Websecurity - Веб безпека

У листопаді, 17.11.2011, я виявив численні уразливості в D-Link DAP 1150 (Wi-Fi Access Point and Router). Це Predictable Resource Location, Brute Force та Cross-Site Request Forgery уразливості. Це другий advisory з серії записів про уразливості в продуктах D-Link. Попередній був про уразливості в D-Link DSL-500T ADSL Router.

Уразлива версія D-Link DAP 1150, Firmware version 1.2.94. Дана модель з іншими прошивками також повинна бути вразливою.

Predictable Resource Location:

http://192.168.0.50

Адмінка модема розміщується по дефолтному шляху з дефолтним логіном і паролем (admin:admin). Що дозволяє локальним користувачам (що мають доступ до ПК, або по LAN), а також віддаленим користувачам через Інтернет (через CSRF, в тому числі з використанням нищезгаданої CSRF атаки) отримувати доступ до адмінки і змінювати налаштування модема.

Дефолтні вищезгадані налаштування - це звичайна практика у виробників ADSL роутерів та інших мережевих пристроїв, але D-Link в нових своїх пристроях почав змінювати цю ситуацію.

Для захисту від проблем з дефолтним паролем, D-Link зробили в адмінці наступне: при першому заході в адмінку обов’язково потрібно змінити пароль. Тобто перед тим як почати змінювати налаштування, потрібно буде змінити пароль по замовчуванню. І подібний підхід потрібно використовувати всім виробникам мережевих пристроїв. Але Windows-додаток для конфігурування пристрою, що постачається на CD, не змінює пароля, лише змінює інші налаштування точки доступа. Таким чином можна налаштувати пристрій, при цьому залишивши дефолтний пароль, що залишить пристрій вразливим до атак.

Brute Force:

В формі логіна http://192.168.0.50 немає захисту від Brute Force атак. Що дозволить підбирати пароль (якщо він змінений з дефолтного), зокрема при локальній атаці. Наприклад, по LAN зловмисні користувачі або вірус на одному з комп’ютерів може провести атаку для підбору паролю, якщо він був змінений.

CSRF:

Відсутність захисту від Brute Force (такого як капча) також призводить до можливості проведення CSRF атаки, про що я писав в статті Атаки на незахищені логін форми. Це дозволяє проводити віддалений логін. Що стане в нагоді при проведенні атак на різні CSRF уразливості в панелі керування, про які я розповім згодом.

За повідомленням www.xakep.ru, Imperva прогнозує тенденції в сфері кібер-безпеки на 2012 рік.

Іmperva анонсувала свої прогнози з приводу тенденцій у сфері кібер-безпеки на 2012 рік. Це аналітичне дослідження покликане допомогти компаніям захистити себе від загрози з боку хакерів та інсайдерів.

У дев’ятку ведучих трендів кібер-безпеки на 2012 рік увійшли:

• SSL виявиться під перехресним вогнем.
• HTML 5 виходить у світ.
• DDoS-атаки продовжать удосконалюватися.
• Спільна робота і його “злий двійник”.
• NoSQL = немає безпеки?
• Зірвано покрив з консумерізації IT.
• Анти-соціальні ЗМІ.
• Збільшення кількості “людей-посередників”.
• “Безпека” перемагає “відповідність”.

За повідомленням www.xakep.ru, у Конго задефейсили Google, Gmail, Youtube, Yahoo, Apple.

Хакер з ніком AlpHaNiX задефейсив домени Google, Gmail, Youtube, Yahoo, Apple і т.д. у Конго. Він використовував тактику отруєння кеша DNS. На початку року в статті Атака через захоплення домену я вже розповідав про такі атаки.

Список взломаних сайтів: http://apple.cd, http://yahoo.cd, http://gmail.cd, http://google.cd, http://youtube.cd, http://linux.cd, http://samsung.cd, http://hotmail.cd, http://microsoft.cd.

За повідомленням www.xakep.ru, Veracode: 80% додатків не є безпечними.

80% додатків як і раніше не є досить безпечними, і помилки в коді можуть зробити біля половини всіх додатків для Android небезпечними, відповідно до останньої доповіді компанії Veracode.

Четверта доповідь State of Software Security Report охопив близько 10 000 додатків - що в два рази більше, ніж у попередньому звіті - і в ньому були застосовані більш строгі критерії аналізу. Близько 8 з 10 додатків не відповідають прийнятим стандартам, відповідно до доповіді, що констатував наявність міжсайтового скриптінга в 68% усіх веб-додатків і SQL Injection уразливості в третині з них.

Після попереднього виявлення похаканих сайтів в моїх логах, приведу нову інформацію про взломані українських сайти. Що використовуються для атак (зокрема RFI атак) на інші сайти.

Похакані сайти в Уанеті:

• http://mkt.od.ua (хакером FeeLCoMz) - 30.09.2011

Файли, що використовуються для RFI атак:

http://mkt.od.ua/e107_files/downloads/fx29id1.txt - файл все ще розміщений на сайті.

