Websecurity - Веб безпека

21.03.2012

Торік відбувся масовий взлом сайтів на сервері Besthosting (це був другий масовий взлом сайтів на сервері Besthosting). І в цьому році, в період 10.02.2012-06.03.2012, відбувся повторний масовий взлом цього ж сервера. Я періодично виявляю повторні взломи серверів, але за звичай це дефейси невеликої кількості сайтів, а в даному випадку було дефейснуто майже в два рази більше сайтів ніж під час першого взлому.

Був взломаний сервер української компанії Besthosting. Взлом, що складався з декількох взломів, відбувся після згаданого масового взлому сайтів на сервері Pavlabor.

Якщо першого разу було взломано 38 сайтів, то цього разу було взломано 68 сайтів на сервері української компанії Besthosting (IP 195.248.234.34). Це наступні сайти: apartments4you.com.ua, www.sbta.com.ua, pronina.com, www.artliskin.com, podervyanska.com, www.abc-safe.com.ua, www.medregi.com, adspravka.vn.ua, gelaskins.org.ua, iphone-community.org.ua, iphoner.org.ua, css.artskins.com.ua, css.artskins.org.ua, images.artskins.com.ua, images.artskins.org.ua, js.artskins.com.ua, js.artskins.org.ua, skins.artskins.com.ua, skins.artskins.org.ua, carbidus.com, hosting.vn.ua, jboxsoftware.com, track.jboxsoftware.com, kovka.vn.ua, pizzaoftheworld.com, power-styling.com, drift.vn.ua, drifting.vn.ua, racing.vn.ua, autokeys.vn.ua, hummerclub.org.ua, powercover.vn.ua, taxi.vn.ua, www.tehnomriya.com, tehnomriya.com.ua, tehnomriya.cv.ua, tehnomriya.vn.ua, uamakler.com, forum.uamakler.com, mitsubishi-altraauto.com.ua, vpuzike.com, se-catalogue.info, byfama.com.ua, samir.com.ua, thalgo.net.ua, www.populyarnost.com.ua, 100km.org.ua, wayhome.org.ua, kovcheg.org.ua, vasilkovenergo.com, wdsdesigngroup.com, adat-group.com, artskins.org.ua, clubz.vn.ua, cragster.com, city.vn.ua, baby.vn.ua, digrido.com, wedding.vn.ua, yurist.vn.ua, remont.vn.ua, nazapchasti.com, medintegr.vn.ua, links.org.ua, landpages.vn.ua, kindle.vn.ua, kindle.org.ua, heatmap.vn.ua.

Всі 68 сайтів були взломані хакером antuwebhunt3r.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера. Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

30.08.2013

Пізніше було взломано ще 20 сайтів на цьому сервері (1 у 2012 та 19 у 2013 році). Це наступні сайти: ukrcopter.com, www.villagavan.com, kruem.com, sim-arenda.com, glavuks.gov.ua, komok.org.ua, options-trader.ru, pettyclub.com, svadbacar.com, liveinvest.ru, annluc.com, ihorus.com, pomogi.biz, karta-krima.com, www.kiev-orthodox.org, ukrdance.com.ua, mlove.com.ua, fermer.net.ua, www.uacopter.com, ocium.net.ua. Серед них український державний сайт glavuks.gov.ua.

17 зазначених сайтів були взломані хакером BADI, 1 сайт хакером Sejeal, 1 сайт хакером Hmei7 і 1 сайт хакером Rejected.

Виявлена можливість обходу обмежень через модуль Perl XML::Atom.

Уразливі продукти: XML::Atom.

Можна одержати доступ на читання до обмежених ресурсів.

• libxml-atom-perl security update (деталі)

В даній добірці уразливості в веб додатках:

• IBM WebSphere Application Server ‘help’ Servlet Plug-in Bundle Directory Traversal (деталі)
• CmyDocument Content Management Application - XSS Vulnerabilities (деталі)
• Serendipity Plugin ‘Karma Ranking’ Multiple Cross-Site Scripting (деталі)
• Serendipity ’serendipity[filter][bp.ALT]’ Cross-Site Scripting vulnerability (деталі)
• XSS and SQL Injection Vulnerabilities on Symphony CMS 2.2.3 (деталі)
• Cisco Digital Media Manager Privilege Escalation Vulnerability (деталі)
• XSS Vulnerabilities in eFront (деталі)
• IBSng all version Cross-Site Scripting Vulnerability (деталі)
• eFront <= 3.6.10 (build 11944) Multiple Security Vulnerabilities (деталі)
• SQL injection vulnerability in OneOrZero AIMS (деталі)

В WordPress є чимало уразливостей, які існують з версії 2.0, а то і з 1.х версій, і які не виправлені до сих пір. Ще одна уразливість, про яку мені відомо вже давно (і багато років я планував про неї написати) - це Brute Force через XML-RPC функціонал в WP.

