (деталі)
• Multiple cross-site scripting vulnerabilities in Simple Machines Forum (SMF) 1.1 RC3 (деталі)

В Україні періодично трапляються випадки коли СБУ ловить зловмисників (яких вони називають “хакерами”, хоча до хакерів вони мають віддалене відношення), що займаються незаконною телефонією через Інтернет (тобто через VoIP). Останній випадок стався в грудні минулого року. А тим часом хакерська активність в Уанеті продовжує стрімко зростати.

Дніпровський райсуд Києва присудив до чотирьох років позбавлення волі 30-літнього хакера, що займався несанкціонованим втручанням у роботу мереж телефонного зв’язку. Зокрема, зловмисник неодноразово підключався до ліній українських операторів стаціонарного і мобільного зв’язку і за допомогою комп’ютерних технічних пристроїв переадресовував з Інтернету міжнародний телефонний трафік у національну мережу.

Його дії приводили до підробки інформації, що зберігається в системах керування мережами телефонів, перекручуванню процесу її переробки і тарифікації під час розрахунків зі споживачами. Це давало можливість клієнтам нелегального телефоніста зараховувати міжнародні дзвінки як міські. Вартість хвилини розмови при цьому зменшувалася в 4-10 разів.

З’ясувавши механізми здійснення злочину, співробітники СБУ ознайомили фахівців національних телефонних операторів з технічними “ноу-хау” від зловмисника. Об’єднавши зусилля зі зв’язківцями, оперативники вже в травні встановили місце розташування нелегальної АТС і затримали підозрюваного.

Правоохоронці вилучили технічні пристрої, що давали можливість зловмиснику надавати своїм клієнтам “пільгові” послуги міжнародного телефонного зв’язку. Крім тюремного ув’язнення, злочинець відшкодує майже 16000 гривень збитку, нанесеного одному з національних операторів зв’язку.

По матеріалам http://newsukraine.com.ua.

24.09.2007

У квітні, 09.04.2007, я знайшов Cross-Site Scripting уразливості на проекті http://www.rss2.info (агрегатор новин). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

27.02.2008

XSS:

• alert(document.cookie)

XSS:

POST запит на сторінці http://www.rss2.info/feedback.php:

"><script>alert(document.cookie)</script>В полях: Ваше имя, Ваш E-mail.

</textarea><script>alert(document.cookie)</script>В полі: Сообщение.

Дані уразливості вже виправлені. Причому зроблено це в доволі цікавий спосіб: вразливі скрипти на сайті просто прибрані (щоб не паритися з їх виправленням). Сайт взагалі змінив концепцію і тепер це на агрегатор новин, а блог про RSS.

В даній добірці експлоіти в веб додатках:

• SineCMS <= 2.3.4 Calendar Remote SQL Injection Vulnerability (деталі)
• MWOpen E-Commerce leggi_commenti.asp Remote SQL Injection (деталі)
• SerWeb <= 2.0.0 dev1 2007-02-20 Multiple RFI / LFI Vulnerabilities (деталі)
• PolDoc CMS 0.96 (download_file.php) File Disclosure Vulnerability (деталі)
• Simple HTTPD <= 1.38 Multiple Remote Vulnerabilities (деталі)
• Firefly Media Server (mt-daapd) 2.4.1 / SVN 1699 Multiple Vulnerabilities (деталі)
• Content Injector 1.53 (index.php) Remote SQL Injection Vulnerability (деталі)
• Flat PHP Board <= 1.2 Multiple Vulnerabilities (деталі)
• Mcms Easy Web Make (index.php template) Local File Inclusion Vuln (деталі)
• Exploits Monster Top List <= 1.4.2 remote Command Execution Vulnerabilities (деталі)