Websecurity - Веб безпека

У березні, 19.03.2009, я знайшов нові Cross-Site Scripting уразливості в банерній системі RotaBanner (виробництва Art. Lebedev Group).

Раніше я вже писав про уразливості в RotaBanner.

XSS (IE):

Уразливості в файлі send-password.html в параметрах drop та page.

http://site/send-password.html?drop=''style='xss:expression(alert(document.cookie))'&action-send=true

http://site/send-password.html?drop='&page='style='xss:expression(alert(document.cookie))'&action-send=true

Вразлива версія RotaBanner Local 3 та попередні версії.

Розробники веб-систем і спамери вже не перший рік грають у кішки-мишки: одні розробляють системи для блокування спама, інші їх намагаються обійти. Одним з найбільш ефективних способів для запобігання онлайн-спаму є технологія CAPTCHA, однак і вона іноді не рятує.

На сьогодні у світі існує декілька концептуально різних підходів до реалізації CAPTCHA. Один з раніше невідомих способів запропонували розробники з Yuniti.com, соціального веб-сайта, що запропонували користувачам систему тривимірних капч.

Як розповіли в Yuniti.com, в основі їх розробки немає традиційного буквено-символьного набору, замість нього тут присутні тривимірні об’єкти, що можуть обертатися в різних площинах. Користувачу для проходження процедури аутентифікації потрібно вказати набір тривимірних об’єктів із запропонованої множини.

Нова система має ряд переваг перед традиційними CAPTCHA: по-перше, змоделювати можна будь-який об’єкт, по-друге, цей об’єкт може бути повернутий у будь-якій площині і під будь-яким кутом, що значно ускладнює його ідентифікацію по заздалегідь заданих шаблонах. Традиційні системи обмежені тільки 26 літерами латинського алфавіту і 10 цифрами. З погляду користувача, нова система працює також, як і звичайна - треба візуально визначити об’єкт і вказати на його відповідність.

По матеріалам http://www.cybersecurity.ru.

27.10.2008

У січні, 15.01.2008, я знайшов Cross-Site Scripting уразливості на проекті http://www.googlealert.com. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

31.03.2009

XSS:

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Дані уразливості досі не виправлені.

В даній добірці експлоіти в веб додатках:

• Camera Life 2.6.2b4 (SQL/XSS) Multiple Remote Vulnerabilities (деталі)
• Konqueror 3.5.9 (load) Remote Crash Vulnerability (деталі)
• WinFTP 2.3.0 (PASV mode) Remote Denial of Service Exploit (деталі)
• Ayco Okul Portali (linkid) SQL Injection Vulnerability (tr) (деталі)
• Easynet4u faq Host (faq.php faq) Remote SQL Injection Vulnerability (деталі)
• Easynet4u Forum Host (forum.php) SQL Injection Vulnerability (деталі)
• Easynet4u Link Host (cat_id) SQL Injection Vulnerability (деталі)
• Nokia Mini Map Browser (array sort) Silent Crash Vulnerability (деталі)
• MunzurSoft Wep Portal W3 (kat) SQL Injection Vulnerability (деталі)
• Joomla Component mad4joomla SQL Injection Vulnerability (деталі)
• Joomla Component Ignite Gallery 0.8.3 SQL Injection Vulnerability (деталі)
• SlimCMS <= 1.0.0 (redirect.php) Privilege Escalation Exploit (деталі)
• Joomla Component ownbiblio 1.5.3 (catid) SQL Injection Vulnerability (деталі)
• Absolute Poll Manager XE 4.1 (xlacomments.php) SQL Injection Vuln (деталі)
• IpSwitch WS_FTPSERVER with SSH remote Buffer Overflow (деталі)

У липні, 13.07.2008, я знайшов Cross-Site Scripting уразливість на проекті http://www.twingly.com (пошуковець по блогам). Про що найближчим часом сповіщу адміністрацію сайта.

XSS:

• alert(document.cookie)
• цікавий
• html включення

Нещодавно була виявлена уразливість в Mozilla Firefox, що призводить до пошкодження пам’яті. Для якої був розроблений експлоіт.

Даний експлоіт я перевірив в Firefox 3.0.6.

• Mozilla Firefox XSL Parsing Remote Memory Corruption PoC 0day (деталі)

Уразливі версії Mozilla Firefox 3.0.7 та попередні версії.

На минулому тижні, 28 та 29 березня, пройшла конференція CodeCamp 2009, на якій я виступив з доповідями. В першій доповіді я розповів про сучасний стан безпеки Уанету та тенденції безпеки в Інтернеті, а в другій - про сучасні атаки на веб додатки та проблеми безпеки нових веб технологій.

Доповіді доступні в мене на сайті:

Сучасний стан безпеки Уанету та тенденції безпеки в Інтернеті.

Современные атаки на вэб приложения и проблемы безопасности новых вэб технологий.

В першій доповіді я розглянув наступні теми: Сучасний стан безпеки Уанету, Тенденції безпеки в Інтернеті, Покращення рівня безпеки веб сайтів.

В другій доповіді я розглянув наступні теми: Сучасні атаки на веб додатки - Recursive File Include, Нове використання аплоадера, Використання back slash для Directory Traversal атак, Проблеми безпеки нових веб технологій - Використання Flash для проведення XSS атак, Використання Flash для спама і фішинга, Використання JavaScript для сканування портів.

В даній добірці уразливості в веб додатках:

• PHP-Nuke KutubiSitte “kid” SQL Injection exploit code adding (деталі)
• Horde Webmail file inclusion proof of concept & patch (деталі)
• PHP-Nuke KutubiSitte “kid” SQL Injection (деталі)
• New tk8.3 packages fix arbitrary code execution (деталі)
• VHCS <= 2.4.7.1 (vhcs2_daemon) Remote Root Exploit (деталі)
• PHP-Nuke SQL injection Module “Hadith” [cat] (деталі)
• phpMyAdmin: SQL injection vulnerability (деталі)
• New moin packages fix several vulnerabilities (деталі)
• IpSwitch WS_FTPSERVER with SSH remote Buffer Overflow (деталі)
• PHP-Nuke Module NukeC30 sql injection (деталі)

У червні, 23.06.2008, я знайшов Insufficient Anti-automation уразливість на http://secunia.com - сайті секюріті компанії Secunia.

Insufficient Anti-automation:

Уразливість в контактній формі, що з адреси http://secunia.com/contact_form/ перемістилася на http://secunia.com/advisories/contact_form/.

Контактна форма немає захисту від автоматизованих запитів (капчі). Що є звичайним явищем на сайтах про безпеку та сайтах секюріті компаній, як у випадку Sophos та www.zerodayinitiative.com.

В своїй презентації Web Services Security Chess, Shreeraj Shah розповідає про безпеку веб сервісів. Про проблеми безпеки веб сервісів та про засоби їх захисту.