Архів за Лютий, 2010

Похакані сайти №85

22:45 24.02.2010

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

  • http://donbasket.com (хакером FuaDanger34) - 12.02.2010, зараз сайт вже виправлений адмінами
  • http://joomla.in.dn.ua (хакерами Palyo34 і KroNicKq з 1923Turk-Grup)
  • http://koboabe.com (хакером Underworld)
  • http://kenly2009.pp.ua (хакером jankiy3_es3r_genclik)
  • http://www.nrb-ukraine.com (хакером SALDIRAY) - 19.02.2010, зараз сайт не працює (закритий хостером)

Нова уразливість на www.nist.org

19:33 24.02.2010

23.09.2009

У січні, 31.01.2009, я знайшов Cross-Site Scripting уразливість на секюріті проекті http://www.nist.org. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на www.nist.org.

Детальна інформація про уразливості з’явиться пізніше.

24.02.2010

XSS:

На сторінці відправки новини на емайл (http://www.nist.org/email.php?news.1) можна провести XSS атаку через заголовок Referer. Зокрема, це можна зробити через флеш.

Referer: '><script>alert(document.cookie)</script>

Дана уразливість досі не виправлена.

Добірка експлоітів

15:24 24.02.2010

В даній добірці експлоіти в веб додатках:

  • Ultrize TimeSheet 1.2.2 Remote File Inclusion Vulnerability (деталі)
  • TinyBrowser (TinyMCE Editor File browser) 1.41.6 Multiple Vulnerabilities (деталі)
  • linkSpheric 0.74b6 (listID) Remote SQL Injection Vulnerability (деталі)
  • PunBB Reputation.php Mod <= 2.0.4 Local File Inclusion Exploit (деталі)
  • MUJE CMS 1.0.4.34 Local File Inclusion Vulnerabilities (деталі)
  • Really Simple CMS 0.3a (pagecontent.php PT) Local File Inclusion Vulnerability (деталі)
  • d.net CMS (LFI/SQLI) Multiple Remote Vulnerabilities (деталі)
  • CMSphp 0.21 (LFI/XSS) Multiple Remote Vulnerabilities (деталі)
  • dit.cms 1.3 (path/sitemap/relPath) Local File Inclusion Vulnerabilities (деталі)
  • GoodTech SSH Remote Buffer Overflow Exploit (деталі)

Уразливості в DataLife Engine

23:52 23.02.2010

У липні, 09.07.2009, я знайшов Abuse of Functionality та Insufficient Anti-automation уразливості в DataLife Engine (DLE). Уразливості виявив на одному сайті на даному движку.

Раніше я вже писав про уразливість в Переходи для DataLife Engine.

Abuse of Functionality:

http://site/index.php?do=register

На сторінці реєстрації функція “Проверить имя” дозволяє дізнатися логіни користувачів в системі. Дана уразливість призводить до витоку інформації про логіни в системі (Information Leakage).

Insufficient Anti-automation:

Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів в системі. Що може бути зроблено за допомогою брутфорсерів логінів, зокрема, моєї програми Brute force login identifier.

В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів системи.

Дані уразливості подібні до дірок в Invision Power Board та vBulletin.

Уразливі DataLife Engine 8.3 та попередні версії.

Конференція про безпеку бізнесу

22:43 23.02.2010

За повідомленням www.seti-ua.com, даний журнал 2 березня проводить конференцію про безпеку бізнесу на сучасному етапі. З інформацією про дану конференцію ви можете ознайомитися на сайті видання - Безопасность бизнеса на современном этапе.

Стосовно даної конференції зазначу, що дуже несерйозно проводити секюріті конференцію маючи дірявий сайт. При тому, що ще в минулому році я звертав увагу адміністрації www.seti-ua.com на уразливості на їхньому сайті. Та в останні декілька років я неодноразово повідомляв даній компанії про уразливості на багатьох їхніх сайтах.

Зокрема на www.computerworld.com.ua, www.shpil.com та інших сайтах видавництва Коміздат. При тому, що на сайтах Computer World і Шпіля вони вже виправли уразливості, а на www.seti-ua.com так досі і не спромоглися.

Про уразливості на сайтах організаторів конференцій і виставок я писав неодноразово, наприклад, про uaweb.in.ua, www.idc-cema.com та www.ictexpo.info. В тому числі й секюріті конференцій - компанія IDC зокрема проводить конференції на тему безпеки.

Інфіковані сайти №17

18:31 23.02.2010

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

  • http://pusha.com.ua - інфекція була виявлена 24.01.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 4 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
  • http://yarlu4ok.com.ua - інфекція була виявлена 16.01.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 6 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
  • http://hichkok.org.ua - інфекція була виявлена 16.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 6 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
  • http://mircen.com.ua - інфекція була виявлена 05.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
  • http://crazy-party.com.ua - інфекція була виявлена 03.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.

Добірка уразливостей

15:19 23.02.2010

В даній добірці уразливості в веб додатках:

  • Multiple vulnerabilities in WiFi router COMTREND CT-536/HG-536+ (деталі)
  • Joomla Hotel Booking System Component XSS/SQL Injection Multiple Vulnerability (деталі)
  • Cisco Global Site Selector Appliances DNS Vulnerability (деталі)
  • RADactive I-Load Multiple Vulnerabilities (деталі)
  • HP OpenView Reporter and HP Reporter Running on Windows, Remote Denial of Service (DoS) (деталі)
  • HP OpenView Performance Agent, HP Performance Agent, Remote Denial of Service (DoS) (деталі)
  • Mambo 4.6.3 arbitrary file upload (деталі)
  • rubrique ‘rubrique.php’ SQL Injection Vulnerability (деталі)
  • Dawaween V 1.03 SQL Injection Exploit (деталі)
  • Horde_Form_Type_image Arbitrary File Overwrite Vulnerability (деталі)

Витік інформації про версію системи №2

22:48 22.02.2010

Продовжу тему витоку інформації про версію системи. Як я зазначав, виведення версії системи - це поширена функція у веб додатках та веб системах. Багато різних движків виводять інформацію про версію системи і дана можливість движків є уразливістю. Це витік інформації (Information Leakage) про версію системи, що може бути використаний для атаки на сайти, що використовують даний движок.

