Websecurity - Веб безпека

Раніше, 31.03.2013, я знайшов Full path disclosure, Information Leakage, SQL Injection та Cross-Site Scripting уразливості на сайті bonus.privatbank.ua та 217.117.65.248 - це один сервер. В той час я вислав ці уразливості банку.

Full path disclosure (WASC-13):

Витік шляху і адрес в LAN в http://217.117.65.248/s2/polls/ivr/ у чотирьох параметрах скрипту.

Information Leakage (WASC-13):

Витік усього SQL запиту (SQL DB Structure Extraction) в 4 місцях.

SQL Injection (WASC-19):

Виявив критичні SQL ін’єкції в чотирьох місцях.

Cross-Site Scripting (WASC-08):

Виявив XSS у одинадцяти місцях.

ПриватБанк тоді проігнорував їх та не оплатив, окрім деяких на сайті з попередньої добірки з цього сайту.

Але через багато років все приховано виправив. Таким чином банк кинув мене, як це було з дірками на idea.privatbank.ua та інших сайтах ПБ.

У липневому вівторку патчів Microsoft виправила 570 уразливостей - це рекорд для них.

Як кажу десятки років, компанії такі як Mozilla та інші часто виправляють кілька дір в одному патчі, тому реальна кількість тут могла бути вищою. Серед них 61 критична уразливість і три zero-days у Windows 10 і 11, Office, Exchange, SQL Server та інших.

У серпні Microsoft виправила 398 уразливостей.

Стільки виправлень у серпневому Patch Tuesday зробили вони. Зокрема один експлуатований Windows zero-day та ще чотири unauthenticated RCE з індексом 9.8.

Все це через використання ШІ.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://journal.iitta.gov.ua (хакером Simsimi) - 09.03.2026 - похаканий державний сайт
• https://dnpb.gov.ua (хакером Simsimi) - 09.03.2026 - похаканий державний сайт
• https://narodnivikna.com (хакером Trenggalek) - 03.07.2026
• https://tavriysk.ks.ua (хакером Trenggalek) - 03.07.2026
• https://krishka-ua.com (хакером Antonkill) - 03.07.2026

У березні, 12.03.2026, вийшли PHP 8.4.19 і PHP 8.5.4. У версіях PHP 8.4.19 і 8.5.4 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.4.x і 8.5.x.

У PHP 8.4.19 і 8.5.4 виправлено:

• Витоки пам’яті.
• Численні вибивання.
• Численні пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Ще 03.01.2017 турецький хакер зламав сайт gur.gov.ua, про що я писав - тоді в січні взломали 20 державних сайтів на сервері Укртелекому, всього на цьому сервері хакнули 51 державний сайт, як ГУР МО, деякі з них по два рази в різні роки. Після цього вже російські хакери та їх союзники почали хакати військові сайти в Україні. Зокрема після початку повномасштабної війні.

Як ось наступні:

14.01.2022 зламали mil.gov.ua (російськими хакерами) - це сайт МО.

21.08.2023 зламали serial.drone.ua (хакерами з 1915 Team) - це сайт виробника дронів.

28.06.2026 зламали 68.uz.ua (хакером Trenggalek) - це сайт 68 батальйону Закарпатської ТРО.

Бо ніхто в державному і приватному секторі за веб безпекою не слідкує десятки років.

В даній добірці експлоіти в веб додатках:

• Swagger UI 1.0.3 - Cross-Site Scripting (XSS) (деталі)
• Cisco ISE 3.0 - Remote Code Execution (RCE) (деталі)
• Citrix NetScaler ADC/Gateway 14.1 - Memory Disclosure (деталі)
• Tigo Energy Cloud Connect Advanced (CCA) 4.0.1 - Command Injection (деталі)
• Microsoft SharePoint Server 2019 (16.0.10383.20020) - Remote Code Execution (RCE) (деталі)

У лютому, 12.02.2026, вийшли PHP 8.4.18 і PHP 8.5.3. У версіях PHP 8.4.18 і 8.5.3 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.4.x і 8.5.x.

