Websecurity - Веб безпека

Два роки тому я вже писав про безпечний пошук і наводив перелік пошукових систем, що мають захист від шкідливого програмного забпечення (malware). А також вони захищають від фішингу (як мінімум Google та Yahoo). Про ефективність даних систем, як вбудованих антивірусів в пошуковці, так і окремих систем пошуку вірусів на веб сайтах, я писав в своєму дослідженні Тестування систем пошуку вірусів на веб сайтах та в своїй статті в журналі Системний адміністратор за липень 2011 року.

Тоді це були пошукові системи Google, Yahoo та Яндекс. І я чекав, хто ж з відомих пошуковців наступним запровадить вбудований захист від malware. І на початку квітня я дізнався про таку систему - це Bing. І хоча я прочитав про це лише нещодавно, вбудований захист від malware в Microsoft Bing з’явився ще в 2009 році.

З виходом Internet Explorer 8 19.03.2009, в браузері був доданий захист від шкідливих і фішинг сайтів під назвою SmartScreen. Фільтр SmartScreen є в IE8 та IE9 (в IE7 був лише Phishing Filter). Тобто починаючи з восьмої версії всі браузери Microsoft підтримують цю технологію захисту.

І в тому ж році, 17.06.2009, компанія Microsoft додала захист від шкідливого ПЗ в свою пошукову систему Bing. Якщо в IE ця технологія захисту називається SmartScreen filter, то в Bing - Malware Filter. Але це одна і та сама технологія (тобто malware фільтр в Bing базується на SmartScreen).

Зазначу, що Microsoft зі своєю пошуковою системою були одними з головних потенційних клієнтів моєї системи WebVDS. Так що, якщо б її розробка була завершена в 2008 і вона була запущена, то Майкрософту не довелось бы створювати в 2009 свою SmartScreen, а вони могли б використовувати мою WebVDS.

В даній добірці уразливості в веб додатках:

• HP Network Automation Running on Linux, Solaris, and Windows, Remote Unauthorized Access (деталі)
• Security advisory for Bugzilla 4.2rc1, 4.0.3, 3.6.7 and 3.4.13 (деталі)
• OpenKM 5.1.7 Privilege Escalation (деталі)
• OpenKM 5.1.7 OS Command Execution (XSRF based) (деталі)
• Tinyguestbook XSS (деталі)
• mutant200s DreamBox Arbitrary File Download Vulnerability (деталі)
• Bugzilla: Cross-Site Scripting in Chart Generator (деталі)
• SQL Injection Vulnerability in OpenEMR 4.1.0 (деталі)
• Cross-Site Scripting Vulnerability in Textpattern Content Management System (деталі)
• Multiple vulnerabilities in ImpressCMS (деталі)

В цьому місяці в журналі “PenTest Regular” була опублікована моя стаття (на англійській мові). В квітневому номері журналу PenTest Regular 04/2012, що вийшов 02.04.2012, опублікована стаття “Просунуті методи обходу блокування на веб сайтах” (Advanced Methods of Bypassing of Blockings at Web Sites).

В ній розповідається про такі методи блокування, що використовуються на сайтах, як капчі та блокування по IP. Та розповідається про просунуті методи їх обходу.

Дані методи блокування використовуються для секюріті цілей, тому вони повинні бути надійними. Але не всі ці методи є надійними (хоча існують такі стереотипи) й існують методи їх обходу, про що я розповів у своїй статті. Тому веб розробники і адміни веб сайтів повинні знати про це.

Дана стаття базується на двох моїх минулорічних статтях: Обхід капч та блокування на сайтах та Обхід блокування по IP на сайтах. Вона вміщує як матеріали цих статей, так і нову інформацію. В тому числі містить скріншоти для наглядної демонстрації методу обходу блокування на сайтах.

В себе на сайті я виклав тізер журналу, в якому наводиться фрагмент моєї статті.

P.S.

