Websecurity - Веб безпека

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19 та 20.

Ось нова добірка уразливих секюріті сайтів:

• varta.net.ua
• scb-ua.com
• www.bezpeka-service.com.ua

Всім секюріті компаніям слід приділяти більше уваги безпеці власних веб сайтів.

04.06.2010

У жовтні, 31.10.2009, я знайшов Abuse of Functionality, Insufficient Anti-automation та Brute Force уразливості на проекті http://www.ex.ua (файлообмінник). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

20.01.2011

Abuse of Functionality:

На сторінці http://www.ex.ua/register в полі Логін можна визначити логіни користувачів в системі. Це також можна зробити через GET запит. Дана уразливість дозволяє провести Login Enumeration атаку.

http://www.ex.ua/r_check_login?login=123

Insufficient Anti-automation:

Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів в системі. В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів системи.

Brute Force:

На сторінці http://www.ex.ua/login можливе визначення паролів користувачів. В перші декілька спроб капча відсутня, лише потім вона з’являється, що може використовуватися для атаки.

Дані уразливості досі не виправлені.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.vhodv.com (хакером Stupid) - 16.01.2011, зараз сайт вже виправлений адмінами
• http://www.btg.com.ua (хакером Stupid) - 16.01.2011, зараз сайт вже виправлений адмінами
• http://www.karpatypremium.com (хакером Fl0riX) - 09.01.2011, зараз сайт вже виправлений адмінами
• http://romanko.kiev.ua (хакером Jimmi) - 11.01.2011, зараз сайт вже виправлений адмінами
• http://www.wazzzup.tv (хакерами з Opoja Hackers Group) - 11.01.2011 - зараз сайт не працює

06.11.2010

У липні, 07.07.2010, я знайшов Cross-Site Scripting та Full path disclosure уразливості в xAjax та xajax_jquery_plugin. Які я виявив на різних сайтах, що використовують дані веб додатки, в тому числі на деяких сайтах на MC Content Manager. Про що найближчим часом повідомлю розробникам.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатків.

19.01.2011

XSS:

http://site/cms/’;alert(document.cookie);/*

Це DOM Based XSS. Дана уразливість зокрема має місце в MC Content Manager (що використовує xAjax).

Full path disclosure:

http://site/xajax_core/legacy.inc.php
http://site/xajax_core/xajax_lang_de.inc.php
http://site/xajax_core/xajax_lang_nl.inc.php
http://site/xajax_core/plugin_layer/xajaxCallableObjectPlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxDefaultIncludePlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxEventPlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxFunctionPlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxScriptPlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxDefaultRequestProcessorPlugin.inc.php
http://site/jquery.php
http://site/demo.php

Файли jquery.php та demo.php відносяться до xajax_jquery_plugin. Дані уразливості мають місце на різних веб сайтах та у різних веб додатках, що використовують xAjax та xajax_jquery_plugin.

Уразливі потенційно всі версії xAjax. Уразливі всі версії xajax_jquery_plugin.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Meet-in-the-middle attack
• Brute-force attack
• Threat model
• Time-of-check-to-time-of-use
• Timeline of computer viruses and worms

В даній добірці уразливості в веб додатках:

• HP Systems Insight Manager (SIM) for HP-UX, Linux, and Windows, Remote Unauthorized Access to Data (деталі)
• iBoutique.MALL 1.2 XSS vuln (деталі)
• NetArtMEDIA Real Estate Portal v2.0 XSS vuln. + NetArtMEDIA lfi (деталі)
• Open Classifieds version 1.7.0.2 XSS Vuln (деталі)
• HP LoadRunner Agent on Windows, Remote Unauthenticated Arbitrary Code Execution (деталі)
• HP Mercury LoadRunner Agent Trusted Input Remote Code Execution Vulnerability (деталі)
• HP Performance Center Agent on Windows, Remote Unauthenticated Arbitrary Code Execution (деталі)
• New smbind packages fix sql injection (деталі)
• chillyCMS Multiple Vulnerabilities (деталі)
• XSS bug in US Robotics firmware USR5463-v0_06.bin (деталі)

Виявлена можливість несанкціонованого доступу в Objectivity/DB.

Уразливі версії: Objectivity/DB 10.

Можливе виконання деяких команд без аутентфікації.

• Objectivity/DB Lack of Authentication Remote Exploit (деталі)

03.06.2010

У жовтні, 30.10.2009, я знайшов SQL Injection уразливість на сайті http://s9y.org. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливість на s9y.org.

Детальна інформація про уразливість з’явиться пізніше.

18.01.2011

SQL Injection:

http://s9y.org/index.php?node=-1′%20or%20version()%3E’5

Дана уразливість вже виправлена.

Раніше я вже писав про уразливість у віджеті Flash Tag Cloud для Blogsa та інших ASP.NET движків. Така ж уразливість є і в b-cumulus (віджеті для Blogger, що також використовується на окремих сайтах), що використовує модифіковану версію tagcloud.swf розроблену автором WP-Cumulus. Про мільйони флешек tagcloud.swf вразливих до XSS атак я згадував у своїй статті XSS уразливості в 34 мільйонах флеш файлах.

Нещодавно, 15.01.2011, я знайшов Cross-Site Scripting уразливість в b-cumulus. Про що найближчим часом повідомлю розробнику.

XSS:

Використовуватися може файл tagcloud.swf або tagcloud-ru.swf.

http://site/path/tagcloud.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='javascript:alert(document.cookie)'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E
http://site/path/tagcloud-ru.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='javascript:alert(document.cookie)'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E

Код виконається при кліку. Це Strictly social XSS. Також можна провести HTML Injection атаку, подібно до WP-Cumulus.

Уразливі всі версії b-cumulus.

В січні місяці Microsoft випустила 2 патчі. Що значно менше ніж у грудні.

У січневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло два бюлетені по безпеці. Що закривають три уразливості в програмних продуктах компанії. Зокрема один патч виправляє важливу уразливість, а інший патч - критичні уразливості, які дозволяють виконати довільний шкідливий код на віддаленому комп’ютері.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7 та 2008 R2.