Наведу нові приклади Information Leakage уразливостей в різних веб додатках, що приводять до витоку інформації про версію системи.

Drupal

В Drupal версію системи можна дізнатися в файлі http://site/CHANGELOG.txt.

TYPO3

На всіх сторінках сайта на цьому движку в мета-тегах виводиться версія системи (TYPO3 4.0 CMS).

Joomla

В Joomla є декілька витоків інформації:

  • На всіх сторінках сайта на цьому движку в мета-тегах виводиться неповна версія системи (Joomla! 1.5 - тобто версія Joomla 1.5.x).
  • В файлі http://site/language/en-GB/en-GB.xml та інших xml-файлах локалізацій вказана версія движка, при останньому оновленні файла (<version>1.5.2</version> - тобто версія Joomla 1.5.2 і вище).

pMachine Pro

В pMachine Pro є декілька витоків інформації:

  • На сторінці адмінки pMachine Pro http://site/pm/ виводиться версія системи (pMachine Pro 2.4).
  • В файлі http://site/index.xml виводиться версія (pMachine 2.4).

ExpressionEngine

На сторінці адмінки ExpressionEngine http://site/system/ виводиться версія системи (ExpressionEngine 1.2.1).

Добірка експлоітів

15:18 22.02.2010

В даній добірці експлоіти в веб додатках:

  • NcFTPd <= 2.8.5 Remote Jail Breakout Vulnerability (деталі)
  • PunBB Reputation.php Mod <= 2.0.4 Blind SQL Injection Exploit (деталі)
  • phpArcadeScript 4.0 (linkout.php id) SQL Injection Vulnerability (деталі)
  • PHP Paid 4 Mail Script (paidbanner.php ID) SQL Injection Vulnerability (деталі)
  • Firebird SQL op_connect_request main listener shutdown Vulnerability (деталі)
  • PaoLiber 1.1 (login_ok) Authentication Bypass Vulnerability (деталі)
  • PaoBacheca Guestbook 2.1 (login_ok) Auth Bypass Vulnerability (деталі)
  • PaoLink 1.0 (login_ok) Authentication Bypass Vulnerability (деталі)
  • In-Portal 4.3.1 Arbitrary Shell Upload Vulnerability (деталі)
  • vBulletinR Version 3.8.2 D3n14l 0f S3rv1c3 Expl01t (деталі)

Витік інформації про версію системи

22:41 20.02.2010

Виведення версії системи - це поширена функція у веб додатках та веб системах. Багато різних движків виводять (в різний спосіб) інформацію про версію системи і дана можливість движків є уразливістю. Це витік інформації (Information Leakage) про версію системи, що може бути використаний для атаки на сайти, що використовують даний движок.

Подібний витік інформації може бути небезпечним, якщо в деякій версії системи виявлена уразливість, і тому витік інформаціі про версію може бути використаним для атаки на дану систему. Ось тому краще не допускати витоку інформації про версію використовуваної веб системи. До речі, це правило також стосується і серверного ПЗ (такого як веб сервер та СУБД), версії якого також не варто виводити.

Як я планував ще з 2008 року, наведу приклади Information Leakage уразливостей в різних веб додатках, що приводять до витоку інформації про версію системи (або серверного ПЗ).

WordPress

В WordPress є декілька витоків інформації про версію системи:

  • Майже на всіх сторінках сайта на цьому движку в meta-тегах виводиться інформація про версію (WordPress 2.6.2).
  • В RSS-фіді постів (http://site/?feed=rss, http://site/?feed=rss2, http://site/?feed=atom або http://site/?feed=rdf) виводиться версія (generator=”WordPress/2.6.2″ або v=2.6.2).
  • В RSS-фіді коментів (http://site/?feed=comments-rss, http://site/?feed=comments-rss2, http://site/?feed=comments-atom або http://site/?comments-rdf) виводиться версія (generator=”WordPress/2.6.2″ або v=2.6.2).
  • В RSS-фідах коментарів до постів (http://site/?feed=rss&p=1, http://site/?feed=rss2&p=1, http://site/?feed=atom&p=1, http://site/?feed=rdf&p=1 або http://site/1/feed/) виводиться версія (generator=”WordPress/2.6.2″ або v=2.6.2).
  • В файлі http://site/readme.html (Version 3.3.1).

Nucleus

В Nucleus є декілька витоків інформації:

  • На сторінці адмінки Nucleus http://site/nucleus/ виводиться версія системи (Nucleus CMS v3.24).
  • На всіх сторінках сайта на цьому движку видається серверний заголовок, в якому вказується версія системи (Generator: Nucleus CMS v3.24).

Power Phlogger

В Power Phlogger на кожній сторінці веб додатку в meta-тегах виводиться інформація про версію PHP, MySQL і веб сервера.

Також на кожній сторінці веб додатку виводиться його версія.

YaBook

В YaBook на кожній сторінці веб додатку в meta-тегах виводиться інформація про версію PHP, MySQL і веб сервера.

Також на кожній сторінці веб додатку виводиться його версія.

Pigalle

В Pigalle на кожній сторінці веб додатку в meta-тегах виводиться інформація про версію PHP, MySQL і веб сервера.

Також на кожній сторінці веб додатку виводиться його версія.