У PHP 8.4.18 і 8.5.3 виправлено:

• Витоки пам’яті.
• Численні вибивання.
• Численні пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://budynok.in.ua (хакером Mr. BDKR28) - 06.05.2026
• https://dpl.in.ua (хакером Antonkill) - 01.07.2026
• https://advokat-ua.info (хакером Trenggalek) - 03.07.2026
• https://mamolog.ks.ua (хакером Trenggalek) - 03.07.2026
• https://vdovtsov.com.ua (хакером CoupDeGrace) - 04.07.2026
• https://zatyshnyidvoryk.com.ua (хакером CoupDeGrace) - 04.07.2026
• https://ndu.kr.ua (хакером CoupDeGrace) - 04.07.2026
• https://ukrdetali.com.ua (хакером CoupDeGrace) - 04.07.2026
• https://migel.com.ua (хакером Trenggalek) - 04.07.2026
• https://ostrivok.com.ua (хакером Trenggalek) - 04.07.2026

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

Дані за 2014-2021 роки, дані за 2022 рік, дані за 02.01.2023-08.01.2023, дані за 09.01.2023-15.01.2023, дані за 16.01.2023-22.01.2023, дані за 23.01.2023-29.01.2023, дані за 30.01.2023-05.02.2023, дані за 06.02.2023-12.02.2023, дані за 13.02.2023-19.02.2023, дані за 20.02.2023-26.02.2023, дані за 27.02.2023-05.03.2023, дані за 06.03.2023-12.03.2023, дані за 13.03.2023-19.03.2023, дані за 20.03.2023-26.03.2023, дані за 27.03.2023-02.04.2023, дані за 03.04.2023-09.04.2023, дані за 10.04.2023-23.04.2023, дані за 24.04.2023-30.04.2023, дані за 01.05.2023-07.05.2023, дані за 08.05.2023-14.05.2023, дані за 15.05.2023-21.05.2023, дані за 22.05.2023-28.05.2023, дані за 29.05.2023-04.06.2023, дані за 05.06.2023-11.06.2023, дані за 12.06.2023-18.06.2023, дані за 19.06.2023-25.06.2023, дані за 26.06.2023-02.07.2023, дані за 03.07.2023-09.07.2023, дані за 10.07.2023-16.07.2023, дані за 17.07.2023-23.07.2023, дані за 24.07.2023-30.07.2023, дані за 31.07.2023-06.08.2023, дані за 07.08.2023-13.08.2023, дані за 14.08.2023-20.08.2023, дані за 21.08.2023-27.08.2023, дані за 28.08.2023-03.09.2023, дані за 04.09.2023-10.09.2023, дані за 11.09.2023-17.09.2023, дані за 18.09.2023-24.09.2023, дані за 30.10.2023-05.11.2023, дані за 06.11.2023-12.11.2023, дані за 13.11.2023-19.11.2023, дані за 20.11.2023-26.11.2023, дані за 01.12.2023-10.12.2023, дані за 11.12.2023-17.12.2023. Це нові дані.

У грудні:

Третій тиждень.

Моя операція “Апокаліпсис” проти мережевих пристроїв Росії https://bit.ly/3NwYDaM.
Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/41rUniw.
Українські Кібер Війська закрили сайт терористів sprut.win https://bit.ly/3NC2JOJ.
Українські Кібер Війська заблокували 355 сайтів терористів https://bit.ly/477FZxc.
Сайти, що розповсюджують персональні дані українських патріотів, багато з яких я закрив з 2014 року https://bit.ly/3GSN9L6.
Українські Кібер Війська щодня виявляють російську військову техніку в Донецьку та С-300 в Криму https://bit.ly/3v9ugRh.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/4aAMX0G.
Заблокував рахунки Подоляки ще в 2015 році https://bit.ly/48uDTbz.
Українські Кібер Війська заблокували 355 сайтів терористів https://bit.ly/48yqD5Z.
Українські Кібер Війська десять років виявляли докази навчання окупантами дітей тероризму https://bit.ly/3RVIM88.

Виявлені дві критичні уразливості в роботі Unitree G1 EDU. Раніше я писав про злами тисяч роботів пилососів Ecovacs у США та ще хакнули роботів пилосмоків DJI Romo.

Зокрема хакнули моделі Ecovacs Deebot X2 у різних містах. Повідомляють як про лайку через спікери роботів, так і про атаки роботів пилососів на людей та собак в будинку.

А це про гуманоїдного робота. Two vulnerabilities in the Unitree G1 EDU humanoid robot enable root RCE.

Якщо не ШІ вас атакує, так хакнуть робота й атакують вас.