Websecurity - Веб безпека

За повідомленням ain.ua, МВС України закрило проект hack-ентузіастів VX Heavens.

МВС України припинило роботу веб проекта VX Heavens, що довгий час служив площадкою для hack-ентузіастів. Як повідомляється на головній сторінці проекту, “у п’ятницю, 23 березня, сервер був вилучений співробітниками міліції в зв’язку з порушенням кримінальної справи по статті 361-1 КК України (Створення шкідливих програм з метою поширення чи збуту) по сигналу про “розміщення для вільного доступу шкідливих програмних засобів, призначених для несанкціонованого втручання в роботу електронно-обчислювальних машин, автоматизованих систем, комп’ютерних мереж”. Абсурдність даного твердження нам доведеться доводити в суді”.

Окрім закриття міліцією сайтів, що публічно займалися розповсюдженням вірусів (наприклад, їх продажем), подібне закриття сайтів може бути спровоковане через дірки на сайтах, про що я напишу окрему статтю.

За повідомленням www.xakep.ru, статистика по ДБО від Центробанку РФ.

Центральний банк Російської Федерації опублікував статистику за 2011 рік по шахрайствах, чиненим за допомогою терміналів, банкоматів та інших засобів дистанційного банківського обслуговування (ДБО). Цифри оголосив начальник головного управління безпеки і захисту інформації Банку Росії Олег Крилов на засіданні круглого столу з проблем безготівкових і готівкових розрахунків.

Торік обсяг фродових транзакцій через ДБО виріс на 40%. Перше місце займають розкрадання через віддалені термінали, на їхню частку приходиться 58% обсягу фрода, 40% коштів викрадається через банкомати, а 2% приходяться на електронні гроші.

За повідомленням ain.ua, збиток від шахрайства в сфері українського інтернет-банкінга перевищив 9 млн. гривень за рік.

У 2011 році зловмисники подвоїли кількість неправомірних операцій із платіжними системами і банківськими картами в Україні, зумівши вкрасти майже в півтора рази більше коштів: 9,1 млн. грн. Представники банків і платіжних систем скаржаться, що основні проблеми виникають при інтернет-платежах, а також через крадіжку персональних даних шляхом скіммінга. Чипові картки можуть зробити транзакції захищеними, але експерти ремствують на низькі темпи їхнього впровадження.

За період з 25.10.2010 по 19.03.2012 відбувся масовий взлом сайтів на сервері Cityhost. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Cityhost. Взлом складався з серії взломів і останній взлом відбувся після згаданого масового взлому сайтів на сервері CityNet.

Всього було взломано 46 сайтів на сервері української компанії CityNet (IP 77.120.115.235). Це наступні сайти: rvk.stsrda.gov.ua, rvo.sambirrda.gov.ua, sambirrada.gov.ua, tour.stsrda.gov.ua, ved.svittancu.com.ua, artisthall.com, svittancu.com.ua, test.svittancu.com.ua, www.tramtata.net.ua, impulsbud.com, stabilizatora.net, ukrgasoil.com, www.akit.in.ua, advokat.delok.info, delok.info, ferokupidon.com, poluneeva.org.ua, dobro-diy.com.ua, foto.delok.info, nicer.com.ua, ajure.com.ua, lsu.kiev.ua, georgia-tour.com, radojavor.com, test.delok.info, ur-poslugi.com.ua, avto-boss.com.ua, h.akit.com.ua, test2.delok.info, utic.com.ua, taxi-boss.com.ua, akit.com.ua, brendonmusic.com, jt-fashion.net, for-tour.com.ua, chehoeva.com, www.fds-sales.ru, www.lesnoyray.com, grafplast.com.ua, sharanet.com.ua, www.nimchenko-design.com.ua, rubin.kharkov.ua, www.niidkif.org.ua, www.klt.org.ua, kofeinbest.com.ua, x.akcia.kiev.ua. Серед них українські державні сайти rvk.stsrda.gov.ua, rvo.sambirrda.gov.ua, sambirrada.gov.ua та tour.stsrda.gov.ua.