В даній добірці уразливості в веб додатках:

• SAP NetWeaver J2EE MeSync – information disclose (деталі)
• vBulletin - Multiple Open Redirects (деталі)
• subversion security update (деталі)
• SAP NetWaver Virus Scan Interface - multiple XSS (деталі)
• PopScript Multiple Vulnerabilities (деталі)
• rails security update (деталі)
• Squiz Matrix - Cross-Site Scripting Vulnerability (деталі)
• SAP NetWeaver TH_GREP module - Code injection vulnerability (NEW) (деталі)
• Multiple Cross-Site Scripting vulnerabilities in BLOG:CMS (деталі)
• fex security update (деталі)

У квітні, 24.04.2011, я виявив численні уразливості в ADSL модемі D-Link DSL-500T ADSL Router. Це Predictable Resource Location, Brute Force та Cross-Site Request Forgery уразливості. Це перший advisory з серії записів про уразливості в продуктах D-Link.

При цьому даний модем я використовую в офісі ще з жовтня 2005, тому по суті про PRL та BF уразливості мені відомо ще з тих пір, а вже стосовно CSRF я перевірив в квітні цього року. Коли почав досліджувати питання безпеки ADSL модемів (і різних роутерів та інших мережевих пристроїв), зокрема ADSL модема Callisto 821+, про численні уразливості в якому я вже розповідав. Дані три уразливості аналогічні діркам в Iskra Callisto 821+.

Predictable Resource Location:

http://192.168.1.1

Адмінка модема розміщується по дефолтному шляху з дефолтним логіном і паролем (admin:admin). Що дозволяє локальним користувачам (що мають доступ до ПК, або по LAN), а також віддаленим користувачам через Інтернет (через CSRF, в тому числі з використанням нищезгаданої CSRF атаки) отримувати доступ до адмінки і змінювати налаштування модема.

Дефолтні вищезгадані налаштування - це звичайна практика у виробників ADSL роутерів, але той же D-Link в нових своїх пристроях почав змінювати цю ситуацію, про що я розповім стосовно іншого пристрою цієї компанії. Але при цьому провайдери повинні вносити зміни, хоча той же Укртелеком цього не робить в модемах Callisto (що він надає своїм клієнтам). При цьому Інтертелеком, що надав нам в аренду цей DSL-500T, як раз змінив дефолтний пароль в адмінці.

Brute Force:

В формі логіна http://192.168.1.1 немає захисту від Brute Force атак. Що дозволить підбирати пароль (якщо він змінений з дефолтного), зокрема при локальній атаці. Наприклад, по LAN зловмисні користувачі або вірус на одному з комп’ютерів може провести атаку для підбору паролю, якщо він був змінений.

CSRF:

Відсутність захисту від Brute Force (такого як капча) також призводить до можливості проведення CSRF атаки, про що я писав в статті Атаки на незахищені логін форми. Це дозволяє проводити віддалений логін. Що стане в нагоді при проведенні атак на різні CSRF і XSS уразливості в панелі керування. Які цілком можуть бути в ній, що я можу сказати виходячи з уразливостей в іншому пристрої D-Link, який я купив в листопаді 2011, а також по діркам в Callisto 821+ (тому що дірки в адмінках модемів і роутерів дуже поширені).

В статті Атака через браузер. Анализ вредоносных Flash-объектов и документов в формате PDF розповідається про сучасні атаки через браузери (сайт журнала в даний момент не працює із-за технічних робіт, тому статтю слід шукати на інших сайтах в Мережі). Зокрема через плагіни до браузерів, такі як Adobe Acrobat та Adobe Flash.

В даній статті розглянуті наступні аспекти атак через плагіни до браузерів:

• Введення.
• Аналіз шкідливих файлів.
• Приклад 1. PDF + JavaScript.
• Приклад 2. SWF.
• Приклад 3. PDF + SWF.
• Висновки.

Використання уразливостей в популярних плагінах до браузерів, таких як Acrobat і Flash, в останні роки стало одним з найбільш популярних напрямків атак на користувачів Інтернету. Окрім шкідливих pdf і swf файлів, також використовуються комбіновані експлоіти, такі як флеш-контент у pdf-файлі.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://rada-bershad.gov.ua (хакером ho1onk) - 20.09.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://koreiz-ps.gov.ua (хакером Wizardz) - 26.09.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://webkolo.org.ua (хакерами з RKH) - 11.08.2011, зараз сайт вже виправлений адмінами
• http://webkolo.com.ua (хакерами з RKH) - 11.08.2011, зараз сайт вже виправлений адмінами
• http://azovdvorik.com (хакером iskorpitx) - 10.08.2011, зараз сайт вже виправлений адмінами

В даній добірці уразливості в веб додатках:

• SAP RFC EPS_DELETE_FILE - Authorisation bypass, smbrelay (деталі)
• Cross-Site Scripting vulnerability in Icinga (деталі)
• SAP NetWeaver JavaMailExamples - XSS (деталі)
• Cross-Site Scripting vulnerability in Nagios (деталі)
• Multiple SQL Injections in A Really Simple Chat (ARSC) (деталі)
• SAP NetWeaver ipcpricing - information disclose (деталі)
• XSS in A Really Simple Chat (ARSC) (деталі)
• Apache Archiva Multiple CSRF vulnerability (деталі)
• Apache Archiva Multiple XSS vulnerability (деталі)
• WebSVN 2.3.2 Unproper Metacharacters Escaping exec() Remote Commands Injection Vulnerability (деталі)

Ще влітку 2007 року, 07.06.2007 та 08.07.2007, я знайшов Cross-Site Scripting уразливості на сайті http://meta.ua. Як я вже розповідав, після останнього разу, коли вони відповіли мені дуже несерйозним чином, я більше не сповіщаю Мету про дірки на їхніх сайтах.

Останнього разу стосовно проектів компанії Мета я писав про уразливості на zakon.meta.ua.

XSS:

• alert(document.cookie) (для IE, а з використанням MouseOverJacking можна зробити версію для всіх браузерів)
• alert(document.cookie)
• цікавий
• html включення

Дані уразливості так досі й висять на сайті, як це було до того, як я знайшов їх у 2007 році (тобто на протязі всього часу роботи цього сайта). І це є типовим явищем для сайтів Мети, що добре видно з тих багатьох дірок на багатьох сайтах Мети про які я розповідав раніше.

В серпні відбувся новий масовий взлом сайтів на сервері Besthosting. Він тривав на протязі 2010 - 2011 років: 14.12.2010, 27.12.2010, 22.01.2011, 04.02.2011-22.02.2011, 11.03.2011, 20.04.2011, 02.05.2011, 11.07.2011, 10.08.2011 та 11.09.2011-14.09.2011. Другий масовий взлом сайтів на сервері Besthosting відбувся раніше.

Був взломаний сервер української компанії Besthosting. Взлом, що складався з декількох масових дефейсів та багатьох окремих дефейсів по одному або декількох сайтах, відбувся в той же період, що і згаданий масовий взлом сайтів на сервері HostPro.

Всього було взломано 55 сайтів на сервері хостера Besthosting (IP 195.248.234.41). Це наступні сайти: www.dvs-vinnitsa.gov.ua, artbagets.com, ubozcn.gov.ua, picks.com.ua, rock.vn.ua, sharkdesign.com.ua, fest.od.ua, bastion.vn.ua, artstuff-pro.com.ua, wn4wz.org.ua, reactorband.com, startup-music.com, terroraiser.com, stalwart.ru, multimarket.in.ua, advokat-chernigov.com.ua, advokat-ismailov.com, www.derevodekor.ru, domikvkaluge.ru, saunapodkluch.com, www.megamart.dp.ua, sng-technologies.com, www.mediapositiv.com, andriyushenko.com, aspua.com, exybible.ru, web.cn.ua, viglstudio.com.ua, optdekor.com, olkaragro.com.ua, harakterstvo.in.ua, impreza.biz.ua, ithelper.com.ua, itmasters.kiev.ua, vipmaster.dn.ua, slepki.com.ua, sde.in.ua, shoptrenager.com.ua, studio-disco.com, bizgarant.com, katalogi.in.ua, kbr.in.ua, carbon.lg.ua, budservice.vn.ua, diana-secret.com, www.icees.ru, www.admin.vn.ua, www.zhu4ok.com, www.mir-ok.in.ua, www.momibosse.com.ua, 2g-studio.net, edemnaotdyh.com, lyubavushka.com, umishki.com.ua, nocturnus.com.ua. Серед них українські державні сайти ubozcn.gov.ua та www.dvs-vinnitsa.gov.ua.

З зазначених 55 сайтів 1 сайт був взломаний хакерами з S3cur1ty-T3r0r-Cr3w, 14 сайтів хакером Besiktas Carsi Grubu, 2 сайти хакером iskorpitx, 2 сайти хакерами з RKH, 2 сайти хакерами з KSG-CREW, 2 сайти хакером biangrusuh, 7 сайтів хакером Mr AnEnO, 21 сайт хакером Matrex, 3 сайти хакерами з ahs-hackerz та 1 сайт хакером kaMtiEz.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу невиликої групи сайтів та багатьох взломів маленьких груп сайтів на протязі двох років, маловірогідно, що вони були взломані через взлом серверу хостінг провайдера (коли через взлом одного сайта, був отриманий root доступ до сервера). Але атаку на інші сайти на даному сервері через взлом одного сайту не можна виключати (бо до деяких з цих сайтів могли дістатися і без root доступа).