Архів за Січень, 2012

Інфіковані сайти №108

22:47 25.01.2012

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

  • http://if.gov.ua - інфікований державний сайт - інфекція була виявлена 13.12.2011. Зараз сайт не входить до переліку підозрілих.
  • http://best-tv.com.ua - інфекція була виявлена 17.01.2012. Зараз сайт входить до переліку підозрілих.
  • http://footclub.pp.ua - інфекція була виявлена 04.12.2011. Зараз сайт не входить до переліку підозрілих.
  • http://bestcats.kiev.ua - інфекція була виявлена 21.01.2012. Зараз сайт входить до переліку підозрілих.
  • http://doctorpharm.com.ua - інфекція була виявлена 28.11.2011. Зараз сайт не входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфікований сайт bestcats.kiev.ua також хостить в себе Укртелеком.

DoS проти PHP

20:03 25.01.2012

Виявлена можливість проведення DoS атаки проти PHP.

Уразливі версії: PHP 5.3.

Звертання по нульовому вказівнику через неперевірене значення zend_strndup.

Добірка уразливостей

16:30 25.01.2012

В даній добірці уразливості в веб додатках:

  • Security Notice for CA SiteMinder (деталі)
  • Chezola Systems (display-section.php?id) Remote SQL injection Vulnerability (деталі)
  • EasyContent CMS (participant.php?id) Remote SQL injection Vulnerability (деталі)
  • NetSaro Enterprise Messenger Server Plaintext Password Storage Vulnerability (деталі)
  • Multiple cross-site request forgery (CSRF) vulnerabilities in SquirrelMail (деталі)
  • CRLF injection vulnerability in SquirrelMail (деталі)
  • NetSaro Enterprise Messenger Server Administration Console Weak Cryptographic Password Storage Vulnerability (деталі)
  • Cross-site scripting (XSS) vulnerability in Adobe RoboHelp and RoboHelp Server (деталі)
  • Cross-site scripting (XSS) vulnerability in SquirrelMail (деталі)
  • Multiple cross-site scripting (XSS) vulnerabilities in SquirrelMail (деталі)

Новини: новий закон Євросоюзу, фрод в 2011 році та взлом DreamHost

23:53 24.01.2012

За повідомленням www.xakep.ru, новий закон Євросоюзу змусить повідомляти про взлом протягом 24 годин.

Можливо, новин про взломи і витоки інформації в майбутньому стане набагато більше. Європейський Союз готує новий законопроект про захист приватних даних, відповідно до якого кожна компанія буде зобов’язана протягом 24 годин після взлому повідомити інформацію про витік даних постраждалим громадянам і компетентним органам Євросоюзу. У випадку приховання інформації компанія буде піддана адміністративному покаранню і штрафам, після розгляду справи у відповідному комітеті ЄС.

Цікава ідея ЄС, такий собі full disclosure, щоб стимулювати компанії не приховувати випадки взломів :-) . Бажано, щоб вони зробили новий закон всеохоплючим, для того щоб він охоплював як взломи локальних мереж, так і веб сайтів, що належать як юридичним особам, так і фізичним особам. І після того як вони його приймуть, з часом ця практика дійде до України.

За повідомленням www.xakep.ru, статистика по фроду в 2011 році: кардери зняли $3,4 млрд. у магазинах США.

Процесінгова компанія CyberSource (підрозділ корпорації Visa) опублікувала звіт 2012 Online Fraud Report зі статистикою по кардерским операціях в Інтернеті. На перший погляд, кардерство йде на спад: частка фродових транзакцій в Інтернеті впала з 0,9% у 2010 році до 0,6% у 2011 році, тобто до мінімального рівня за останні 13 років, протягом яких проводилися виміри.

Однак, фродові транзакції по розміру виявилися більше звичайних, і тому частка шахрайства в загальному обороті інтернет-торгівлі в порівнянні з минулим роком виросла до 1,0%, хоча в цілому вона поступово знижується вже багато років.

За повідомленням www.xakep.ru, DreamHost взломаний, всіх просять поміняти паролі.

Черговою жертвою хакерів став великий американський хостінг-провайдер DreamHost. У корпоративному блозі опубліковане повідомлення про виявлення несанкціонованого доступу до бази даних хешей паролів FTP/Shell. При цьому компанія підкреслює, що в неї немає прямих доказів крадіжки користувацьких паролів, але компанія все-таки зробила примусове скидання паролів для всіх аккаунтів FTP/Shell.

Процедура скидання паролів почалася в суботу, 20 січня. На хостінгу DreamHost розміщується близько 1,22 млн. доменів.

Цікаве чтиво на тему web security

22:48 24.01.2012

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

Нові уразливості на intv-inter.net

20:06 24.01.2012

05.06.2009

У вересні, 21.09.2008, я знайшов Insufficient Anti-automation та Cross-Site Scripting уразливості на сайті http://intv-inter.net. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на intv-inter.net.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

24.01.2012

Insufficient Anti-automation:

Вразлива капча на сторінках сайта (http://intv-inter.net/tv/channel/intv/).