З зазначених 46 сайтів 4 сайти були взломані хакерами з LatinHackTeam, 4 сайти хакером ghost-dz, 1 сайт хакерами з 1923Turk, 7 сайтів хакером iskorpitx, 25 сайтів хакером Torres, 1 сайт хакером kaMtiEz, 3 сайти хакером EraGoN та 1 сайт хакером Big-SMoke.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх 25 сайтів, немає сумнівів, що вони були взломані Torres через взлом серверу хостінг провайдера (всі інші дефейси проводилися під час взломів окремих сайтів). Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

05.02.2012

У грудні, 01.12.2011, я знайшов Denial of Service уразливість на відомому сайті http://plimus.com. Про що найближчим часом сповіщу адміністрацію сайта.

Plimus - це популярна е-комерс система, що дозволяє продавати та купувати товари і послуги через свій сайт. І його власники заявляють про відповідність PCI DSS, при цьому маючи уразливості на сайті. Стосовно дірок на сайтах онлайн магазинів та електронних платіжних систем в останнє я писав про уразливості на www.allmoney.com.ua.

Детальна інформація про уразливість з’явиться пізніше.

30.05.2012

DoS:

https://secure.plimus.com/servlet/humanity.jpg?imageWidth=10000&imageHeight=10000

Використовуючи великі значення в параметрі imageWidth, imageHeight або в обох параметрах можна спожити всю пам’ять сервера. Про аналогічні DoS уразливості в багатьох веб додатках, в тому числі в Megapolis.Portal Manager, що використовується на багатьох українських державних сайтах та сайтах спецслужб, я вже писав раніше.

Дана уразливість досі не виправлена. Що несерйозно для відомого е-комерс сайта.

Як я писав раніше, в 2011 році в ЄС прийняли закон стосовно cookies, а в деяких країнах ЄС, зокрема в Великобританії, вступ в дію закону відсрочили на рік. І даний закон може призвести до штрафів власникам сайтів, що його не дотримуються, в тому числі це може призвести до закриття сайтів (якщо сума штрафу буде занадто велика для власника сайту, щоб продовжувати його роботу).

Розглянемо цей закон ЄС в контексті штрафів та закриття сайтів. Подібно до всіх тих випадків в законодавсті України, про які я неодноразово писав з 2008, що призводили до закриття сайтів. В останнє я писав про закриття сайтів через обшук податкової.

Цей закон називається EU Cookie Law. Ви можете ознайомитися з детальним поясненням всіх особливостей даного закону в статті Definitive guide to the Cookie Law, в тому числі методів, які власники сайтів можуть використати для дотримання чи не дотримання даного закону. На даний час сайти в Євросоюзі переважно не дотримуються даного закону, але враховуючи, що це діючий закон ЄС, всім сайтам, які підпадають під дію цього закону, бажано його дотримуватися.

З травня 2011 цей закон вніс такі зміни в законодавство про онлайн приватність в ЄС, що у відвідувачів сайтів повинні запитувати дозволу перед використанням кукісів (окрім визначених випадків, таких як форми логіна). Один рік був наданий (як мінімум в UK) для веб сайтів, щоб вони змінили методи своєї роботи відповідно до нового закону і з 26.05.2012 цей закон почав діяти в повну силу (в даному випадку в UK).

Це означає, що сайти, які не відповідають новому закону, можуть бути оштрафовані (на суму до 500000 євро). Як зазначається, зокрема на вищезгаданому сайті, цей закон стосується всіх сайтів направлених на аудиторію ЄС (і власники яких є зарєєстованими компаніями на території ЄС). Тобто не тільки сайти в країнах ЄС (для локальної аудиторії), але всі сайти для аудиторії ЄС.

Що це означає для веб сайтів.

Вони повинні змінити звичайний метод роботи з кукісами (який використовується з часу створення HTTP cookies), тобто “прихований метод”, і почати використовувати “голосний метод” - запитувати кожного користувача і відвідувача перед встанновлення кукісів.

Поточна ситуація.

Я бачив деякі сайти ЄС, включаючи вищезгадані сайти, які запитували перед встановленням кукісів, але небагато сайтів. Більшість сайтів ЄС, які я відвідав за останній рік, не робили цього, тому вони є не сумісними з EU Cookie Law.

