Websecurity - Веб безпека

Сьогодні я знайшов Cross-Site Scripting та Redirector уразливості на проекті http://domaintimes.net. Про що найближчим часом сповіщу адміністрацію сайта.

XSS:

• alert(document.cookie)
• цікавий

Redirector:

• редиректор

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://bo.net.ua (українським хакером Arizon) - 01.04.2009 - похаканий форум сайта, який вже виправлений адмінами
• http://e-market.biz.ua (хакером Fantastik) - 06.04.2009, зараз сайт вже виправлений адмінами
• http://ms.if.ua (хакером Dietime)
• http://www.sources.org.ua (хакером Mr.MLL)
• http://www.kupr.org.ua (хакером St. !)

В даній добірці уразливості в веб додатках:

• Cross Site Scripting (XSS) in phpstats 0.1_alpha, CVE-2008-0125 (деталі)
• New wml packages fix denial of service (деталі)
• CS-Cart XSS (деталі)
• Mambo/joomla com_intellect “page” LFI (деталі)
• phpBB 2.0.23 Session Hijacking Vulnerability (деталі)
• Multiple vulnerabilities in EztremeZ-IP File and Printer Server 5.1.2×15 (деталі)
• ViewVC: Multiple vulnerabilities (деталі)
• Easy-Clanpage 2.2 (id) Remote SQL Injection Vulnerability (деталі)
• KAPhotoservice (album.asp) Remote SQL Injection Exploit (деталі)
• PEEL CMS Admin Hash Extraction and Remote Upload (деталі)

Британські поліцейські офіційно одержали дозвіл без одержання ордера в суді перевіряти, якою інформацією підозрюваний обмінюється в Інтернеті. Це рішення викликало обурення в представників правозахисних груп.

Постанова, що дозволяє представникам поліції чи MІ5 контролювати мережевий трафік користувача, було прийнято в грудні радою міністрів Європейського Союзу. Дане рішення було прийнято без особливого розголосу. Представники цих відомств мали подібне право і раніше, однак новий указ істотно розширює рамки його застосування. “Дослідження” персонального комп’ютера може бути почате в тому випадку, якщо користувача підозрюють у здійсненні злочину, термін тюремного ув’язнення за який перевищує три роки.

Щоб почати “співробітничати” із ПК, поліцейські можуть використовувати кілька способів. Наприклад, користувачу може бути відправлений електронний лист із додатком, що містить вірус. Якщо підозрюваний його відкриє, на його комп’ютері буде встановлена програма, що передає поліцейським зміст листів користувача, текст послань, переданих за допомогою систем обміну швидкими повідомленнями, а також інформацію про сайти, що людина відвідувала. Поліцейські також можуть перехоплювати ці дані, використовуючи бездротові мережі. Ще один дозволений прийом - встановлення на комп’ютер користувача програм, запам’ятовуючих, які він натискав клавіші.

Співробітник Асоціації старших офіцерів поліції Великобританії розповів, що за період з 2007 по 2008 рік поліція провела 194 “хакерські” операції. Представники правозахисних організацій вважають, що нова постанова приведе до росту числа подібних операцій і створенню поліцейської держави.

По матеріалам http://www.crime-research.ru.

13.11.2008

У січні, 22.01.2008, я знайшов Cross-Site Scripting уразливості (5 XSS) на проекті Яндекса http://afisha.yandex.ru. Про що найближчим часом сповіщу адміністрацію пошуковця.

Останній раз стосовно проектів Яндекс я писав про уразливості на yandex.ru, images.yandex.ru та market.yandex.ru.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

08.04.2009

XSS (при кліку на “Войти”):

• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)
• alert(document.cookie)

XSS:

• alert(document.cookie)

Дані уразливості вже виправлені.

