Websecurity - Веб безпека

Нещодавно я писав про DoS в Firefox, Internet Explorer, Chrome та Opera. Тоді я писав про атаки через протоколи news і nntp, які відносяться до категорії DoS через обробники протоколів (DoS via protocol handlers).

Зараз повідомляю про DoS в різних браузерах через протоколи firefoxurl і gopher. В травні, 26.05.2010, я виявив Denial of Service уразливості в Mozilla Firefox, Internet Explorer, Google Chrome та Opera.

Вони відноситься до типу вибиваючих DoS, блокуючих DoS та DoS через споживання ресурсів. Дані атаки можна провести як з використанням JS, так і без нього (створивши сторінку з великою кількістю iframe).

DoS:

Firefox, IE, Chrome & Opera DoS Exploit3.html

Експлоіт без використання JS, який вибиває IE6, OE та Outlook:

IE, OE & Outlook DoS Exploit.html

Даний експлоіт для протокола firefoxurl працює в Mozilla Firefox 3.0.19 (і окрім попередніх версій, він повинен працювати в 3.5.x та 3.6.x), Internet Explorer 6 (6.0.2900.2180), Internet Explorer 8 (8.0.7600.16385), Google Chrome 1.0.154.48 та Opera 9.52.

У браузерах Firefox, Chrome та IE8 відбувається блокування та перенавантаження системи, а IE6 вибиває. Причому, якщо в Firefox дозволити автоматичний запуск програми обробника даного протоколу, встановивши чекбокс, то в ньому не буде блокування ні браузера, ні системи. А в Opera атака відбувається без блокування, лише споживання ресурсів (більш повільне ніж в інших браузерах).

IE & Opera DoS Exploit.html

Даний експлоіт для протокола gopher працює в Internet Explorer 6 (6.0.2900.2180), Internet Explorer 8 (8.0.7600.16385) та Opera 9.52.

У всіх зазначених браузерах відбувається споживання ресурсів системи (процесора та пам’яті).

This is English version of my Cross-Language Scripting article.

Recently I told about Local XSS - the type of Cross-Site Scripting vulnerabilities, which I found in 2006. And now I’ll tell you about another new type of XSS founded by me. It’s Cross-Language Scripting, which I created in December 2006.

Cross-Language Scripting - it’s Cross-Site Scripting vulnerabilities in online interpreters. This class of XSS vulnerabilities I created at 23.12.2006, when found vulnerability in online interpreter CodeIDE, and 28.02.2007 I found such vulnerability in my Perl Pas Interpreter. These vulnerabilities allow to conduct XSS attacks on web application interpreter, so due to sending to interpreter a code on programming language which it supports, to receive JavaScript or VBScript code at the output.

Nuances of Cross-Language Scripting.

Such vulnerabilities can take place only in online interpreter of different programming language. Altogether I found tow such vulnerabilities in MustLive Perl Pascal Programs Interpreter and in CodeIDE. But with growth of Internet, when there will be more online interpreters and they will be using more widely, then new Cross-Language Scripting vulnerabilities can appear.

Online interpreters receive program code (e.g. on Pascal language, as in case of my Perl Pas Interpreter) from the user and after its processing they show the result of work of the program to the browser. And if to force online interpreter to show html-tags, particularly those which allow to execute JS/VBS code, then it’s possible to conduct XSS attack on the user of interpreter.

One of nuances of Cross-Language Scripting is that, that they can bypass WAF, as sever-side, as client-side. Because for conducting of attack the programming code on some programming language is using, not different html-tags which are using for conducting of common XSS attacks.

Examples of Cross-Language Scripting.

At first I found such vulnerability in CodeIDE and later in my Perl Pas Interpreter. But at first I’ll tell about such case in Perl Pas Interpreter, and then about CodeIDE.

Perl Pas Interpreter.

First version of interpreter v.1.0 released at 10.03.2006. And at 24.05.2006 version v.1.2 was released, in which I created online version of interpreter. And from that time I apply energies to prevent XSS vulnerabilities in it (already in version v.1.2 there was protection against reflected XSS). But at 28.02.2007 I invented how it’s possible to bypass protection of web application with using of Cross-Language Scripting and to conduct XSS. Which I fixed on the same day in version v.1.2.9.

XSS:

The next Pascal code:
write(chr(60),'script',chr(62),'alert(document.cookie)',chr(60),'/script',chr(62));

Leads to showing in browser and executing of JavaScript code:
<script>alert(document.cookie)</script>

I.e. using of different constructions of Pascal language it was possible to show JS/VBS code with bypassing of existent protecting filters and to conduct XSS attack. For preventing of this type of XSS vulnerabilities it’s needed to use special methods.

