Websecurity - Веб безпека - Безпека веб-додатків та веб-систем

Уразливості в плагінах для WordPress №354

22:57 28.10.2023

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Chained Quiz, Tagregator, Gift Voucher, Plainview Activity Monitor, Quizlord. Для котрих з’явилися експлоіти.

WordPress Chained Quiz 1.0.8 SQL Injection (деталі)
WordPress Tagregator 0.6 Cross Site Scripting (деталі)
WordPress Gift Voucher 1.0.5 SQL Injection (деталі)
WordPress Plainview Activity Monitor 20161228 Command Injection (деталі)
WordPress Quizlord 2.0 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Опубліковано в Новини сайту, Уразливості | Без Коментарів »

Мої відео та додатки на Flash

19:34 28.10.2023

Від початку роботи сайту в 2006 році я розмістив на ньому різні свої веб додатки на технології Flash і деякі відео з моїми інтерв’ю через флеш плеєр.

Це як два моїх онлайн тестування, так і численні доповіді на конференціях та деякі інші додатки.

У зв’язку з тим, що в 2021 році Adobe повністю відмовилася від підтримки Flash і заблокувала її в усіх браузерах, переглядати флешки на сайтах більше ніхто не може. Окрім як власники старих браузерів зі старими версіями Флеш, де не було зроблено блокування на цю дату. Ті ж відео люди дивляться через підтримку HTML5 усіма сучасними браузерами і відео включені з YoyTube надалі працюють, але не ті, що я тримав на самому сайті. Бо не мав в коді сайту сумісності з HTML5 (лише флеш плеєр), але я переведу всі відео на нього.

То у випадку моїх Flash додатків можна лише викачувати swf-файли і запускати їх локально на комп’ютері. Це не зручно для людей. Тому я зроблю для них exe-файли, зокрема для двох тестувань.

Опубліковано в Новини сайту | Без Коментарів »

Добірка експлоітів

16:21 28.10.2023

В даній добірці експлоіти в веб додатках:

ManageEngine ADSelfService Plus Build 6118 - NTLMv2 Hash Exposure (деталі)
DLINK DIR850 - Insecure Access Control (деталі)
DLINK DIR850 - Open Redirect (деталі)
Apache CouchDB 3.2.1 - Remote Code Execution (RCE) (деталі)
Google Chrome 78.0.3904.70 - Remote Code Execution (деталі)

Опубліковано в Експлоіти | Без Коментарів »

Похакані сайти №397

22:50 27.10.2023

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

http://zahidmgu.gov.ua (з xNot_RespondinGx) - 25.11.2021 - похаканий державний сайт
https://extrasens.gadalka.s-host.net (росіянами) - 15.03.2022
https://fedorova.gadalka.s-host.net (росіянами) - 15.03.2022
https://gips.zt.ua (росіянами) - 15.03.2022
http://vzhuh.lviv.ua (хакерами з xNot_RespondinGx) - 29.04.2022
DDoS атака на сайт ДТЕК dtek.com - 06.2022
DDoS атака на archives.gov.ua - 07.2022 - атакований державний сайт
DDoS атака на energoatom.com.ua - 16.08.2022

Ці та згадані раніше DDoS атаки були проведені росіянами. Також 13.05.2022 російські хакери атакували системи Львівської міської ради. Звідки вкрали та оприлюднили файли.

Опубліковано в Новини сайту, Дослідження | Без Коментарів »

Діяльність Українських Кібер Військ

19:32 27.10.2023

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

У жовтні:

Четвертий тиждень.

Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3TRZWBY.
Українські Кібер Війська виявили колону військової техніки з артилерією в Керчі https://bit.ly/3gtB0lA.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3ssfgcE.
Відео-розвідка: УКВ знову виявили, як мобілізовані росіяни отримують поштою бронежилети https://bit.ly/3sytp8k.
Українські Кібер Війська заблокували 310 сайтів терористів https://bit.ly/3FnUFxN.
Українські Кібер Війська виявили, як російський окупант висилає додому награбоване поштою в Бєлгороді https://bit.ly/3DEjCDW.
Переконав компанію з Англії зупинити підтримку сайтів терористів ДНР https://bit.ly/3MZz7t8.
Українські Кібер Війська записали російську військову техніку в Криму https://bit.ly/3SCBUK0.
Українські Кібер Війська закрили сайт терористів mintranslnr.su https://bit.ly/3STXU3m.
Українські Кібер Війська заблокували сайти терористів dnrsovet.su, mvddnr.ru та minsvyazdnr.ru https://bit.ly/3DlJ7s7.
Відео-розвідка: УКВ виявили, як російські мобілізовані кадирівці отримують поштою взуття https://bit.ly/3DK2OeT.
Українські Кібер Війська заблокували 310 сайтів терористів https://bit.ly/3FsJGDi.
Українські Кібер Війська виявили, як російський окупант висилає додому награбоване поштою в Бєлгороді https://bit.ly/3fnzAZW.

Опубліковано в Новини | Без Коментарів »

Вийшли PHP 8.0.27, 8.1.14 і 8.2.1

16:21 27.10.2023

У січні, 05.01.2023, вийшли PHP 8.0.27, PHP 8.1.14 і PHP 8.2.1. У версії 8.0.27 виправлена одна уразливість, у версії PHP 8.1.14 виправлено багато багів і уразливостей, у версії PHP 8.2.1 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.0.x, 8.1.x і 8.2.x.

