Websecurity - Веб безпека

Після появи такої техніки атаки як Clickjacking, розробленої Джеремією Гроссманом та Робертом Хенсеном в 2008 році, виробники браузерів почали замислюватися над методом протидії даній атаці. Щоб не чекати доки кожен окремий веб розробник почне додавати захист від Clickjacking (а також від MouseOverJacking, розробленої мною), а зробити захист на рівні браузера. Як це зробив розробник NoScript плагіна для Firefox, додавши подібний захист ще в 2008 році.

І на початку 2009 року, з виходом Internet Explorer 8, було розроблене рішення для протидії Clickjacking та MouseOverJacking атакам. Це http-заголовок X-Frame-Options. Це було одне з найкращих покращень безпеки в 2009 році (але в своєму записі я вже описав можливості обходу цього захисного методу). Детально про цей заголовок, його формат та значення заголовка, що підтримуються браузерами, ви можете прочитати на сайті Mozilla в статті The X-Frame-Options response header.

На даний час підтримуються наступні значення заголовка X-Frame-Options:

• DENY - сторінка (з будь-якого сайта) не може бути показа у фреймі.
• SAMEORIGIN - сторінка може бути показана у фреймі, якщо вона знаходиться на тому самому сайті (домені).

Спочатку Microsoft реалізувала його в своєму браузері IE8, а потім інші виробники браузерів додали його підтримку. На даний момент, за даними Мозіли, наступні браузери підтримують заголовок X-Frame-Options (починаючи з вказаних версій):

• Internet Explorer 8.0.
• Firefox 3.6.9 (Gecko 1.9.2.9).
• Opera 10.50.
• Safari 4.0.
• Chrome 4.1.249.1042.

Метод захисту від Clickjacking та MouseOverJacking атак за допомогою заголовка X-Frame-Options має свої переваги та недоліки.

Переваги методу:

1. Захист від атак через приховані frame та iframe.
2. Легкість реалізації на сайті - потрібно лише додати на необхідну сторінку (або на весь сайт) даний заголовок.
3. Два режима блокування: DENY і SAMEORIGIN.
4. Всі основні п’ять браузерів (їх останні версії) підтримують даний заголовок.

Недоліки методу:

1. Веб розробникам і адмінам потрібно додавати його підтримку на сайті, щоб захист спрацював у браузері. Тобто по замовчуванню всі сайти є уразливими до даних атак (навіть у версіях браузерів, що підтримують цей заголовок), доки на них не буде налаштоване виведення цього заголовка.
2. Методика атак через CSS, що я описав в статті про MouseOverJacking, дозволяє обходити даний захист та може застосовуватися для проведення Clickjacking та MouseOverJacking атак.
3. Не всі браузери підтримують цей заголовок, в тому числі старі версії основних п’яти браузерів. Тому мільйони користувачів цих браузерів будут незахищені перед атаками, навіть на сайтах, що використовують цей заголовок.

За повідомленням www.xakep.ru, американський антихакерський закон перетворює комп’ютерних користувачів у злочинців.

Американський антихакерський закон настільки розширений, що криміналізує таку безневинну діяльність, як використання фейкового реєстраційного імені на Facebook чи помилкове вказання ваги в профайлі Match.com, заявив один із самих шановних авторитетів країни в області права.

За повідомленням www.quora.com, What are the security shortcomings of Google’s Two Factor Authentication.

На даному сайті новодяться переліки недоліків двохфакторної аутентифікації Google, що можуть бути використані для атаки на користувачів сервісів Гугла, які її використовують. Та критично оцінюється дана захисна функція Гугла.

Компанія Google ввела підтримку двоступінчастої аутентифікації на початку березня 2011 року. Але існують відомі методи, зокрема описані на даному сайті, що можуть використовуватися для обходу двохфакторної аутентифікації.

За повідомленням www.xakep.ru, Ghost Click: об’єднання для боротьби з загрозами.

Законодавці і державні службовці використовують термін “державно-приватне партнерство” для боротьби з віртуальними загрозами настільки часто, що він набув сенсу “нічого не робити”. Але недавня операція Ghost Click показує, що подібна колективна робота необхідна для боротьби з кіберзлочинами і просунутими вірусами.

На минулому тижні ФБР оголосило про глобальне розслідування, проведене міжнародними правоохоронними органами, приватними підприємствами і неурядовими організаціями, що привело до викриття сімох естонців і громадянина Росії в організації афери, у результаті якої було заражено більше чотирьох мільйонів комп’ютерів і вкрадено більше 14 мільйонів доларів.