Раніше я вже писав про уразливості в WordPress - це Full path disclosure, Content Spoofing та Cross-Site Scripting уразливості через TinyMCE та flvPlayer.

Brute Force:

http://site/xmlrpc.php

В даному функціоналі немає захисту від Brute Force атак. При відправці відповідних POST-запитів можна виявити пароль.

Уразливі WordPress 3.3.1 і попередні версії.

Зазначу, что починаючи з WordPress 2.6 XML-RPC функціонал відключений за замовчуванням. Розробники WP зробили це в зв’язку з уразливостями (такими як SQL Injection та іншими), що були виявлені в цьому функціоналі, тобто не мотивуючи це як протидію Brute Force, але це в тому числі спрацювало як захист від Brute Force атак.

І відповідно ця проблема не стосується тих, хто використовує WordPress починаючи з версії 2.6 з налаштуванням за замовчуванням. А ось для тих, кому потрібно використовувати XML-RPC, ті будуть мати Brute Force уразливість, тому що розробники не зробили дієвого захисту від неї.

Раніше в 2008 та 2010 роках я вже писав про Brute Force уразливості в WordPress і це ще одна подібна уразливість. Окрім них також відомою є BF атака не через форму логіна, а з використанням авторизаційного кукіса (коли підсовуючи різні кукіси можна підібрати пароль).

Існують плагіни для WordPress, що захищають від BF атак через форму логіна (а деякі також і від BF атак через кукіси). Але жоден плагін не захистить від даної атаки через XML-RPC та від раніше згаданої атаки на запаролені записи і сторінки.

На початку місяця, 01.03.2012, вийшов PHP 5.4.0. Вихід нової гілки PHP є значним покращенням 5.x серії, який включає багато нових функцій та виправлень багів.

Серед головних нововведень наступні: риси (traits), скорочений синтаксис масивів, вбудований веб сервер для тестування та інші. PHP 5.4.0 значно покращує швидкодію, споживання пам’яті та виправляє більше 100 багів.

По матеріалам http://www.php.net.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://aromantica.com.ua - інфекція була виявлена 15.01.2012. Зараз сайт не входить до переліку підозрілих.
• http://6222.com.ua - інфекція була виявлена 23.01.2012. Зараз сайт не входить до переліку підозрілих.
• http://mednesko.com - інфекція була виявлена 20.03.2012. Зараз сайт входить до переліку підозрілих.
• http://buynaksk.com - інфекція була виявлена 15.03.2012. Зараз сайт не входить до переліку підозрілих.
• http://lds-led.com.ua - інфекція була виявлена 26.01.2012. Зараз сайт не входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфікований сайт 6222.com.ua також хостить в себе Укртелеком.

20.10.2011

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку (1-20) та 21.

Ось нова добірка уразливих секюріті сайтів:

• www.barracudacentral.org
• www.sophos.com
• incom.ua

Всім секюріті фірмам та розробникам антивірусів слід приділяти більше уваги безпеці власних веб сайтів.

20.03.2012

Ще одна добірка уразливих секюріті сайтів:

• it-consulting.incom.ua
• incom.ua
• stopthehacker.com

ІБ компаніям і секюріті веб проектам варто більше слідкувати за безпекою власних сайтів.

Окрім раніше згаданих сервісів для перевірки DNS серверів, є ще подібний сервіс від Pingdom. Це DNS Health - онлайновий сервіс перевірки DNS, що перевіряє основні налаштування DNS.

За допомогою сервіса DNS Health можна перевірити стан DNS сервера вашого хостера. Зокрема ви можете перевірити наступні налаштування на довільному домені: Delegation, Nameserver, Consistency, SOA, Connectivity, DNSSEC.

Зазначу, що це один з небагатьох аналогічних сервісів, що проводить перевірку DNSSEC. Наприклад, DNSreport від DNSstuff цього не роботить, а DNS Report від viewdns.info цього не робить, але в них є окремий сервіс DNSSEC Test.

Як і більшість раніше згаданих сервісів перевірки DNS, даний онлайн інструмент є безкоштовним.

