Websecurity - Веб безпека

03.11.2011

У вересні, 12.09.2011, під час аудиту сайта свого клієнта, я знайшов Content Spoofing та Cross-Site Scripting уразливості в Zeema CMS (це українська комерційна CMS). Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про уразливості в Zeema CMS. Це третя частина з великої кількості уразливостей знайдених в даній CMS. Всім користувачам даної системи вельми рекомендується провести аудит безпеки власних сайтів.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб системи.

17.12.2011

Content Spoofing:

У зв’язку з можливістю прямого звертання до скрипта http://site/counter/counter.php з підробкою параметра ref і заголовка Referer, можна маніпулювати статистикою (з метою підробки реферерів, SEO спама, malware спама і засмічення і перекручування статистики).

Причому, якщо модуль статистики був відключений, то для проведення CS та XSS атак це можна обійти через пряме звернення до скрипта counter.php.

XSS (persistent):

При запитах до зовнішніх сторінок сайта в полі Referer недостатньо перевіряються вхідні дані, що дозволяє провести Persistent XSS атаку. Код виконається на різних сторінках статистики.

При відвідуванні будь-якої зовнішньої сторінки сайта відправити наступне значення заголовка Referer:

Referer: http://site.com/?<script>alert(document.cookie)</script>

При запитах до counter.php недостатньо перевіряються вхідні дані (у параметрі ref), що дозволяє провести Persistent XSS атаку. Код виконається на різних сторінках статистики.

http://site/counter/counter.php?site=counter&screen=1024x768&color=32&ref=http://site.com/?%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

З вказанням заголовка Referer (будь-який URL):

Referer: http://site.com

При запитах до counter.php недостатньо перевіряються вхідні дані (у полі Referer), що дозволяє провести Persistent XSS атаку. Код виконається на різних сторінках статистики.

http://site.com/counter/counter.php?site=counter&screen=1024x768&color=32&ref=http://site.com

З вказанням заголовка Referer:

Referer: http://site.com/?<script>alert(document.cookie)</script>

Уразливі всі версії Zeema CMS. В даній системі є багато інших уразливостей, про які розробники були сповіщені ще у вересні, після завершення аудиту.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах Alert-before-your-post, Adminimize та ClickDesk Live Support - Live Chat. Для котрих з’явилися експлоіти. Alert-before-your-post - це плагін для підтвердження перед публікацією, Adminimize - це плагін для налаштування інтерфейсу адмінки, ClickDesk Live Support - Live Chat - це плагін для створення створення чату “живої технічної підтримки”.

• Wordpress alert-before-your-post Plugin Cross-Site Scripting Vulnerabilities (деталі)
• Wordpress adminimize Plugin Vulnerabilities (деталі)
• Wordpress clickdesk-live-support-chat plugin Cross-Site Scripting Vulnerabilities (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

В цьому році відбувся масовий взлом сайтів на сервері Service Online. Він тривав на протязі квітня-листопада 2011 року. Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії Service Online. Взлом складався з багатьох окремих дефейсів груп сайтів, більша частина з яких відбулася після згаданого масового взлому сайтів на сервері Besthosting.

Всього було взломано 26 сайтів на сервері хостера Service Online (IP 91.209.206.57). Це наступні сайти: ukrloza.org.ua, properevozki.org.ua, megamebli.org.ua, amini.com.ua, www.designort.com.ua, vinddetta.com, eurenssa2011.org.ua, www.agroprominvestplus.com.ua, www.agricourse.com.ua, www.adjutor.in.ua, www.adostavka.com, www.antory.com.ua, www.battle-helper.net, www.batuty.com.ua, www.biolactina.dp.ua, www.biser.dp.ua, che.gov.ua, jvc.od.ua, www.varva-rada.gov.ua, ssd-koda.gov.ua, www.goida-mebel.com.ua, www.zhayvir.com, kinoblesk.com, bee.in.ua, yatsura.lviv.ua, www.studyapples.com. Серед них українські державні сайти che.gov.ua, www.varva-rada.gov.ua та ssd-koda.gov.ua.

З зазначених 26 сайтів 7 сайтів були взломані хакером Ev!LsCr!pT_Dz, 9 сайтів хакером Mr.L4iVe, 1 сайт хакерами з Cocain TeaM, 1 сайт хакером SkilleR, 1 сайт хакером BLaCk_SPeCTRe та 6 сайтів хакером iskorpitx.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу невиликої групи сайтів, маловірогідно, що вони були взломані через взлом серверу хостінг провайдера (коли через взлом одного сайта, був отриманий root доступ до сервера). Але атаку на інші сайти на даному сервері через взлом одного сайту не можна виключати (бо до деяких з цих сайтів могли дістатися і без root доступа).

Сьогодні вийшов мій новий комерційний реліз - мій сінгл “Sense Of Beat”. Це другий комерційний реліз після мого альбому “Originality”.

Сінгл складається з п’яти breakbeat композицій. Сінгл вже розміщений на Juno Download та багатьох інших онлайн магазинах, де його можна прослухати та придбати (в високій якості). Всі композиції можна прослухати в нормальній якості в моєму акаунті на SoundCloud.

