Websecurity - Веб безпека

У січні, 27.01.2017, я знявся для сюжету на каналі 24.

Сюжет на тему фішинга вийшов 03.02.2017 в ефірі телеканалу 24. Як не потрапити на гачок інтернет-шахраїв - поради від мене та інших фахівців.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Altos Connect Widget, Admin Pack, WP Accurate Form Data, Ninja Forms, Fast Image Adder. Для котрих з’явилися експлоіти.

• WordPress Altos Connect Widget 1.3.0 Cross Site Scripting (деталі)
• WordPress Admin Pack By Site Caseiro 1.1 Cross Site Scripting (деталі)
• WordPress WP Accurate Form Data 1.2 XSS / CSRF (деталі)
• WordPress Ninja Forms 2.9.21 Cross Site Scripting (деталі)
• WordPress Fast Image Adder 1.1 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Українські Кібер Війська з червня 2014 року займаються розвідкою. Це аудіо і відео розвідка. Раніше я наводив аудіо Українських Кібер Військ, що демонструють можливості Українських Кібер Військ по спостереженню за терористами. А це нова частина відео УКВ.

Ось 5 нових відео, що зроблені в рамках розвідувальної операції:

Українські Кібер Війська виявили цікаву пропаганду терористів - УКВ захопили відео з розвантаження російського гумконвою в Донецьку.

Українські Кібер Війська захопили секретні відео російського гумконвою на Донбасі - УКВ захопили відео з розвантаження російського гумконвою в Донецьку.

Українські Кібер Війська записали російських терористів в Дебальцеве - УКВ записали відео з терористами в магазині в Дебальцеве.

Українські Кібер Війська: штаб-квартира терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

Українські Кібер Війська: штаб-квартира терористів в Алчевську - УКВ записали відео зі штаб-квартири терористів в Алчевську.

В своєму звіті про атаки та інфікування державних сайтів України за 14 років я навів статистику атак на державні сайти України за останні 14 років. До звіту атаки на державні сайти України за 15 років додам статистику по інфікованим сайтам за останні 15 років.

За 2001 - 2015 роки всього було атаковано 819 українських державних сайтів (включаючи взломи сайтів та DDoS атаки). А враховуючи інфіковані gov.ua сайти, виявлених за час моїх досліджень інфікованих сайтів в Уанеті, ця кількість ще більше.

Було інфіковано наступну кількість gov.ua сайтів, що без сумніву були взломані для розміщення шкідливого коду:

2009 рік - 5 сайтів
2010 рік - 13 сайтів
2011 рік - 9 сайтів
2012 рік - 16 сайтів
2013 рік - 11 сайтів
2014 рік - 10 сайтів
2015 рік - 3 сайти

Всього 67 інфікованих gov.ua сайтів за 7 років. Разом з атаками за 15 років всього 886 державних сайти.

Статистика від 2 атакованих та інфікованих веб сайтів в 2001 році до 113 веб сайтів в 2015 році.

В даній добірці уразливості в веб додатках:

• HP Enterprise Maps, Remote Information Disclosure (деталі)
• Code Injection in Epicor Retail Store 3.2.03.01.008 (деталі)
• jqueryui security update (деталі)
• Vulnerability in nodejs (деталі)
• HP and H3C VPN Firewall Module Products, Remote Denial of Service (DoS) (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://mk.osvita-dnepr.com - інфекція була виявлена 01.01.2017. Зараз сайт входить до переліку підозрілих.
• http://картинка.укр - інфекція була виявлена 01.01.2017. Зараз сайт не входить до переліку підозрілих.
• http://journal.osvita-dnepr.com - інфекція була виявлена 01.01.2017. Зараз сайт входить до переліку підозрілих.
• http://lamurr.com.ua - інфекція була виявлена 01.01.2017. Зараз сайт не входить до переліку підозрілих.
• http://ukgov-online.org - інфекція була виявлена 01.01.2017. Зараз сайт входить до переліку підозрілих.
• http://govuk-online.com - інфекція була виявлена 24.01.2017. Зараз сайт не входить до переліку підозрілих.
• http://e-okna.com.ua - інфекція була виявлена 24.01.2017. Зараз сайт не входить до переліку підозрілих.
• http://dex.ua - інфекція була виявлена 24.01.2017. Зараз сайт не входить до переліку підозрілих.
• http://barhat-tour.com - інфекція була виявлена 24.01.2017. Зараз сайт не входить до переліку підозрілих.
• http://biosalon.ua - інфекція була виявлена 24.01.2017. Зараз сайт не входить до переліку підозрілих.

У грудні, 06.12.2016, вийшла нова версія WordPress 4.7.

WordPress 4.7 це перший випуск нової 4.7 серії. В ній додано чимало покращень порівняно з попередніми версіями движка, а також виправлено чимало багів.

Серед головних покращень зокрема можна відзначити живий попередній перегляд в налаштуваннях тем сайту, нова тема Twenty Seventeen, шорткати для редагування вмісту, відео заголовки та інші нововведення.

Окрім покращень для користувачів також було зроблено багато покращень для розробників.

Виявлені численні уразливості безпеки в Mozilla Firefox і Thunderbird.

Уразливі продукти: Mozilla Firefox 50, Firefox ESR 45.6, Thunderbird 45.6.

Пошкодження пам’яті, підняття привілеїв, обхід обмежень, вибивання, підробка адресного рядку, витік інформації.

• MFSA 2017-01 Security vulnerabilities fixed in Firefox 51 (деталі)

В даній добірці експлоіти в веб додатках:

• SugarCRM 6.5.18 - PHP Code Injection (деталі)
• Option CloudGate CG0192-11897 - Multiple Vulnerabilities (деталі)
• Untangle NGFW 12.1.0 Beta - execEvil() Command Injection (деталі)
• Riverbed SteelCentral NetProfiler/NetExpress - Remote Code Execution (Metasploit) (деталі)
• Meinberg NTP Time Server ELX800/GPS M4x V5.30p - Remote Command Execution / Escalate Privileges (деталі)

У грудні 2012 року я розробив приклад простого веб додатку з вбудованим бекдором - Backdoored Web Application. Він призначений для перевірки систем пошуку бекдорів. Це еталонний тест сканерів бекдорів.

В травні 2013 року я провів порівняльне тестування різних сканерів бекдорів - Тестування сканерів бекдорів серед плагінів для WordPress. В якому я перевірив сканери за допомогою мого BWA.

Сьогодні я випустив нову версію додатку - Backdoored Web Application v.1.0.2. В якій я додав новий бекдор на PHP. Це дозволить ще краще тестувати сканери бекдорів.

Скачати: bwa_v.1.0.2.rar.