Виклав на сайті повну версію статті Advanced Methods of Bypassing of Blockings at Web Sites.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://r-p.com.ua - інфекція була виявлена 04.04.2012. Зараз сайт не входить до переліку підозрілих.
• http://autopc.com.ua - інфекція була виявлена 02.04.2012. Зараз сайт не входить до переліку підозрілих.
• http://vertushka.com.ua - інфекція була виявлена 06.04.2012. Зараз сайт входить до переліку підозрілих.
• http://upk.ua - інфекція була виявлена 03.04.2012. Зараз сайт не входить до переліку підозрілих.
• http://sloboda.com.ua - інфекція була виявлена 04.04.2012. Зараз сайт не входить до переліку підозрілих.

Виявлена можливість проведення DoS атаки проти PHP.

Уразливі версії: PHP 5.3, PHP 5.4.

Вичерпання ресурсів у функціях роботи з регулярними виразами POSIX.

• PHP 5.4/5.3 deprecated eregi() memory_limit bypass (деталі)

В даній добірці уразливості в веб додатках:

• RSA, The Security Division of EMC, announces security fixes for RSA enVision (деталі)
• mediawiki security update (деталі)
• Multiple vulnerabilities in PHPShop CMS Free (деталі)
• Tiki Wiki CMS Groupware Stored Cross-Site-Scripting (деталі)
• Multiple vulnerabilities in epesi BIM (деталі)
• NX Web Companion Spoofing Arbitrary Code Execution Vulnerability (деталі)
• Cross-Site Scripting Vulnerability in phpMyAdmin (деталі)
• Tiki Wiki CMS Groupware <= 8.2 (snarf_ajax.php) Remote PHP Code Injection (деталі)
• cacti security update (деталі)
• Winn Guestbook v2.4.8c Stored XSS (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Flexible Custom Post Type, Dean’s With Pwwangs Code та WordPress Integrator. Для котрих з’явилися експлоіти. Flexible Custom Post Type - це плагін для створення довільних типів постів та довільних таксономій, Dean’s With Pwwangs Code - це плагін для заміни вбудованого редактора WP на FCKeditor with pwwang’s code, WordPress Integrator - це плагін для виведення статистики движка на не WP частинах сайта або зовнішніх ресурсах.

• wordpress Flexible Custom Post Type plugin Xss Vulnerabilities (деталі)
• WordPress Deans With Pwwangs Code Shell Upload (деталі)
• WordPress Integrator 1.32 Cross Site Scripting (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В своєму звіті Хакерська активність в Уанеті в 1 півріччі 2011 я навів дані про діяльність хакерів в Уанеті за період з 01.01.2011 по 30.06.2011, а в звіті Хакерська активність в Уанеті в 2 півріччі 2011 - дані за період з 01.07.2011 по 31.12.2011.

За весь 2011 рік в Уанеті було проведено 1419 атак на веб сайти - 782 за перше півріччя і 637 за друге. Але додам, що я поки ще не обробив дані по всім масовим дефейсам за другу половину минулого року, то це не повні дані й взломів було набагато більше. Для порівняння, за весь 2010 рік було зафіксовано всього 1554 атаки на веб сайти. І це тільки виявлені мною випадки, реальна кількість інцидентів може бути значно вищою.

Динаміка зростання хакерської активності за минулий рік: за перше півріччя 2011 активність більша на 404% в порівнянні з аналогічним періодом 2010 року, а за друге півріччя 2011 - на 54% менше за аналогічний період 2010 року (і на 18% менше за перше півріччя 2011 року). А в цілому в 2011 році активність впала на 8% порівняно з 2010 роком - спад в 1,1 рази (але ще не всі дані мною оброблені).

В 2011 році загалом було атаковано 1419 веб ресурсів (як взломи, так і DDoS атаки), перелік яких ви можете знайти у відповідних звітах за перше і друге півріччя минулого року. А також були інфіковані 233 сайти, які вірогідно були похакані в 2011 році.