Як я перевірив декілька популярних сайтів в ЄС напередодні 26.05.2012, ситуація з сумісністю до нового закону була наступна:

http://www.google.fr - не сумісний (приховано встановив два кукіси)

http://www.google.de - не сумісний (приховано встановив два кукіси)

http://fr.yahoo.com (редирект з yahoo.fr) - не сумісний (приховано встановив сім кукісів)

http://www.bing.com/?cc=fr (редирект з bing.fr) - не сумісний (приховано встановив одинадцять кукісів)

http://ec.europa.eu - на головній сторінці не встановлює кукіси, але після того, як я відвідав наступну сторінку, він встановив один кукі.

Аспект безпеки в даному законі.

Існує зв’язок між законом ЄС стосовно cookies та безпекою веб сайтів. Якщо сайт буде взломаний і кукіси будуть встановлені відвідувачам приховано (автоматично), то цей сайт може бути оштрафований - навіть якщо по замовчуванню цей сайт сумісний закону ЄС (запитує перед встанновленням кукісів).

Так що уразливості на будь-якому сайті (що підпадає під законодавство ЄС) можуть наразити його на штрафи в ЄС в зв’язу з цим законом. І це можуть бути як серйозні уразливості, що призводять до повної компрометаці сайта, так і Cross-Site Scripting (persistent XSS чи навіть reflected XSS) або HTTP Response Splitting уразливості. Тому що за допомогою XSS і HTTPRS уразливостей можна встановлювати кукіси - що робить ці сайти не відповідними до нового закону. Тому даний закон є гарною нагодою для власників веб сайтів для покращення їхньої безпеки.

Минулого місяця, 24.04.2012, вийшов Mozilla Firefox 12. Нова версія браузера вийшла через півтора місяця після виходу Firefox 11.

Mozilla офіційно представила реліз веб-браузера Firefox 12. Крім того, випущений коригувальний реліз гілки з тривалим терміном підтримки - Firefox 10.0.4, підтримка гілки 3.6.x припинена. Реліз Firefox 13 очікується в середині червня, а Firefox 14 вийде в кінці липня.

Також був випущений Thunderbird 12, а згодом і Firefox 12 for Android та Seamonkey 2.9. Нагадаю, що версія Firefox 11 for Android була пропущена через неготовність реліза.

Окремо варто відзначити, що крім нововведень і виправлення помилок у Firefox 12.0 усунуто 8 уразливостей, серед яких присутні 3 проблеми, що мають високий ступінь небезпеки, і 2 критичні проблеми, що можуть привести до виконання коду зловмисника при відкритті спеціально оформлених сторінок. Критичні уразливості знайдені в коді перевірки шрифтів OpenType і в реалізації WebGL-функції textImage2D.

• Релиз web-браузера Firefox 12 и почтового клиента Thunderbird 12 (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://nbuv.gov.ua - інфікований державний сайт, інфекція була виявлена 22.05.2012. Зараз сайт не входить до переліку підозрілих.
• http://simonischool.at.ua - інфекція була виявлена 28.03.2012. Зараз сайт не входить до переліку підозрілих.
• http://medsjoy.biz - інфекція була виявлена 27.05.2012. Зараз сайт не входить до переліку підозрілих.
• http://tcp.com.ua - інфекція була виявлена 23.05.2012. Зараз сайт не входить до переліку підозрілих.
• http://campton.pp.ua - інфекція була виявлена 28.03.2012. Зараз сайт не входить до переліку підозрілих.

Після минулорічного звіту про інфікованість Уанета, наведу нову порівняльну статистику інфікованості Уанета за останні роки.

Статистика буде за 2009 - 2011 роки. Статистичні дані базуються на моїх дослідженнях хакерської активності в Уанеті в 2009, 2010 і 2011 роках.

За весь 2009 рік в Уанеті було інфіковано 67 веб сайтів.

За весь 2010 рік в Уанеті було інфіковано 264 веб сайтів.

За весь 2011 рік в Уанеті було інфіковано 233 веб сайтів.

Велика кількість заражених сайтів свідчить про зростання кримінальних взломів сайтів (коли на взломаних сайтах розміщуються віруси). Деяке зменшення кількості інфікованих сайтів в 2011 році явно пов’язане з тим, що торік я менше займався дослідженням інфікованих сайтів із-за своєї зайнятості.