У PHP 8.0.27, 8.1.14 і 8.2.1 виправлено:

Численні вибивання.
Обхід обмежень open_basedir.
Уразливість в PDO/SQLite (лише ця в усіх версіях).
Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

Опубліковано в Новини, Програми | Без Коментарів »

Уразливості в плагінах для WordPress №353

22:45 26.10.2023

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Gwolle Guestbook, Responsive Thumbnail Slider, Export Users To CSV, Ninja Forms і темах Dreamsmiths. Для котрих з’явилися експлоіти.

WordPress Gwolle Guestbook 2.5.3 Cross Site Scripting (деталі)
WordPress Responsive Thumbnail Slider Arbitrary File Upload (деталі)
WordPress Export Users To CSV 1.1.1 CSV Injection (деталі)
WordPress Dreamsmiths Themes 0.0.1 Arbitrary File Download (деталі)
WordPress Ninja Forms 3.3.13 CSV Injection (деталі)

Опубліковано в Новини сайту, Уразливості | Без Коментарів »

Діяльність Українських Кібер Військ

19:37 26.10.2023

Підсумки роботи по протидії російським окупантам. Розповім про свою цьогорічну роботу.

У жовтні:

Третій тиждень.

Українські Кібер Війська постійно виявляють стан мобілізації в Росії: родичі по пошті висилають зброю та броню https://bit.ly/3S4y9wB.
Українські Кібер Війська заблокували сайти терористів tsiklnr.su, nslnr.su та minfindnr.ru https://bit.ly/3CBm9gq.
Відео-розвідка: УКВ виявили російську військову техніку в Керчі https://bit.ly/3eHWtH4.
Українські Кібер Війська заблокували сайти терористів minstroy-dnr.ru, mvddnr.ru і msdnr.ru https://bit.ly/3MM1kUo.
Українські Кібер Війська виявили військову техніку в Криму і плани росіян мобілізувати жінок https://bit.ly/3VIrCe0.
Українські Кібер Війська заблокували 310 сайтів терористів https://bit.ly/3Tm2MPx.
Відео-розвідка: УКВ виявили, як російський окупант висилає додому награбоване поштою в Шебекіно https://bit.ly/3ePhakm.
Українські Кібер Війська виявили гео-локацію мосту в Новій Каховці https://bit.ly/3MOtPAP.
Українські Кібер Війська заблокували сайти терористів mintranslnr.su, dnrsovet.su та mvddnr.ru https://bit.ly/3VQr9GR.
Українські Кібер Війська виявили колону російських БТР у Керчі https://bit.ly/3MYTQNW.
Відео-розвідка: російські окупанти висилають додому награбоване в Україні поштою в Бєлгороді https://bit.ly/3gyP6T0.
Українські Кібер Війська виявили як терористи співпрацюють з ОБСЄ https://bit.ly/3f0knxK.

Опубліковано в Новини | Без Коментарів »

Витоки інформації про файли на сайтах

16:24 26.10.2023

Існують різноманітні техніки для різних веб серверів, як дізнатися про списки директорій та файлів на цих сайтах. Деякі я сам знайшов у попередні роки, інші давно відомі.

Ця інформація може знадобитися для хакера нападника, так само для фахівця з ІБ під час аудиту безпеки. Адмінам сайтів слід це врахувати.

Техніки атаки, коли на веб сервері вимкнутий Directory Indexing:

10.09.2006 я розробив методику визначення веб сервера Apache. Це fingerprinting самого веб сервера і ще вона дозволяє виявляти приховані файли. Навіть без змісту директорій можна підбирати імена файлів. Мова про MultiViews опцію в Apache.

16.04.2010 я знайшов Information Leakage уразливість в Apache, що дозволяла вивести зміст директорії, при цьому обходяться будь-які індексні файли. Це пов’язано з особливостями налаштувань веб сервера.

Атаки на сайти на веб серверах з ОС Windows - це вісім відомих атак за станом на грудень 2010 року.

29.06.2012 в статті Microsoft IIS tilde character “~” Vulnerability/Feature - Short File/Folder Name Disclosure дослідники оприлюднили нову атаку проти IIS.

А також можна провести Brute Force підбір імен файлів на будь-якому веб сервері.

Опубліковано в Статті | Без Коментарів »

Похакані сайти №396

22:57 25.10.2023

http://iod.gov.ua (хакером Moshkela Hacker) - 23.09.2021 - похаканий державний сайт
http://lvivvet.gov.ua (хакерами з xNot_RespondinGx) - 25.11.2021 - похаканий державний сайт
http://techned.org.ua (хакером Al Catraz) - 21.01.2021
http://druk.pp.ua (росіянами) - 15.03.2022
http://forum.writer-works.net (росіянами) - 15.03.2022

Опубліковано в Новини сайту, Дослідження | Без Коментарів »

Websecurity - Веб безпека

Уразливості в плагінах для WordPress №354

Мої відео та додатки на Flash

Добірка експлоітів

Похакані сайти №397

Діяльність Українських Кібер Військ

Вийшли PHP 8.0.27, 8.1.14 і 8.2.1

Уразливості в плагінах для WordPress №353

Діяльність Українських Кібер Військ

Витоки інформації про файли на сайтах

Похакані сайти №396

Меню

Категорії

Останні повідомлення

Архів +-

Мета