Головні тенденції 2011 року в діяльності хакерів в Уанеті:

• Хакерська активність дещо впала - на 8% порівняно з 2010 роком (зменшення динаміки у 1,1 рази).
• Багато сайтів в Уанеті заражуються вірусами: в 2010 я виявив 264 інфікованих сайтів, в 2011 - вже 233 сайтів (зменшення динаміки у 1,1 рази).
• Кількість DDoS атак на сайти більша ніж в 2010 році - 28 випадків DDoS атак за рік (зростання у 1,5 рази). Це 2% від всіх атак за 2011 рік.
• Атаковано 104 державних сайтів та інфіковано ще 9 gov.ua-сайтів.
• Зростання взломів державних сайтів в 2,1 рази та зменшення інфікування gov.ua-сайтів в 1,4 рази порівняно з 2010 роком.

Велика кількість заражених сайтів в Уанеті (в тому числі gov.ua-сайтів) свідчить про чималий відсоток кримінальних взломів сайтів.

Підсумовуючи скажу, що активність хакерів в минулому році була високою і вона продовжить такою бути. І в 2012 році ця тенденція збережеться.

В новому році очікуйте на нові звіти про хакерську активність в Уанеті.

За повідомленням www.xakep.ru, витік до 10 мільйонів карт VISA і MasterCard.

Компанії VISA і MasterCard попередили банки про інцидент в одному з американських процесінгових центрів, у результаті чого можливий витік до 10 мільйонів пластикових карт. Банкам вислані номери скомпрометованих карт для аналізу транзакций по них, що дозволить виявити джерело атаки і, можливо, особистості зловмисників. По цих картах будуть початі додаткові антифродові дії та, імовірно, буде здійснена повторна емісія карт. Першим інформацію про витік опублікував Брайан Кребс у п’ятницю, після чого інформацію офіційно підтвердили VISA і MasterCard.

За повідомленням www.itsec.ru, опубліковано прайс-лист за експлоіти для 0-day уразливостей.

Не секрет, що в будь-якому бізнесі найбільш привабливим замовником є державні структури. Не виключенням виявився і ринок експлоітів для zero-day уразливостей. За даними Forbes, урядові агентства готові заплатити хакерам від $5000 до $250000 за докладну інформацію про методи атак популярного програмного забезпечення.

Днями журналіст Forbes, у продовження недавньої історії про Vupen, опублікував орієнтовну вартість експлоітів для популярних програмних продуктів. Компанія Vupen, що перемогла на останньому конкурсі Pwn2Own, займайється створенням 0-day експлотів та їх продажем розвідувальним агентствам і державним спецслужбам.

За повідомленням www.xakep.ru, McAfee щодня реєструє 6500 нових заражених веб сайтів.

Компанія McAfee опублікувала підсумковий звіт за четвертий квартал 2011 року зі статистикою по шкідливому ПЗ, кількості заражених сайтів і аналізом тенденцій веб загроз.

Серед головних підсумків кварталу. Загальна кількість шкідливого ПЗ, виявленого системами McAfee за всю історію, перевищила 75 мільйонів семплів. При цьому кількість нових шкідливих програм для десктопних систем останнім часом знижується. Але є тенденція збільшення кількості шкіливого ПЗ під мобільні платформи.

В даній добірці уразливості в веб додатках:

• Citrix Receiver, XenDesktop “Pass-the-hash” Attack (деталі)
• Owl Intranet Engine: Information Disclosure and Unsalted Password Hashes (деталі)
• Seotoaster SQL-Injection Admin Login Bypass (деталі)
• Multiple vulnerabilities in Browser CRM (деталі)
• Novell Sentinel Log Manager <=1.2.0.1 Path Traversal (деталі)
• D-Link DIR-601 TFTP Directory Traversal Vulnerability (деталі)
• appRain CMF v0.1.5 - Multiple Web Vulnerabilities (деталі)
• SASHA v0.2.0 Mutiple XSS (деталі)
• PHP Booking Calendar 10e XSS (деталі)
• dtc security update (деталі)