Websecurity - Веб безпека

Відповідь на питання поставлене у заголовку доволі банальна: ні, Уанет не є безпечним. Це добре видно по моїм новинам і знайденим мною уразливостям, про які я пишу в себе на сайті. Більш цікаве інше питання - чи зміниться ситуація з безпекою найближчим часом? В цьому в мене є деякі сумніви і для цього наведу вам наочний приклад.

Сьогодні розпочалася (і буде проводитися 27 та 28 березня) конференція UA WEB 2008 - перша українська конференція для веб розробників. І я бажаю конференції, її організаторам та всім доповідачам успіху. В даному випадку розглянемо зазначену конференцію в контексті безпеки.

Чи піднімаються на конференції питання веб безпеки? Майже зовсім не піднімаються. І це звична ситуація, я вже давно звертаю увагу, що всі Інтернет-орієнтовані конференції в Україні зовсім не приділяють увагу безпеці. В даному випадку ситуація подібна - тема безпеки не винесена як окремий напрямок і слова “безпека” ви в назвах доповідей не побачите .

Серед шести категорій доповідей дві доповіді, які стосуються безпеки, були віднесені до категорій “Серверная часть, базы данных, системы управления контентом” та “Тестирование”. Але тестування сайта та аудит безпеки сайта - це принципово різні речі, а категорія “Серверна частина” також лише опосередковано пов’язана з безпекою. І тому безпека потребує окремої категорії і детального розгляду. Всього пов’язаними з безпекою будуть дві доповіді: “Тестирование Уязвимости Вебсайтов и Web-Приложений” та “Теория и практика CAPTCHA-защиты интерфейсов”. Але дані доповіді лише частково (лише по деяким напрямкам) описують сучасні проблеми з безпекою в Інтернеті, що видно по їх тезисам. Тому в цілому сучасний стан веб безпеки не буде розглянутий.

Зі своєї сторони я ще в минулому році написав організаторам конференції і запронував свою тему для виступу - щоб розповісти про сучасний стан безпеки в Уанеті та Інтернеті. Але відповіді не отримав. Зовсім їм не цікава дана тема (що добре видно по фінальному розкладу конференції). Більш того сам сайт конференції уразливий (що є звичним явищем для сайтів конференцій, як можна побачити з моїх новин). На сайті має місце Persistent XSS уразливість. І я ще в минулому році повідомив про це адмінам. Але жодної відповіді не отримав і дірка по сьогодні так і не була виправлена. Так що тема безпеки та безпека власного сайта організаторів конференції зовсім не цікавить.

Виходячи з вищесказаного, ще раз повторю риторичне запитання: чи зміниться ситуація з безпекою в Уанеті найближчим часом? З подібним підходом, як у випадку конференції UA WEB, наврядчи щось зміниться на краще. Але незвачаючи на апатію в Уанеті до питань безпеки, зі своєї сторони я щодня працюю для покращення безпеки в Мережі. Тому зміни на краще будуть обов’язково, лише строки цього процесу напряму залежать від громадськості.

Виявлені integer overflow уразливості в PHP.

Уразливі версії: PHP 5.2.

Цілочисленне переповнення в функціях printf.

• PHP 5 *printf() - Integer Overflow (деталі)

В даній добірці уразливості в веб додатках:

• w-agora version 4.2.1 Multiple Path Disclosure Vulnerabilities (деталі)
• w-agora version 4.2.1 Information Disclosure Vulnerability (деталі)
• CCleaguePro_V1.0.1RC1 Directory Traversal Vulnerability (деталі)
• Unclassified NewsBoard 1.6.3 multiples logs disclosure (деталі)
• MetaForum <= 0.513 Beta - Remote file upload Vulnerability (деталі)
• Arbitrary execution vulnerability in SQL-Ledger and LedgerSMB (деталі)
• OpenBSD BGPD daemon Web Interface XSS (деталі)
• Vulnerability in Aztek Forum 4.00 (деталі)
• PHP remote file inclusion vulnerability in Aztek Forum 4.00 (деталі)
• Переповнення буферу в Dream FTP Server (деталі)
• SQL injection vulnerability in Kisisel Site 2007 (деталі)
• Updated postgresql packages address multiple vulnerabilities (деталі)
• Multiple PHP remote file inclusion vulnerabilities in Atsphp 5.0.1 (деталі)
• Обхід обмеження безпеки в Yana Framework (деталі)
• Розкриття паролів в Smart PHP Subscriber (деталі)

Продовжую розповідати вам про редиректори на секюріті сайтах. Редиректори - це окремий різновид уразливостей в веб додатках, котрий відноситься до класу Abuse of Functionality. Дані уразливості можуть використовуватися зловмисниками для переадресації на небезпечні та фішинг сайти.