CodeIDE.

In online interpreter CodeIDE I found Cross-Language Scripting (which I privately told about to developer of the application), and also found reflected XSS at interpreter’s site, which I wrote about already.

This vulnerability was in JavaScript interpreter. Even this isn’t quite cross-language attack, when JS-code is executing in JS interpreter, but yet this attack was directed on online interpreter and was bypassing protecting filters of the application.

XSS:

In CodeIDE it was not possible to get to document.cookie (they had protection), but it was possible to execute other JS-commands, which could be used for attack. E.g. for redirection:
document.location="http://websecurity.com.ua"

Thus it was possible to execute JS-code from among allowed constructions of JavaScript language, without using of any tags, directly in interpreter.

Виявлена можливість витоку інформації в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 8 на Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Через опцію ICMFilter можливий доступ до зовнішніх UNC-розташувань з витоком інформації аутентифікації.

• Arbitrary UNC file read in IE 8 (деталі)

07.11.2009

У березні, 16.03.2009, я знайшов Cross-Site Scripting та Redirector уразливості на проекті http://www.fraza.ua (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

31.05.2010

XSS:

• alert(document.cookie)
• цікавий
• html включення

Redirector:

http://www.fraza.ua/aw.php?u=http://websecurity.com.ua
http://ads.fraza.ua/www/delivery/ck.php?dest=http://websecurity.com.ua

Окрім того, сьогодні я виявив ще й FPD в даному скрипті. Якщо зайти на нього напряму (без реферера), то виводиться, хоча й не завжди, повний шлях на сервері.

Full path disclosure:

http://www.fraza.ua/aw.php?u=

Дані уразливості досі не виправлені. Та до XSS і Redirector уразливостей ще додалася FPD.

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, шкідливий код імітує систему оновлення Adobe Systems.

Експерти з безпеки повідомили про виявлення першого зразка шкідливого програмного забезпечення, що модифікує системи оновлення легітимних програмних продуктів. Даний напрямок розвитку шкідливих кодів є новим і представляє додаткову небезпеку для користувачів.

За повідомленням ain.ua, український хакер арештований в Індії. Американські спецслужби заарештували українського хакера Сергія Сторчака. Його обвинувачують в участі в одній з найбільших крадіжок персональних даних жителів США.

Обвинувачення проти Сторчака були висунуті ще в 2008 році. Сторчак був арештований після того, як він приземлився на літаку в Нью-Делі. Крім Сторчака, у справі про крадіжку даних замішані ще два українця, а також американці, китайці, громадяни Естонії і Білорусії.

За повідомленням hackzona.com.ua, в Італії знешкоджена хакерська банда. Слідчі з спецпідрозділів італійських карабінерів знешкодили велику міжнародну злочинну групу, яка активно співпрацювала з російськими хакерами.

В рамках операції було заарештовано 23 людини різних національностей. Всі вони звинувачуються в здійсненні кіберзлочинів. Дане угруповування займалося кримінальними операціями з кредитними картками (тобто це кардери).

Виявлені численні уразливості безпеки в MySQL.

Уразливі версії: MySQL 5.0.

Переповнення буфера і підвищення привілеїв у COM_FIELD_LIST, відмова через нескінченний цикл при читанні меревого пакета.

• Vulnerabilities in MySQL (деталі)

В даній добірці уразливості в веб додатках:

• HP Remote Graphics Software (RGS) Sender Running Easy Login, Remote Unauthorized Access (деталі)
• Employee Timeclock Software “mysqldump” Password Disclosure (деталі)
• Employee Timeclock Software Backup Information Disclosure (деталі)
• New tdiary packages fix cross-site scripting (деталі)
• Chaton <= 1.5.2 Local File Include Vulnerability (деталі)
• HP Data Protector Express and HP Data Protector Express Single Server Edition (SSE), Local Denial of Service (DoS), Execution of Arbitrary Code (деталі)
• Pars CMS SQL Injection Vulnerability (деталі)
• Zigurrat CMS SQL Injection Vulnerability (деталі)
• Ananta Gazelle SQL Injection Vulnerability (деталі)
• Armorlogic Profense Web Application Firewall 2.4 multiple vulnerabilities (деталі)

Нещодавно я розповідав про Local XSS - Локальний XSS - тип Cross-Site Scripting уразливостей, що я виявив в 2006 році. А зараз розповім вам про ще один новий тип XSS, знайдений мною. Це Cross-Language Scripting, який я створив у грудні 2006 року.