Минулого року 08.08.2011 та 19.12.2011, відбувся масовий взлом сайтів на сервері Pavlabor. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Pavlabor. Взлом, що складався з двох взломів (великого та невеликого), відбувся після згаданого масового взлому сайтів на сервері Freehost.

Всього було взломано 93 сайти на сервері української компанії Pavlabor (IP 194.146.180.161). Це наступні сайти: www.pga-01pcg.pavlabor.net, www.dpgn.sumy.ua, www.amuson.sumy.ua, www.poeab-lpga-01s.pavlabor.net, www.jeliba.co.uk, www.bezpekopolis.sumy.ua, www.translation-into-russian-ukrainian.net.ua, www.ddd.sumy.ua, www.lpga-01pc.pavlabor.net, www.dolphin.com.ua, www.englishmaster.kiev.ua, www.dadonov.sumy.ua, www.cea.org.ua, www.ekonomik.com.ua, www.etc.sumy.ua, www.fotoklub.com.ua, www.vodobur.sumy.ua, www.lpa-01pcg.pavlabor.net, www.veterinar.sumy.ua, www.chameleon.sumy.ua, www.zitaio.sumy.ua, www.bilbow.com.ua, www.fotokonkurs.sumy.ua, www.bania.sumy.ua, www.vivat.tv, www.tarsa.ur-kraina.com.ua, www.sumaster.com.ua, www.sumdergrybohorona.gov.ua, www.termostroy.com.ua, www.volkswagen.sumy.ua, www.sollyplus.sumy.ua, www.ssh25.sumy.ua, www.shuzo.sumy.ua, www.scelf.sumy.ua, www.s-buda.gov.ua, www.sbuda-rada.gov.ua, www.putivl-rada.gov.ua, www.prokuratura.sumy.ua, www.private-design.com.ua, www.sbn.sumy.net.ua, www.b.sumy.net.ua, www.fresh.xnet.sumy.ua, www.xnet.sumy.ua, www.forum.xnet.sumy.ua, www.test.sumy.net.ua, www.fresh.sumy.net.ua, www.lpa.pavlabor.net, www.25.school.sumy.ua, www.2.school.sumy.ua, www.manikur.sumy.ua, www.sano.sumy.ua, www.perotex.com.ua, www.greenprint.com.ua, www.delphicapital.com.ua, www.city.sumy.ua, www.arizona.net.ua, www.182.146.194.in-addr.arpa, www.183.146.194.in-addr.arpa, www.180.146.194.in-addr.arpa, www.181.146.194.in-addr.arpa, www.poeb-lpga-01.pavlabor.net, www.poeab-lpga-02m.pavlabor.net, www.poe.pavlabor.net, www.lp.pavlabor.net, www.cmz-sumy.com, www.poeab-lpga-02s.pavlabor.net, www.joomla.ot4et.com.ua, www.poeab-lpga-01m.pavlabor.net, www.evroremont.sumy.ua, www.openit17.ot4et.com.ua, www.lp-compare.pavlabor.net, www.new.ot4et.com.ua, www.opencart.manikur.sumy.ua, www.pavlabor.net, www.europa-sumy.com, www.kolchuga-lp.pavlabor.net, www.groza.pavlabor.net, www.ot4et.com.ua, www.forum.pavlabor.net, www.evropa-sumy.com, www.openit.ot4et.com.ua, www.lpau.pavlabor.net, www.manuscript.net.ua, www.works.sumy.ua, www.kapro.sumy.ua, www.medbib.zt.ua, www.krasnodon.com.ua, gorod-sumy.com.ua, uebersetzung-ins-russische-ukrainische.net.ua, www.grace.com.ua, www.jeliba.com.ua, www.photokonkurs.sumy.ua, www.ur-kraina.com.ua. Серед них українські державні сайти www.sumdergrybohorona.gov.ua, www.s-buda.gov.ua, www.sbuda-rada.gov.ua, www.putivl-rada.gov.ua.

З зазначених 93 сайтів 92 сайти були взломані хакером DEATH_K1NG та 1 сайт хакерами з RHK.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу всіх цих сайтів, немає сумнівів, що вони були взломані через взлом серверу хостінг провайдера (за виключенням окремого взлому одного сайта). Коли через взлом одного сайта, був отриманий root доступ до сервера (через уразливості в програмному забезпеченні самого сервера) та атаковані інші сайти на даному сервері.

Виявлена можливість витоку інформації в nginx.

Уразливі версії: nginx 1.0.

Некоректна відповідь від сервера може приводити до витоку вмісту пам’яті.

• nginx fix for malformed HTTP responses from upstream servers (деталі)