До наведених в попередніх записах, приведу ще декілька прикладів редиректорів на сайтах про інформаційну безпеку.

Редиректори на секюріті сайтах:

Safe.Cnews:

http://safe.cnews.ru/inc/static/tabs/…href=http://websecurity.com.ua

http://safe.cnews.ru/cgi-bin/redirect.cgi?http://websecurity.com.ua

SecuritySpace:

http://www.securityspace.com/secnews/…http://websecurity.com.ua

eWEEK:

http://www.eweek.com/prestitial.php?…url=http://websecurity.com.ua

eWEEK - це онлайн ЗМІ, що також пише на тему безпеки.

Виявлені Сross-Site Scripting уразливості в Apache Tomcat.

Уразливі версії: Apache Tomcat 4.0, Tomcat 4.1, Tomcat 5.0, Tomcat 5.5, Tomcat 6.0.

Міжсайтовий скриптінг через Manager і Host Manager та приклади JSP-сторінок.

• Apache Tomcat XSS vulnerability in Manager (деталі)
• Apache Tomcat XSS vulnerabilities in the JSP examples (деталі)

27.10.2007

У травні, 19.05.2007, я знайшов Cross-Site Scripting уразливості на http://imu.org.ua - сайті Інтернет-маркетинг в Україні. Про що найближчим часом сповіщу адміністрацію сайта.

На сайтах компаній, що проводять виставки та семінари я регулярно знаходжу уразливості. Останнього разу стосовно сайтів виставок я писав про уразливість на www.infosecuritymoscow.com.

Детальна інформація про уразливості з’явиться пізніше.

26.03.2008

XSS:

POST запит на сторінці http://imu.org.ua/modul/subscribe2/:

<script>alert(document.cookie)</script>В полі: Имя.

А також на всіх сторінках сайта в формі “Новости почтой”.

Дані уразливості досі не виправлені.

В даній добірці експлоіти в веб додатках:

• samPHPweb (songinfo.php) Remote SQL Injection Vulnerability (деталі)
• NetRisk 1.9.7 (change_submit.php) Remote Password Change Exploit (деталі)
• Tribisur <= 2.0 Remote SQL Injection Exploit (деталі)
• PortalApp 4.0 (SQL/XSS/Auth Bypasses) Multiple Remote Vulnerabilities (деталі)
• XOOPS mod_gallery Zend_Hash_key + Extract RFI Vulnerability (деталі)
• Uebimiau Web-Mail Remote File Disclosure Vulnerability (деталі)
• RunCMS Newbb_plus <= 0.92 Client IP Remote SQL Injection Exploit (деталі)
• Shop-Script 2.0 index.php Remote File Disclosure Vulnerability (деталі)
• SineCMS <= 2.3.5 Local File Inclusion / RCE Vulnerabilities (деталі)
• Portail PHP v20 (index.php) Remote SQL Injection Exploit (деталі)

В минулому році була виявлена SQL Injection уразливість в WordPress. Уразлива версія WordPress 2.1.2 та попередні 2.1.x версії.

Уразливість в admin-db.php в змінній $new_cat в функції wp_set_link_cats().

• Sql injection in WordPress 2.1.2 (деталі)

При проведенні аудиту безпеки веб сайта ви можете зіткнутися з наявністю на сайті баз даних. У випадку коли використовується СУБД Microsoft SQL Server, то для проведення дослідження на предмет SQL Injection вам може стати у нагоді пам’ятка з SQL Injection в MS SQL. Існує одна подібна і детальна пам’ятка.

MSSQL Injection Cheat Sheet

В даній пам’ятці наводяться стандартні запити при проведенні перевірок на наявність SQL ін’єкцій в MS SQL.

Виявлена можливість підміни запиту в Microsoft Internet Explorer 7.

Уразливі продукти: Microsoft Internet Explorer 7 під Windows XP, Windows 2003 Server, Windows Vista та Windows 2008 Server.

Маніпуляція заголовками і некоректна обробка кодування chunked дозволяють розбити запит.

• IE7 Transfer-Encoding: chunked allows Request Splitting/Smuggling. (деталі)
• IE7 allows overwriting of several headers leading to Http request Splitting and smuggling. (деталі)