Динаміка зараження сайтів в Уанеті.

В 2009 році активність зросла на 1575% порівняно з 2008 роком (зростання в 16,75 рази).

В 2010 році активність зросла на 294% порівняно з 2009 роком (зростання в 3,94 рази). В порівнянні з 2008 роком активність зросла на 6500% (в 66 разів).

В 2011 році активність зменшилась на 11% порівняно з 2010 роком (спад в 1,1 рази). В порівнянні з 2008 роком активність зросла на 5725% (в 58,25 разів).

Як видно зі статистики, кількість інфікованих сайтів в Уанеті в останні роки стабільно велика.

В цьому місяці в журналі “Web App Pentesting” була опублікована моя стаття. В травневому номері журналу Web App Pentesting 05/2012, що вийшов 22.05.2012, опублікована стаття “Обхід веб антивірусів” (Bypassing web antiviruses).

В ній розповідається про такий метод обходу веб антивірусів, як клоакінг (який відомий ще з 90-х і використовувався для SEO цілей). Просунуте використання клоакінгу передбачає аналіз таких параметрів відвідувачів сайтів як User-Agent, IP та DNS, для виявлення веб антивірусів та приховання від них. Тому всі розробники систем пошуку вірусів на веб сайтах повинні враховувати це для протистояння malware.

Дана стаття базується на двох моїх попередніх статтях: Обхід систем для пошуку вірусів на веб сайтах та Ефективне використання клоакінгу проти веб антивірусів. Вона вміщує як матеріали цих статей, так і нову інформацію. Й детально описує методи, які malware може використати для приховання від веб антивірусів.

P.S.

Виклав на сайті повну версію статті Bypassing Web Antiviruses.

У травні, 18.05.2012, під час пентесту, я виявив нову Cross-Site Scripting уразливість в Yandex.Server (Яндекс.Сервер). Причому в версії Яндекс.Сервер Enterprise, але Free Edition також повинна бути уразливою.

Раніше я вже писав про уразливості в пошуці Яndex.Server.

XSS:

http://site/search/?text=%27);alert(document.cookie)//

Уразливі Yandex.Server 2010 9.0 Enterprise та попередні версії.

За повідомленням www.xakep.ru, відеокамери спостереження відкриті для хакерів.

Американська компанія Gotham Digital Science разом з розробниками Metasploit з команди Rapid7 випустили новий модуль cctv_dvr_login для взлому, тобто тестування на проникнення, відеокамер зовнішнього спостереження (CCTV).

Використання дефолтних чи простих паролів є поширеним у веб інтерфейсах як веб камер, так і CCTV камер.

За повідомленням ain.ua, з 26 травня вводяться нові правила ЄС стосовно використання cookies на сайтах.

Закон Євросоюзу про нову політику ресурсів стосовно використання cookies був прийнятий у 2011 році, але в ICO (Information Commissioner’s Office) прийняли рішення відстрочити вступ закону в силу на 1 рік. І з 26 травня 2012 року сайти, що не відповідають вимогам нового європейського законодавства про онлайн конфіденційність, можуть бути оштрафовані на суму 500000 євро. Якщо коротко, то новий закон вимагає, щоб веб сайт одержував дозвіл від відвідувачів перш, ніж записувати cookies на їх ПК.

Окрім підвищення приватності користувачів та створення додаткової мороки з кукісами для власників сайтів в ЄС, також це призведе до штрафів для сайтів, що не відповідають новому законодавству. В тому числі ці штрафи можуть бути спровоковані через дірки на сайтах, про що я напишу окрему статтю.

За повідомленням bugtraq.ru, CGI-уразливість в PHP: другий підхід до снаряда.

The PHP Group із другої спроби все-таки закрила уразливість, що дозволяє на деяких конфігураціях переглядати вихідні коди скриптів, виконувати віддалений код і т.п. Крім того, PHP 5.4.3 і PHP 5.3.13 закривають ще одне переповнення буфера у функції apache_request_headers.

Треба сказати, що cgi-уразливість не залишилася без уваги зломщиків - так, хостінг-провайдер Dreamhost за час, що пройшов з моменту її обнародування, зафіксував 234076 спроб її використання на 151275 окремих доменах.