Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.khotynvlada.gov.ua (хакером shmook) - 29.05.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://dongfu.pp.ua (хакером AL.MaX HaCkEr) - 07.05.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://inorgchem.cv.ua (хакером AL.MaX HaCkEr) - 04.04.2012, зараз сайт вже виправлений адмінами
• http://www.astrasv.com (хакером CiKkzZ)
• http://ugv.com.ua (хакером Sniper_m@r) - 21.07.2012, зараз сайт вже виправлений адмінами

У липні місяці Microsoft випустила 9 патчів. Що більше ніж у червні.

У липневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 9 бюлетенів по безпеці. Що закривають 16 уразливостей в програмних продуктах компанії. З них 3 патчі закривають критичні уразливості, а 6 патчів закривають важливі уразливості.

Дані патчі стосуються всіх поточних операційних систем компанії Microsoft - Windows XP, 2003, Vista, 2008, 7 та 2008 R2. А також Internet Explorer, Microsoft Office, Office Web Apps 2010, Sharepoint та Groove Server 2010.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах editormonkey, Count Per Day та Front End Upload. Для котрих з’явилися експлоіти. editormonkey - це новий rich-редактор для WP, Count Per Day - це плагін для ведення статистики відвідувань, Front End Upload - це плагін для надання можливості завантажувати файли на сайт.

• Wordpress (editormonkey) Arbitrary File Upload Vulnerability (деталі)
• WordPress Plugin ‘Count Per Day’ 3.1.1 Multiple Cross-site scripting vulnerabilities (деталі)
• WordPress Front End Upload 0.5.4.4 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Досліджуючи взломані та інфіковані державні сайти, я звертаю увагу на їхні хостінги. Особливо це актуально, коли gov.ua сайти розміщуються на дірявих хостінгах і вони стають жертвами масових взломів. Наприклад, під часу масового дефейсу на сервері VinNest були взломані 3 державні сайти, а не сервері Візор - 12 gov.ua сайтів. Тобто чим більше державних сайтів на одному сервері, тим більше можуть бути взломані за один раз.

І я неодноразово зустрічав державні сайти, що розміщуються не на українських хостінгах, а за кордоном. Серед таких сайтів наступні:

• kprda.gov.ua (Германія)
• guonkh.gov.ua (США)
• kolomakrda.gov.ua (США)
• www.gorodok-vlada.gov.ua (Германія)
• sts-rrada.gov.ua (Германія)
• stakherson.gov.ua (Германія)
• yalta-gs.gov.ua (США)

Це дані лише за 2011-2012 роки і лише за одним джерелом. Враховуючи, що взломи та інфікування я знаходжу за багатьма джерелами, то мені траплялося набагато більше державних сайтів на іноземних хостінгах.

Розміщення державних сайтів на серверах інших країн я вважаю серйозною проблемою. Особливо, якщо на цих ресурсах міститься будь-яка важлива, конфіденційна чи секретна інформація. Яка легко може бути отримана хостером або спецслужбами тієї країні, де розміщений сервер, не кажучи вже про хакерів (що можуть отримати цю інформацію через дірки на сайті чи сервері). Це як здача національних інтересів. Додам, що я не знаю жодної країни, де б державні сайти розміщувалися за кордоном - а в Україні таких сайтів багато. Що є несерйозним і це потрібно виправляти.

У липні, 19.07.2012, вийшли PHP 5.3.15 та PHP 5.4.5. В яких виправлена одна уразливість, а також виправлено більше 30 багів. Дані релізи направлені на покращення безпеки гілок 5.3.x і 5.4.x.

Серед секюріті виправлень в PHP 5.3.15 та PHP 5.4.5:

• Виправлена buffer overflow уразливість в реалізації stream.

По матеріалам http://www.php.net.

08.03.2012

У лютому, 28.02.2012, я знайшов Abuse of Functionality, Insufficient Anti-automation та Cross-Site Scripting уразливості на сайті http://stopthehacker.com. Це секюріті сервіс що є конкурентом моій Web VDS. Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

27.07.2012

AoF:

http://panel.stopthehacker.com/services/validate-payflow?target=http://site&email=1@1.com&callback=a

Можна проводити атаки на інші сайти. Про що я писав в своїй статті Використання сайтів для атак на інші сайти.

IAA:

Із-за відсутності захисту від автоматизованих запитів (капчі) в даному функціоналі, атаки на інші сайти можна автоматизувати. Наприклад, з використанням DAVOSET.

XSS:

http://panel.stopthehacker.com/services/validate-payflow?target=%3Cbody%20onload=alert(document.cookie)%3E&email=1@1.com&callback=a

Якщо XSS дірка вже виправлена, то Abuse of Functionality та Insufficient Anti-automation уразливості досі не виправлені.

У червні, 14.06.2012, вийшли PHP 5.3.14 та PHP 5.4.4. В яких виправлені дві уразливості, а також виправлено більше 30 багів. Дані релізи направлені на покращення безпеки гілок 5.3.x і 5.4.x.

Серед секюріті виправлень в PHP 5.3.14 та PHP 5.4.4:

• Виправлена слабкість в реалізації DES функції crypt.
• Виправлена heap overflow уразливість в розширені phar.

По матеріалам http://www.php.net.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://cube.lviv.ua - інфекція була виявлена 15.06.2012. Зараз сайт не входить до переліку підозрілих.
• http://hc.donetsk.ua - інфекція була виявлена 15.06.2012. Зараз сайт не входить до переліку підозрілих.
• http://warrior.in.ua - інфекція була виявлена 29.05.2012. Зараз сайт не входить до переліку підозрілих.
• http://luxmebel.net.ua - інфекція була виявлена 05.07.2012. Зараз сайт не входить до переліку підозрілих.
• http://luglawyer.ucoz.ua - інфекція була виявлена 16.07.2012. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• SQL injection in python-sqlalchemy (деталі)
• GuestBook Scripts PHP v1.5 - Multiple Web Vulnerabilites (деталі)
• CLscript CMS v3.0 - Multiple Web Vulnerabilities (деталі)
• 7sepehr SQL Injection Vulnerability (деталі)
• HP Performance Manager Running on HP-UX, Linux, Solaris and Windows, Remote Execution of Arbitrary Code, Denial of Service (DoS) (деталі)
• 7sepehr SQL Injection Vulnerability (деталі)
• 7sepehr SQL Injection Vulnerability (деталі)
• Blind SQL Injection in Webmatic (деталі)
• Microsoft Security Bulletin MS12-039 - Important Vulnerabilities in Lync Could Allow Remote Code Execution (2707956) (деталі)
• PHP NUKE ALL VERSION MULTI VULNERABILITY (деталі)

У липні, 17.07.2012, вийшов Mozilla Firefox 14. Нова версія браузера вийшла через півтора місяця після виходу Firefox 13 і майже через місяць після Firefox 13.0.1.

Mozilla офіційно представила реліз веб-браузера Firefox 14. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.6. Реліз Firefox 15 намічений на 28 серпня, а Firefox 16 на 9 жовтня.

Також були випущені Thunderbird 14 і Seamonkey 2.11, а Firefox 14 для Android вийшов ще 26 червня.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 14.0 усунуто 18 уразливостей, серед яких 9 позначені як критичні, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок.

• Релиз web-браузера Firefox 14 и почтового клиента Thunderbird 14 (деталі)