Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.lr-pl.gov.ua (хакером Mr.XHat) - 19.03.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://balta.odessa.gov.ua (хакерами з LatinHackTeam) - 07.03.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://www.villavaleria.in.ua (хакером iskorpitx) - 03.06.2011, зараз сайт вже виправлений адмінами
• http://www.business-academy.com.ua (хакером KiLLerMiNd) - 07.06.2011, зараз сайт вже виправлений адмінами
• http://www.boxers.com.ua (хакером urbanr00ts) - 05.2012, зараз сайт вже виправлений адмінами

Продовжуючи розпочату традицію, після попереднього відео про експлоіт для Firefox та IE, пропоную нове відео на веб секюріті тематику. Цього разу відео про URL Bar Spoofing в Google Chrome. Рекомендую подивитися всім хто цікавиться цією темою.

Google Chrome Webkit URL Bar Spoof

В ролику демонструється URL Bar Spoofing уразливість в браузері Google Chrome (та інших браузерах на Webkit, таких як Safari). Дана уразливість дозволяє підробити URL в адресному рядку браузера (що може бути використано для проведення фішинг атак). Спочатку в адресному рядку відображається одна адреса, а потім, після короткотривалого повідомлення про помилку, у вікні відображується інша адреса (при збереженні сторінки попереднього сайта).

Атака відбувається при відвідуванні в Chrome спеціально створеного веб сайта, що містить код експлоіту. Рекомендую подивитися дане відео для розуміння векторів атак на браузери.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://ppu.gov.ua - інфікований державний сайт, інфекція була виявлена 11.04.2012. Зараз сайт входить до переліку підозрілих.
• http://karier.crimea.ua - інфекція була виявлена 22.04.2012. Зараз сайт не входить до переліку підозрілих.
• http://tuib.com.ua - інфекція була виявлена 22.04.2012. Зараз сайт не входить до переліку підозрілих.
• http://orienteering.dp.ua - інфекція була виявлена 14.05.2012. Зараз сайт не входить до переліку підозрілих.
• http://5fg4.pp.ua - інфекція була виявлена 28.03.2012. Зараз сайт не входить до переліку підозрілих.

У травні, 03.05.2012, вийшли PHP 5.3.12 та PHP 5.4.2. В яких виправлена критична уразливість. Дані релізи направлені на покращення безпеки гілок 5.3.x і 5.4.x.

Cеред секюріті виправлень в PHP 5.3.12 та PHP 5.4.2:

• Виправлена можливість відправки довільних команд PHP інтерпретатору.

До цієї атаки уразливі деякі CGI-орієнтовані інсталяції (Apache+mod_php і nginx+php-fpm не є вразливими). Команди передаються PHP інтерпретатору через спеціальні GET або HEAD запити. Зокрема за допомогою команди (ключа) “-s” можна читати вихідні коди скриптів.

Для перевірки на наявність даної уразливості в PHP на сервері потрібно відправити наступний запит:
http://site_on_php/?-s

Окрім патча, розробники PHP також запроновували метод захисту від цієї атаки за допомогою правил mod_rewrite. Але ці правила виявилися неефективними й їх можна було легко обійти, тому вже через три дні вони випустили новий варіант правил mod_rewrite для захисту від цієї атаки.

По матеріалам http://www.php.net.

В даній добірці уразливості в веб додатках:

• Cisco Firewall Services Module Crafted Protocol Independent Multicast Message Denial of Service Vulnerability (деталі)
• Tufin SecureTrack Cross Site Script (деталі)
• Hotel Booking Portal SQL Injection (деталі)
• phpPaleo Local File Inclusion (деталі)
• e-ticketing SQL Injection (деталі)
• Multiple Vulnerabilities in Cisco ASA 5500 Series Adaptive Security Appliances and Cisco Catalyst 6500 Series ASA Services Module (деталі)
• Multiple vulnerabilities in osCmax (деталі)
• Astaro Command Center v2.x - Multiple Web Vulnerabilities (деталі)
• Vulnerabilities in phpMyAdmin (деталі)
• typo3-src security update (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://vetlabresearch.gov.ua (хакером F.L.H) - 02.03.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://artemivsk-rada.gov.ua (хакером AL.MaX HaCkEr) - 04.04.2012 - похаканий державний сайт, зараз сайт вже виправлений адмінами
• http://dostavkasushi.kiev.ua (хакером s4udi-h4ck) - 04.06.2011, зараз сайт вже виправлений адмінами
• http://nabat.mk.ua (хакером xrootx) - 18.05.2012, зараз сайт вже виправлений адмінами
• http://iardi.org (хакером ghost-dz) - 14.05.2012, зараз сайт вже виправлений адмінами

Як я вже писав минулого місяця, через перевірку податкової призупинили свою роботу інтернет-магазини Rozetka.ua і Sokol.ua. Окрім сайтів, також на час перевірки були закриті й офлайнові магазини цих компаній. Закриття сайтів цих інтернет-магазинів було тимчасовим, пов’язане з перевірками податкової адміністрації та обшуком УБОЗом офіса Sokol.ua.