Міжмовний XSS - Cross-Language Scripting - це Cross-Site Scripting уразливості в онлайн інтерпретаторах. Даний класс XSS уразливостей я створив 23.12.2006, коли виявив уразливість в онлайн інтерпретаторі CodeIDE, а 28.02.2007 я виявив подібну уразливість в своєму Perl Pas Interpreter. Дані уразливості дозволяють проводити XSS атаки на веб додаток інтерпретатор, щоб за рахунок відправлення інтерпретатору коду на мові програмування, яку він підтримує, на виході отримати JavaScript або VBScript код.

Особливості Cross-Language Scripting.

Подібні уразливості можуть мати місце лише в онлайн інтерпретаторах різних мов програмування. Всього я виявив дві подібні уразливості в MustLive Perl Pascal Programs Interpreter та в CodeIDE. Але з розвитком Інтернет, коли онлайн інтерпретаторів з’явиться більше і вони почнуть більш широко використовуватися, можуть з’явитися нові Cross-Language Scripting уразливості.

Онлайн інтерпретатори приймають від користувача програмний код (наприклад, на мові Паскаль, як у випадку мого Perl Pas Interpreter) і оброблюючи його видають результат роботи програми в браузер. І якщо змусити онлайн інтерпретатор вивести html-теги, зокрема ті, що дозволяють виконати JS/VBS код, то можна провести XSS атаку на користувача інтерпретатору.

Однією з особливостей Міжмовних XSS є те, що вони можуть обходити WAF, як серверні та клієнтські. Тому що для проведення атаки використовується програмний код деякій мові програмування, а не різні html-теги, які використовуються для проведення звичайних XSS атак.

Приклади Cross-Language Scripting.

Спочатку я знайшов подібну уразливість в CodeIDE, а пізніше в своєму Perl Pas Interpreter. Але спочатку розповім про подібний випадок в Perl Pas Interpreter, а вже потім про CodeIDE.

Perl Pas Interpreter.

Перша версія інтерпретатору v.1.0 вийшла 10.03.2006. А 24.05.2006 вийшла версія v.1.2, в який я зробив онлайн версію інтерпретатора. І з тих пір я прикладав зусилля по недопущенню в ньому XSS уразливостей (вже в версії v.1.2 був захист від reflected XSS). Але 28.02.2007 я придумав, як за допомогою Cross-Language Scripting можна обійти захист веб додатку і провести XSS. Що я виправив в той же день в версії v.1.2.9.

XSS:

Наступний код на Pascal:
write(chr(60),'script',chr(62),'alert(document.cookie)',chr(60),'/script',chr(62));

Приводив до виведення в браузері та виконанні JavaScript коду:
<script>alert(document.cookie)</script>

Тобто використовуючи різноманітні конструкції мови Pascal, можна було вивести JS/VBS код в обхід існуючих захисних фільтрів і провести XSS атаку. Для протидії даному виду XSS уразливостей потрібно застосовувати спеціальні методи.

CodeIDE.

В онлайн інтерпретаторі CodeIDE я виявив Cross-Language Scripting (про яку приватно повідомив розробнику додатку), а також виявив на сайті інтерпретатора reflected XSS, про яку вже згадував.

Дана уразливість була в JavaScript інтерпретаторі. Хоча це не зовсім міжмовна атака, коли в JS інтерпретаторі виконується JS-код, але все ж таки дана атака була спрямована на онлайн інтерпретатор та обходила захисні фільтри додатку.

XSS:

В CodeIDE не можна було дістатися до document.cookie (в них був захист), але зате можна було виконувати інші JS-команди, що можуть використовуватися для атаки. Наприклад, для редирекції:
document.location="http://websecurity.com.ua"

Таким чином можна було виконувати JS-код з числа незаборонених конструкцій мови JavaScript, без використання будь-яких тегів, а безпосередньо в інтерпретаторі.

В травні місяці Microsoft випустила 2 патчі. Що значно менше ніж у квітні.

У травневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 2 бюлетня по безпеці. Що закривають критично небезпечні уразливості в програмних продуктах компанії, які дозволяють виконати довільний шкідливий код на віддаленому комп’ютері.

Критичні діри виявлені в операційних системах Windows різних версій і програмних продуктах Office та Visual Basic for Applications.

15.03.2010

У вересні, 17.09.2009, я знайшов SQL Injection уразливість в ArtDesign CMS (це українська комерційна CMS). Дану уразливість я виявив на fitofarm.ua, де використовується даний движок. Про що найближчим часом повідомлю розробникам.

Детальна інформація про уразливість з’явиться пізніше. Спочатку повідомлю розробникам системи.

28.05.2010

SQL Injection:

http://site/news.php?ch=id&id=-1′%20or%20version()=5/*