Websecurity - Веб безпека

25.02.2011

Ще в жовтні, 04.10.2006, я знайшов нову Cross-Site Scripting уразливість на http://www.imena.ua - сайті мого домен провайдера. І дана уразливість досі не виправлена. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на www.imena.ua.

Зазначу, що цей дірявий сайт має логотипи Verified by VISA та MasterCard SecureCode. Про діряві сайти з даними логотипами я вже писав раніше.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

29.04.2016

XSS:

http://www.imena.ua/site/payments/epay?scode=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

Дана уразливість вже виправлена.

У квітні місяці Microsoft випустила 13 патчів. Що менше ніж у березні.

У квітневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 13 бюлетенів по безпеці. Що закривають численні уразливості в програмних продуктах компанії. Шість патчів закривають критичні уразливості та сім патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows Vista, 2008, 7, 2008 R2, 8, 2012, RT, 8.1, RT 8.1 та 10. А також Microsoft Office, Internet Explorer і Edge, .NET Framework, XML Core Services, Office Web Apps і SharePoint Server та Windows Hyper-V.

Також Microsoft випустила патч для уразливостей в Adobe Flash Player, що постачаються з Windows.

В своєму звіті про хакерську активність в Уанеті в 2 півріччі 2015, я згадував, що в другому півріччі було інфіковано 70 сайтів (з них один державний сайт).

Сьогодні я провів дослідження сайтів, що були інфіковані в другому півріччі 2015 року, і на 36 сайтах вдалося виявити движки. Частина з 70 сайтів вже не працювала, декілька використовують html (при цьому частина з них ховає php-додатки за розширенням html), а ще частина використовували власні php-скрипти.

На перевірених сайтах використовуються наступні движки:

Joomla - 15
WordPress - 10
Bitrix Site Manager - 2
DataLife Engine - 2
CMS Lime - 1
CodeIgniter - 1
MODx - 1
Movable Type - 1
OpenCart - 1
PrestaShop - 1
uCoz - 1

Тобто майже всі інфіковані сайти, з числа працюючих, використовували (за станом на сьогодні) опенсорс веб додатки.

В даній добірці експлоіти в веб додатках:

• Manage Engine Applications Manager 12.5 - Arbitrary Command Execution Vulnerability (деталі)
• Manage Engine Applications Manager 12 - Multiple Vulnerabilities (деталі)
• Glassfish Server - Arbitrary File Read Vulnerability (деталі)
• Easy File Sharing Web Server 7.2 - HEAD HTTP Request SEH Buffer Overflow (деталі)
• FireEye Wormable Remote Code Execution in MIP JAR Analysis (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.ivanychizem.gov.ua (хакером Kab[u]ss) - 17.02.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://vol-volynzem.gov.ua (хакером Kab[u]ss) - 17.02.2016 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.lato.cpanel1.adamant.ua (хакером Mr.Kro0oz.305) - 06.02.2016, зараз сайт вже виправлений адмінами
• http://www.training-3000.com.ua (хакером BALA SNIPER) - 07.03.2016, зараз сайт вже виправлений адмінами
• http://adrenalinlab.lime.od.ua (хакером TheWayEnd) - 13.03.2016, зараз сайт вже виправлений адмінами

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки (статті з Вікіпедії):

• Form grabbing
• FREAK (Factoring RSA Export Keys)
• HTTP Public Key Pinning
• HTTP Strict Transport Security
• POODLE (security exploit)

У квітні, 26.04.2016, вийшов Mozilla Firefox 46. Нова версія браузера вийшла через півтора місяці після виходу Firefox 45.

Mozilla офіційно випустила реліз веб-браузера Firefox 46, а також мобільну версію Firefox 46 для платформи Android. Відповідно до шеститижневого циклу розробки, реліз Firefox 47 намічений на 7 червня, а Firefox 48 на 2 серпня.

Також були оновлені гілки із тривалим терміном підтримки Firefox 38.8, Firefox 45.1 і Thunderbird 38.8.

В браузері було зроблено декілька покращень безпеки, зокрема посилена безпека JIT-компілятора JavaScript (виконання коду організоване з використанням застосовуваного в OpenBSD алгоритму W^X) та додана підтримка формування ключів з використанням HKDF в Web Crypto API. А також зроблений перехід GTK3+ в збірках для платформи Linux.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 46.0 усунуто 10 уразливостей, серед яких одна позначена як критична, що може привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Причому ця кількість - це саме патчі (Mozilla типово виправляє по декілька дір за один патч).

• Релиз Firefox 46, перешедший на GTK3+ в Linux (деталі)

В даній добірці уразливості в веб додатках:

• OpenStack Glance vulnerability (деталі)
• TWiki Security Advisory - XSS Vulnerability (деталі)
• Apache Struts 2.3.20 GA release available with security fix (деталі)
• SysAid Server Arbitrary File Disclosure (деталі)
• OpenStack Neutron vulnerability (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах MiwoFTP, Ajax Store Locator, WP-Mon, Citizen Space, Content Slide. Для котрих з’явилися експлоіти.

• WordPress MiwoFTP 1.0.5 CSRF Command Execution (деталі)
• WordPress Ajax Store Locator 1.2 SQL Injection (деталі)
• WordPress WP-Mon Arbitrary File Download (деталі)
• WordPress Citizen Space 1.1 Cross Site Scripting (деталі)
• WordPress Content Slide 1.4.2 CSRF / Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

У квітні, 26.04.2016, вийшло інтерв’ю, що я дав для UaPost.

В інтерв’ю розповідається про мене, про мою діяльність та кібер війну Росії проти України. Про громадську ініціативу Українські Кібер Війська, що я створив 09.06.2014, та безпеку веб сайтів в Інтернеті.

Євгеній Докукін: The Daily Beast назвали мене “lonely Ukrainian cyber warrior”

Так що кому буде цікаво прочитати інформацію про кібер війну, про мене і УКВ, як тим хто вже читав мої попередні інтерв’ю, зокрема інтерв’ю для Уніан, чи дивився виступи на ТБ, зокрема телепередачу зі мною на каналі Обоз LIVE, так і всім іншим, можете прочитати це інтерв’ю.