XSS (IE):

http://intv-inter.net/login/?redirect='style=xss:expression(alert(document.cookie))%20

Дані уразливості вже виправлені шляхом заміни движка сайта. Змінили один дірявий движок на інший дірявий (про уразливості в DLE я вже писав неодноразово).

Нова фішинг атака на Приват24

15:27 24.01.2012

Торік я писав про декілька фішинг атак на клієнтів ПриватБанку - на користувачів Приват24. Одна атака вібдулася у березні (09.03.2011), а друга - у квітні (на протязі 14-16.04.2011). І вже на початку січня, 09.01.2012, про що я згадав у коментарях, розпочалася нова фішинг атака на Приват 24. Явно приурочена до новорічних свят :-) .

При цьому зазначу, що сам я не є клієнтом ПриватБанка і не користуюся Приват24, але фішинг листи все ж таки отримав (що в минулому, що в цьому році). Це може бути пов’язано або з тим, що фішери проводили масоване розсилання спам-листів по великій базі українських емайлів (щоб хоча б на деяких користувачів П24 натрапити). Або ж мій емайл потрапив в їхній список в зв’язку з деякими моїми згадками в Інтернеті, що я працював з цією системою. При цьому лист вислали з кривим кодуванням - в більшості випадків фішинга на ПБ я зустрічав неякісне створення листів для фішинг-розсилки.

Підроблений сайт (фішерський) знаходиться в папці на одному сайті, з дуже схожим доменом (http://www.privat24-ua.com/logins/). При цьому домен був зареєстрований як раз 09.01.2012, тому атаку фішери розпочали одразу після реєстрації домена. Домен зареєстрований на рік - вони явно планують на протязі року проводити атаки. Зараз хостер прикрив цей сайт, але можна очікувати його розміщення на іншому хостингу.

Так вже фішери полюбляють проводити атаки на клієнтів ПриватБанку ;-) . Це може бути пов’язано як з популярністю онлайн-банкінга Приват24, так і з впевненістю фішерів в успішності атаки (що може базуватися на існуючому досвіді - може вже траплялися їм довірливі користувачі П24).

Уразливості в Perl

23:52 23.01.2012

Виявлені уразливості безпеки в Perl.

Уразливі версії: Perl 5.15.

Можливе впровадження коду через eval у конструкторі в модулі Digest. Однобайтове переповнення буфера в decode_xs.

Моя стаття в журналі PenTest Extra

22:47 23.01.2012

В цьому місяці в журналі “PenTest Extra” була опублікована моя стаття. В січневому номері журналу PenTest Extra 01/2012, що вийшов 15.01.2012, опублікована стаття “Business Logic vulnerabilities via CSRF” (на англійській мові).

В ній розповідається про Business Logic уразливості, атака на які проводиться через CSRF. Дані уразливості дозволяють викрадати гроші з рахунків користувачів на сайтах банків, електронних платіжних систем та інших е-комерс сайтів. Такі уразливості я неодноразово знаходив та писав про них в новинах.

Це нова редакція статті Business Logic уразливості через CSRF (перероблена та доповнена), що я опублікував в грудні 2010 року. В даній статті наводиться багато нового матеріалу порівняно з першою редакцією, зокрема новодяться сценарії атак на Business Logic уразливості та експлоти для них. Описуються однокрокові та багатокрокові атаки, зазначається необхідність таймінгу при багатокрокових атаках та наводяться приклади реальних уразливостей на е-комерс сайтах з відповідними експлоітами.

А також в даній статті я вперше анонсував свій новий інструмент Генератор CSRF, що призначений для створення CSRF експлотів. На якому були зроблені всі приклади експлоітів для статті.

В себе на сайті я виклав тізер журналу, в якому наводиться повний текст моєї статті. Так що можете почитати її ;-) .

Оновлення в новому році

19:03 23.01.2012

Настав новий 2012 рік. І до своїх новорічних побажань, я також додам пропозицію подивитися мою святкову листівку на флеші ;-) .

Серед сюрпризів, що я приготовував в новому році та вже розмістив на сайті, є наступні. Другого січня я додав на сайт мій новий інструмент Генератор CSRF, що призначений для створення CSRF експлотів. Він стане в нагоді при проведенні секюріті досліджень та аудитів безпеки. Який став хорошим доповненням до таких моїх онлайн секюріті інструментів як Генератор XSS та SQL Injection ASCII Encoder та інших секюріті програм.

А в розділі Статті та доповіді на минулому тижні я розмістив тізер журналу PenTest Extra 01/2012, в якому опублікована моя нова стаття Business Logic vulnerabilities via CSRF. В якій я вперше анонсував свій новий інструмент Генератор CSRF, на якому були зроблені всі приклади експлоітів для статті.