Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Visual Synapse HTTP Server Directory Traversal Vulnerability (деталі)
• SQL Injection in Eclime (деталі)
• XSS in Eclime (деталі)
• HP Systems Insight Manager (SIM) for HP-UX, Linux, and Windows Running Adobe Flash, Remote Execution of Arbitrary Code, Denial of Service (DoS), Unauthorized Modification (деталі)
• SQL Injection in Eclime (деталі)
• OsCSS Remote File Upload Exploit (деталі)
• HP Systems Insight Manager (SIM) for HP-UX, Linux, and Windows, Remote Cross Site Request Forgery (CSRF), Cross Site Scripting (XSS), Privilege Escalation (деталі)
• OsCSS 1.2.2a Authentication Bypass (деталі)
• DibaCommerce Authentication Bypass (деталі)
• HP Systems Insight Manager (SIM) for HP-UX, Linux, and Windows, Remote Arbitrary File Download (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://kupi-rashodniki.net - інфекція була виявлена 09.05.2011. Зараз сайт не входить до переліку підозрілих.
• http://kanduk.com.ua - інфекція була виявлена 08.05.2011. Зараз сайт не входить до переліку підозрілих.
• http://kropuva.ucoz.ua - інфекція була виявлена 10.02.2011. Зараз сайт не входить до переліку підозрілих.
• http://zummer.com.ua - інфекція була виявлена 28.02.2011. Зараз сайт не входить до переліку підозрілих.
• http://art-game.at.ua - інфекція була виявлена 29.03.2011. Зараз сайт не входить до переліку підозрілих.

12.07.2010

У червні, 30.06.2010, я знайшов SQL Injection уразливість на проекті http://fgspro.com. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

10.05.2011

SQL Injection:

http://fgspro.com/index.php?content_id=-1%20or%20version()%3E4

Дана уразливість досі не виправлена.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP-Ajax-Recent-Posts, WP Photo Album та Daily Maui Photo Widget. Для котрих з’явилися експлоіти. WP-Ajax-Recent-Posts - це плагін для виведення списку останніх постів, WP Photo Album - це плагін для створення фото альбомів, Daily Maui Photo Widget - це плагін для розміщення фотографій з Maui.

• XSS in WP-Ajax-Recent-Posts wordpress plugin (деталі)
• XSS in WP Photo Album wordpress plugin (деталі)
• XSS in Daily Maui Photo Widget wordpress plugin (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Виявлены численні уразливості безпеки в PHP.

Уразливі версії: PHP 5.3.

Підвищення привілеїв, пошкодження пам’яті, переповнення буфера, DoS умови, цілочислене переповнення, помилки форматного рядка, витік інформації.

• PHP vulnerabilities (деталі)

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Social engineering
• Eavesdropping
• Adware
• Antivirus software
• Computer forensics

09.07.2010

У червні, 30.06.2010, я знайшов SQL Injection уразливість на проекті http://crio-m.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

09.05.2011

SQL Injection:

http://crio-m.com.ua/index.php?content_id=-1%20or%20version()=5

Дана уразливість досі не виправлена.

За повідомленням hackzona.com.ua, уряд США відключив ботнет Coreflood.

Американський уряд зробив першу в своєму роді спробу знешкодити ботнет Coreflood, що включає в себе сотні тисяч скомпрометованих систем. Це було здійснено за допомогою альтернативного каналу керування ботнетом. За заявою Міністерства юстиції США, дана акція проводилася в рамках “цілковитого і всеосяжного силового впливу, початого владою США для відключення міжнародного ботнету”.

За повідомленням sbu.gov.ua, засуджено мешканця Дніпропетровська, що торгував дисками з хакерськими програмами.

За інформацією Служби безпеки України, у лютому набув чинності вирок Красногвардійського районного суду м. Дніпропетровська у кримінальній справі, порушеній слідчими СБУ стосовно місцевого мешканця за ознаками злочину, передбаченого ч.1 ст.361-1 (створення з метою використання, розповсюдження або збуту шкідливих програмних засобів, а також їх розповсюдження або збут) Кримінального кодексу України.

Про аналогічний випадок у Києві я вже писав торік. В останні роки СБУ полюбляє ловити торгівців дисками з шкідливими програмами, але чомусь вона цим не займалася в попередні роки (і якщо до появи відповідних статей в КК вони цим не могли займатися, то пізніше вони просто ігнорували це - аж до останнього часу).

За повідомленням www.xakep.ru, директор Tipping Point: не існує надійних браузерів.

На змаганні хакерів Pwn2Own цього року Internet Explorer і Safari були швидко взломані, тоді як Chrome і Firefox залишилися порівняно непошкодженими, але спонсор змагання сказав, що це зовсім не означає, що вони більш безпечні у використанні.

На думку Саймона Ліча, директора Tipping Point, не існує самого надійного веб-браузера.

Продовжу тему витоку інформації про версію системи. Як я зазначав, виведення версії системи - це поширена функція у веб додатках та веб системах. Багато різних движків виводять інформацію про версію системи і дана можливість движків є уразливістю.

Це витік інформації (Information Leakage) про версію системи, що може бути використаний для атаки на сайти, що використовують даний движок. В класифікації WASC визначений окремий клас уразливостей для таких витоків інформації - Fingerprinting (WASC-45).

Наведу нові приклади подібних уразливостей в різних веб додатках, що приводять до витоку інформації про версію системи.

phpMyAdmin

В phpMyAdmin версію можна дізнатися в файлах /readme.php, /README, /changelog.php, /ChangeLog, /Documentation.html, /translators.html, /Documentation.txt, /scripts/setup.php та /RELEASE-DATE-2.11.11 (Version 2.11.11). В останньому випадку потрібно забрутфорсити ім’я файла і таким чином визначити версію веб додатка.

Silverstripe CMS

В Silverstripe версію системи можна дізнатися в файлі http://site/cms/silverstripe_version (2.4.2).

DataLife Engine

В DLE є декілька витоків інформації:

• Версію системи можна дізнатися в файлах /install.php, /update.php та /UpdateReadMe.txt.
• По рокам копірайтів можна визначити приблизну версію системи (”2004-2011″ значить, що це версія не менше 9.2).

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://ispf.gov.ua (хакером brwsk007) - 20.04.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://brovary-region.gov.ua (хакером Azerbaijan Attacker) - 23.04.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://www.ecopsycholog.com (хакерами з PHF) - 13.04.2011 - після взлому PHF, сайт також був взломаний в квітні різними хакерами (такими як ADG, aGa Hackers та N0FAC3), зараз сайт вже виправлений адмінами. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті
• http://www.magicchest.com.ua (хакером MSA BABA)
• http://www.neo-forte.com.ua (хакерами з 1923Turk-Grup) - 25.04.2011, зараз сайт вже виправлений адмінами