Websecurity - Веб безпека

09.12.2007

У травні, 26.05.2007, я знайшов Cross-Site Scripting уразливості на проекті http://zanachka.com. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

07.04.2008

XSS:

• alert(document.cookie)
• alert(document.cookie)

Дані уразливості вже не працюють. Тому що даний веб проект припинив свою роботу.

В даній добірці експлоіти в веб додатках:

• TutorialCMS 1.02 (userName) Remote SQL Injection Vulnerability (деталі)
• minimal Gallery 0.8 Remote File Disclosure Vulnerability (деталі)
• Xforum 1.4 (topic) Remote SQL Injection Exploit (деталі)
• X7 Chat <= 2.0.5 (day) Remote SQL Injection Exploit (деталі)
• Agares PhpAutoVideo 2.21 (articlecat) Remote SQL Injection Exploit (деталі)
• Binn SBuilder (nid) Remote Blind SQL Injection Vulnerability (деталі)
• LulieBlog 1.0.1 (delete id) Remote Admin Bypass Vulnerability (деталі)
• RichStrong CMS (showproduct.asp cat) Remote SQL Injection Exploit (деталі)
• FaScript FaPersianHack v1 (show.php) SQL Injection Vulnerability (деталі)
• IceBB 1.0-rc5 Remote Code Execution Exploit (деталі)

Виявлена Content Spoofing уразливість в IPB. Уразливість дозволяє розмістити iframe на сторінках форума (це persistent html injection).

Уразливі версії Invision Power Board 2.3.x та попередні.

В сігнатурі користувача можливе включення html-коду з тегом iframe. Що дозволяє провести Content Spoofing атаку.

• Invision Power Board <=2.3.x iFrame Vuln (деталі)

Виявлені численні уразливості безпеки в Apache-SSL.

Уразливий продукт: Apache-SSL.

Численні уразливості при ініціалізації змінних оточення з даних клієнтського сертифіката.

• Apache-SSL security release - apache_1.3.41+ssl_1.59 (деталі)

05.02.2008

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6 та 7.

Ось нова добірка уразливих секюріті сайтів:

• blogsecurity.net
• www.ncjrs.gov
• websense.com

Всім security сайтам та компаніям слід приділяти більше уваги власній безпеці.

05.04.2008

Ще одна добірка уразливих секюріті сайтів:

• www.siteedit.ru
• www.drweb.com.ua
• ko.itc.ua
• safe.cnews.ru, www.securityspace.com, www.eweek.com

ІБ проектам та секюріті компаніям варто більше слідкувати за безпекою власних сайтів.

В даній добірці уразливості в веб додатках:

• MOODLE <= 1.5.2 user password read out (деталі)
• Remote File Include In phpBB-2.0.19 (деталі)
• File Upload System V1.0 (AD_BODY_TEMP) multiple file include (деталі)
• SQL injection vulnerability in eWebQuiz 8 (деталі)
• PBLang 4.60 <= (index.php) Remote File Include Vulnerability (деталі)
• Ezboo webstats acces to sensitive files (деталі)
• Drake CMS v0.3.2 < = RFi Vulnerabilities (деталі)
• PHP-інклюдинг в FdWeB Espace Membre (деталі)
• SQL injection vulnerability in tForum 2.00 (деталі)
• Обхід каталогу в GeoIP C API (деталі)
• Уразливість при обробці даних в Hibun Advanced Edition Server (деталі)
• Vulnerability in KvGuestbook 1.0 Beta (деталі)
• Directory traversal vulnerability in php rrd browser (деталі)
• Виконання довільних команд в Shopping Basket Professional (деталі)
• Variable extract vulnerability in Apache Stats (деталі)

Сайти соціальних мереж являють собою плацдарм для зловживання довірою з боку хакерів і комп’ютерних шахраїв, стверджує датська компанія досліджень інформаційної безпеки CSIS. І як я нещодавно писав, в 2008 році ця тенденція продовжиться.

Приміром, сайти на зразок LinkedIn дозволяють створити своє приватне співтовариство, і, запрошуючи в нього випадкових людей, використовувати потім їхню довіру в шахрайських цілях. Дослідник CSIS Деніс Ренд створив фіктивний профіль на LinkedIn і за кілька тижнів зібрав співтовариство з 1340 “довірених зв’язків”. “Сліпа довіра”, вбудована в соціальні мережі, може бути використана для розсилання посилань на шкідливі веб-сторінки, при цьому одержувач буде помилково думати, що джерело - довірене.

Оскільки LinkedIn призначена для ділових зв’язків, і, отже, відкрита для доступу з офісу, співробітник, що звільняється, може просто завантажити до себе на сторінку конфіденційну інформацію, говорить Ренд. Дослідження на основі мережі LinkedIn з 10 млн. зареєстрованих користувачів відображує ситуацію в просторі соціальних мереж у цілому. На думку Ренда, компанії повинні стежити за використанням таких ресурсів.

За даними доповіді університету Індіани, США, 72% одержувачів фішерських електронних листів від своїх колег по соціальній мережі не змогли розпізнати загрозу. Але лише 15% не змогли цього зробити, одержавши листа від випадкових людей. За даними ha.ckers.org, середній доход фішера, що використовує для шахрайства MySpace, Facebook і LinkedIn, складає до $4000 в день.

По матеріалам http://www.securitylab.ru.

28.10.2007

У травні, 22.05.2007, я знайшов Full path disclosure, Information leak та Cross-Site Scripting уразливості на проекті http://www.uhuhu.ru. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

04.04.2008

Full path disclosure:

http://www.uhuhu.ru/catalogues/list/?page=-2

Information leak:

http://www.uhuhu.ru/catalogues/list/?page=-2

XSS:

• alert(document.cookie)

Дані уразливості вже виправлені.

В даній добірці експлоіти в веб додатках:

• DomPHP 0.81 (index.php cat) Remote SQL Injection Vulnerability (деталі)
• DigitalHive <= 2.0 RC2 (user_id) Remote SQL Injection Exploit (деталі)
• iGaming CMS <= 1.3.1 Remote SQL Injection Exploit (деталі)
• ImageAlbum 2.0.0b2 (id) Remote SQL Injection Vulnerability (деталі)
• photokron <= 1.7 (update script) Remote Database Disclosure Exploit (деталі)
• 0DayDB 2.3 (delete id) Remote Admin Bypass Exploit (деталі)
• ASP Photo Gallery 1.0 Multiple SQL Injection Vulnerabilities (деталі)
• TaskFreak! <= 0.6.1 Remote SQL Injection Vulnerability (деталі)
• Agares PhpAutoVideo 2.21 (articlecat) SQL Injection Vulnerability (деталі)
• PHP-Nuke Module Addressbook 1.2 Local File Inclusion Exploit (деталі)

При проведенні аудиту безпеки веб сайта ви можете зіткнутися з наявністю на сайті баз даних. У випадку коли використовується СУБД MySQL, то для проведення дослідження на предмет SQL Injection вам може стати у нагоді пам’ятка з SQL Injection в MySQL. Існує одна подібна і детальна пам’ятка.

MySQL SQL Injection Cheat Sheet

В даній пам’ятці наводяться стандартні запити при проведенні перевірок на наявність SQL ін’єкцій в MySQL.