В даній добірці експлоіти в веб додатках:

• myStats (hits.php) Multiple Remote Vulnerabilities Exploit (деталі)
• AstroSPACES (id) Remote SQL Injection Vulnerability (деталі)
• iGaming CMS 2.0 Alpha 1 (search.php) Remote SQL Injection Exploit (деталі)
• Mantis Bug Tracker <= 1.1.3 Remote Code Execution Exploit (деталі)
• Post Affiliate Pro 2.0 (index.php md) Local File Inclusion Vulnerability (деталі)
• Calendars for the Web 4.02 Admin Auth Bypass Vulnerability (деталі)
• PHP Easy Downloader 1.5 (file) File Disclosure Vulnerability (деталі)
• PHP Easy Downloader <= 1.5 Remote File Creation Exploit (деталі)
• Nuke ET <= 3.4 (fckeditor) Remote Arbitrary File Upload Exploit (деталі)
• miniBloggie 1.0 (del.php) Remote Blind SQL Injection Exploit (деталі)
• Meeting Room Booking System (MRBS) < 1.4 SQL Injection Exploit (деталі)
• zeeproperty (adid) Remote SQL Injection Vulnerability (деталі)
• phpFastNews 1.0.0 Insecure Cookie Handling Vulnerability (деталі)
• XOOPS Module GesGaleri (kategorino) Remote SQL Injection Exploit (деталі)
• Exploits McAfee Framework <= 3.6.0.569 (ePolicy Orchestrator 4.0) format string (деталі)

У березні, 24.03.2009, я знайшов Code Execution уразливість в Openads. Це популярна локальна банерна система (що раніше називалася phpAdsNew, потім змінила назву на Openads, а зараз змінила назву на OpenX).

В Openads v2.4.0 та Openads v2.4.2 є можливість завантажувати скрипти, зокрема php. Що призводить до Code Execution уразливості (в тому числі можливий shell upload). При завантаженні банера не перевіряється його розширення. В останніх версіях додатку уразливість вже виправлена, але дуже дивно, що вона існувала в цьому движку на протязі багатьох років.

Уразливі Openads v2.4.2 та попередні версії Openads (та всі версії phpAdsNew і phpPgAds). Також потенційно можуть бути вразливі ранні версії OpenX. Версія OpenX v2.4.7 вже не вразлива.

Продовжуючи розпочату традицію, після попереднього відео про атаку на Windows через ActiveX уразливість, пропоную новий відео секюріті мануал. Цього разу відео про MSF-eXploit Builder в дії. Рекомендую подивитися всім хто цікавиться цією темою.

MSF-eXploit Builder in Action

В даному відео ролику демонструється робота MSF-eXploit Builder, що є складовою Metasploit Framework. Даний додаток призначений для створення експлоітів в середовищі Metasploit Framework. Рекомендую подивитися дане відео для розуміння інструментарія середовища MSF.

Виявлені уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 3.0, Thunderbird 2.0, Seamonkey 1.1.

Виявлені ушкодження пам’яті, що можуть бути використані для виконання довільного коду.

• Mozilla Firefox XUL _moveToEdgeShift() Memory Corruption Vulnerability (деталі)
• Mozilla Foundation Security Advisory 2009-12 (деталі)
• Mozilla Foundation Security Advisory 2009-13 (деталі)

В даній добірці уразливості в веб додатках:

• Anon Proxy Server <= 0.102 remote buffer overflow (деталі)
• Mutiple Timesheets <= 5.0 - Multiple Remote Vulnerabilities (деталі)
• EasyCalendar <= 4.0tr - Multiple Remote Vulnerabilities (деталі)
• Website META Language: Insecure temporary file usage (деталі)
• Joomla components com_guide “category” Remote SQL Injection [Aria-Security] (деталі)
• new vuln in snewscms rus v 2.3 (деталі)
• Xdg-Utils: Arbitrary command execution (деталі)
• cPanel 11.x => List Directories and Folders (деталі)
• eForum 0.4 XSS (деталі)
• New ikiwiki packages fix cross-site scripting (деталі)