До cінглу увійшли 5 композицій, що були створені мною в 2010-2011 роках. Це наступні композиції:

1. Sense Of Beat
2. Sense Of Beat (Energy Mix)
3. Sense Of Beat (Instrumental)
4. Sense Of Beat (Instrumental Mix)
5. Energy

В даній добірці уразливості в веб додатках:

• Cisco TelePresence System Integrator C Series and Cisco TelePresence EX Series Device Default Root Account Manufacturing Error (деталі)
• Mambo CMS 4.6.x (4.6.5) | Multiple Cross Site Scripting Vulnerabilities (деталі)
• Multiple vulnerabilities in Open-Realty (деталі)
• XSS in FlatPress (деталі)
• iGuard Biometric Access Control - Multiple Vulnerabilities (деталі)
• Spring Source OXM Remote OS Command Injection when XStream and IBM JRE are used (деталі)
• Multiple Cross-Site Scripting vulnerabilities in WebCalendar (деталі)
• Cross-Site Scripting vulnerabilities in HP Network Node Manager i 9.10 (деталі)
• Joomla! 1.6.3 and lower | Multiple Cross Site Scripting (XSS) Vulnerabilities (деталі)
• FCKeditor Multiple 0day Vulnerabilities (деталі)

Продовжу розповідати вам про сайти для пошуку хешей паролів.

Якщо перед цим я розподав про сервіси для пошуку sha1 хешей, то зараз розповім вам про сервіси для пошуку MySQL хешей. В Інтернеті існують веб сайти для пошуку MySQL хешей (як й інших хешей). Тобто вони призначені для взлому MySQL хешей, зокрема хешей паролів, щоб по хешу отримати його значення.

Сайти для пошуку MySQL хешей:

• http://passcracking.ru (MD5, SHA1 і MySQL хеші)
• https://hashcracking.info (MD5, MySQL, MySQL5 і SHA-1 хеші)
• http://hashcrack.com (MD5, SHA1, MySQL, NTLM і LanMan хеші)
• http://www.cmd5.org (SHA1, MD5, MD4, MySQL та інші хеші)
• http://www.cmd5.ru (SHA1, MD5, MD4, MySQL та інші хеші)

В подальшому я продовжу наводити перелік подібних сайтів.

24.08.2010

У березні, 06.03.2010, я знайшов Information Leakage, Cross-Site Scripting та Brute Force уразливості на сайті Укртелекома. В даному випадку це сайт Служби 109 Укртелекома. Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливість на www.kyiv.ukrtelecom.ua (де мав витік інформації в Службі 109).

Детальна інформація про уразливості з’явиться пізніше.

15.12.2011

Information Leakage:

http://213.179.244.14:8080/status
http://213.179.244.14:8080/status?full=true

XSS:

• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Brute Force:

http://213.179.244.14:8080/jmx-console/
http://213.179.244.14:8080/web-console/
http://213.179.244.14:8080/jbossws/ (пароль не встановлено)

Якщо Information Leakage вже виправлені, то XSS та BF уразливості так досі й не виправлені. При цьому на сайті є ще багато інших уразливостей.

Продовжуючи розпочату традицію, після попереднього відео про 50 шляхів для ін’єкції SQL, пропоную нове відео на веб секюріті тематику. Цього разу відео про знаходження панелі адміністратора. Рекомендую подивитися всім хто цікавиться цією темою.

How To Find The Admin Control Panel Page

В даному відео ролику розповідається про те, як знайти панель адміна. При наявності дірки на сайті, наприклад, SQL Injection, через яку отримали логін і пароль адміна, або XSS, через яку отримали авторизаційний кукіс, з’являється необхідність знайти адмінку. Особливо якщо сайт не на публічному движку, або на публічному, але движок замасковано, або просто адмінка схована (в тому числі, коли сам веб додаток надає можливість змінити шлях адмінки, наприклад, під час інсталяції). Тобто коли шлях до адмінки невідомий і потрібно її знайти на сайті.

У відео показане використання програми (Perl-скрипта) для пошуку адмінки. Сама програма Admin Control Panel Finder представляє собою сканер ресурсів зі стандартними шляхами, але заточена саме на пошук адмінок. Рекомендую подивитися дане відео для розуміння векторів атак через Predictable Resource Location уразливості.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://izmail-rada.gov.ua (хакером MCA-CRB) - 07.10.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://balrada.gov.ua (хакером nO lOv3) - 09.10.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://messi-10.com (хакером AMIN SAFI)
• http://skurort.com (хакером Crazy_r00t) - 07.01.2011, зараз сайт вже виправлений адмінами
• http://aelita.org.ua (хакером Crazy_r00t) - 07.01.2011, зараз сайт вже виправлений адмінами

В даній добірці уразливості в веб додатках:

• OpenLDAP vulnerability (деталі)
• Multiple XSS & Local File Inclusion in Free Simple CMS (деталі)
• Multiple XSS & CSRF (Cross-Site Request Forgery) in miniblog (деталі)
• KDC denial of service vulnerabilities (деталі)
• Multiple XSS in N-13 News (деталі)
• Multiple Vulnerabilities in e107 (деталі)
• proftpd-dfsg security update (деталі)
• Multiple cross-site scripting (XSS) vulnerabilities in Nagios and Icinga (деталі)
• Cross-site scripting (XSS) vulnerability in Nagios (деталі)
• XSS in FanUpdate (деталі)