Подібна переспектива може стосуватися будь-яких е-комерс сайтів, в першу чергу онлайн магазинів, аптек та аукціонів. Тобто тих, хто заробляє великі суми коштів при торгівлі в Інтернеті.

З даних інцидентів цілком очевидно, що не тільки СБУ і МВС можуть закривати сайти через порушення законодавства (про такі випадки я писав неодноразово), а також і ДПС. Щоб унеможливити подібні закриття сайтів у майбутньому обидва магазини перевели хостінги своїх сайтів закордон.

Головною особливістю цих інцидентів було те, що самі правоохоронці сайти спеціально не закривали (як вони заявляють), а лише проводили перевірки. Зокрема в тих приміщеннях цих компаній, де знаходилися сервери, на яких розміщувалися сайти. І відповідно під час обшуків всі комп’ютери вимикалися, як це завжди у нас буває, в тому числі й сервери. Але це стосується Sokol.ua, а сайт Rozetka.ua знаходився у хостер провайдера Mirohost і незважаючи на заяви податкової, що вони не закривали даний сайт, але саме вони вилучили сервер з сайтом у хостінг провайдера.

Подібна ситуація була торік з сайтом Фокстрота, про що я писав в статті Закриття сайтів по політичним мотивам. Вони також тримали сервер з сайтом в своєму офісі й під час обшуків МВС він перестав працювати. Але тоді сайт не працював довший час, вірогідно тому, що сервер було вилучено. Тому варто тримати сайти на серверах хостінг провайдерів, щоб уникнути подібних ситуацій. А щоб повністю їх унеможливити - у закордонних хостінг провайдерів.

Стосовно різних причин закриття сайтів правоохоронними органами, то можна сказати, що закриття сайтів через обшук податкової можна зініціювати й через взлом сайта. Наприклад, взломати сайт і вказати дані про доходи в декілька разів вищі, а потім скинути інформацію про це у податкову. Коли вони ознайомляться з “офіційними даними” на сайті, які будуть відрізнятися від задекларованих доходів і сплачених податків, ДПС проведе перевірку в офісі, яка можна призвести до переривання роботи сайта. Або просто можуть дати “наводку” податківцям. Наприклад, на Sokol.ua подав жалобу колишній клієнт магазину.

І навіть якщо буде доведено, що це був лише взлом сайта і вказана інформація не відповідає дійсності, але все рівно будуть знайдені факти ухиляння від сплати податків, то власники такого е-комерс сайта можуть потрапити під кримінальний кодекс. Так що всім адмінам і власникам е-комерс сайтів варто слідкувати за безпекою власних сайтів, щоб не потрапити у таку ситуацію - щоб не було ні закриття сайтів, ні інших проблем (як у цих трьох онлайн магазинів).

В даній добірці уразливості в веб додатках:

• Multiple permanent XSS vulnerabilities in EMC Documentum eRoom (деталі)
• Prado TJavaScript::encode() script injection vulnerability (деталі)
• PHP Grade Book Unauthenticated SQL Database Export (деталі)
• phpMoneyBooks Local File Inclusion (деталі)
• Matthew1471s ASP BlogX - XSS Vulnerabilities (деталі)
• EMC Documentum eRoom Multiple Vulnerabilities (деталі)
• Multiple Vulnerabilities in NextBBS 0.6.0 (деталі)
• Cross-site scripting vulnerability in Invision Power Board version 3.2.3 (деталі)
• tryton-server security update (деталі)
• Multiple Vulnerabilities in Coppermine 1.5.18 (деталі)

Відкрив на сайті новий розділ Безпечні веб додатки, де я буду розміщувати веб додатки в яких я сам виправив усі уразливості. Це можуть бути веб додатки, які я сам використовую, тому виправив в них уразливості, або ті веб додатки, виправлення уразливостей в яких було оплачено моїми клієнтами.

Зараз в даному розділі розміщений один безпечний веб додаток. Це плагін Register Plus Redux для WordPress, в якому я виправив усі уразливості (всього 38 дірок). Як я писав в новинах раніше, наприкінці минулого року один мій клієнт замовив повний аудит безпеки даного плагіну та виправлення уразливостей в ньому. І всі бажаючі можуть замовляти в мене виправлення дірок в будь-яких веб програмах - переробку дірявих додатків на безпечні .

Після створення безпечної версії Register Plus Redux минулого року, я надав її моєму клієнту. А цього року я надав мою версію плагіна розробнику Register Plus Redux, щоб він міг використати мої виправлення в своєму коді.

А з початку травня я розмістив архів з плагіном в себе на сайті для всіх бажаючих його отримати і ось нарешті відкрив розділ, де всі бажаючі зможуть його скачати. Так що користуйтесь безпечними веб додатками.

Виявлена можливість пошкодження пам’яті в Adobe Flash Player.

Уразливі версії: Adobe Flash Player 10.3, Flash Player 11.1, Flash Player 11.2.

Пошкодження пам’яті при роботі з об’єктами. Дана уразливість активно використовувалася в травні для атак в Інтернеті.

• Security update available for Adobe Flash Player (деталі)