В даній добірці уразливості в веб додатках:

• Toshiba eStudio Multifunction Printer Information Leakage (деталі)
• Multiple XSS vulnerabilities in BackupPC (деталі)
• CSRF (Cross-Site Request Forgery) in phpGraphy (деталі)
• Toshiba eStudio Multifunction Printer Authentication Bypass (деталі)
• XSS in phpGraphy (деталі)
• zFtp Server <= 2011-04-13 | "STAT,CWD" Remote Denial of Service Vulnerability (деталі)
• XSS in GOT.MY CLASSMATES (деталі)
• SQL injection in 4images (деталі)
• Denial of Service vulnerability in cyrus-imapd (деталі)
• XSS in DEAL INFORMER (деталі)

Сьогодні я знайшов Cross-Site Scripting уразливість на http://blogs.mail.ru. Раніше я вже знаходив уразливості на сайтах Mail.ru і це чергова дірка. Про що найближчим часом сповіщу адміністрацію проекту.

Останній раз стосовно проектів mail.ru я писав про уразливість на gogo.ru та редиректор на rb.mail.ru.

XSS:

• alert(document.cookie)
• html включення

Код виконається при кліку. Це Strictly social XSS. Також можна провести HTML Injection атаку, подібно до WP-Cumulus.

Це уразливість в WP-Cumulus, який використовується на даному сайті. Про мільйони флешек tagcloud.swf вразливих до XSS атак я згадував у своїй статті XSS уразливості в 34 мільйонах флеш файлах.

Атака можлива лише через параметр mode, але не через xmlpath (тому що використовується стара версія swf-файла).

Окрім сервіса DNS Report для перевірки DNS серверів, viewdns.info пропонує інші сервіси для перевірки DNS. Це DNS Propagation Checker - онлайновий сервіс перевірки розповсюдження змін в DNS (на інші DNS сервера). Та DNSSEC Test - онлайновий сервіс перевірки чи використовує домен DNSSEC.

За допомогою сервіса DNS Propagation Checker ви можете перевірити розповсюдження змін, що ви зробили в налаштуваннях DNS, на інші DNS сервера по всьому світі.

За допомогою сервіса DNSSEC Test ви можете перевірити чи налаштоване використання DNSSEC (Domain Name System Security Extensions) на довільному домені.

Так само як і раніше згадані сервіси, даний онлайн інструмент від viewdns.info є безкоштовним.

01.11.2011

Виявлені численні уразливості в Oracle Java.

Уразливі продукти: Oracle JRE 1.4, JRE 5, JDK 5, JRE 6, JDK 6, JRE 7, JDK 7, JavaFX 2.0, JRockit 28.1.

Щоквартальне оновлення закриває 20 різних уразливостей.

• Oracle Java MixerSequencer.nAddControllerEventCallback Remote Code Execution Vulnerability (деталі)
• Oracle Java IIOP Deserialization Type Confusion Remote Code Execution Vulnerability (деталі)
• Oracle Java Applet Rhino Script Engine Remote Code Execution Vulnerability (деталі)
• DNS Poisoning via Port Exhaustion (деталі)

18.11.2011

Додаткова інформація.

• Java for Mac OS X 10.7 Update 1 and Java for Mac OS X 10.6 Update 6 (деталі)

В даній добірці уразливості в веб додатках:

• HP Onboard Administrator (OA), Remote Unauthorized Access (деталі)
• Path disclosure in Cotonti (деталі)
• Multiple vulnerabilities in python-feedparser (деталі)
• Denial of Service in OpenSSL (деталі)
• spip security update (деталі)
• CRL validation bypass in OpenSSL (деталі)
• LANSA aXes Web Terminal (TN5250) Cross-Site Scripting Vulnerability (деталі)
• Cisco Show and Share Security Vulnerabilities (деталі)
• MediaCast Password Dump Vulnerability (деталі)
• SAP Enterprise Portal Path Disclosure (деталі)

Раніше я вже писав про XSS уразливість в WP-Cumulus для WordPress та багатьох інших плагінах (а також віджетах і темах) для різних движків, що використовують tagcloud.swf розроблений автором WP-Cumulus. Про мільйони флешек tagcloud.swf вразливих до XSS атак я згадував у своїй статті XSS уразливості в 34 мільйонах флеш файлах.

В листопаді, 09.11.2011 (через три роки після оприлюднення попередньої уразливості), я знайшов нову Cross-Site Scripting уразливість в WP-Cumulus для WordPress. Знайшов її на одному е-комерс сайті. Що також має місце в багатьох інших веб додатках та мільйонах сайтів. Про що найближчим часом повідомлю розробнику WP-Cumulus. Якщо попередня уразливість стосувалася параметра mode, то нова - параметра xmlpath.

XSS:

http://site/tagcloud.swf?xmlpath=xss.xml
http://site/tagcloud.swf?xmlpath=http://site/xss.xml

Файл xss.xml:

<tags>
<a href="javascript:alert(document.cookie)" style="font-size:+40pt">Click me</a>
<a href="http://websecurity.com.ua" style="font-size:+40pt">Click me</a>
</tags>

Код виконається при кліку. Це Strictly social XSS. Також можна провести HTML Injection атаку, подібно до WP-Cumulus.

Атака спрацює лише у нових версіях флешки, де додали підтримку параметра xmlpath. В старих версіях (невразливих) в контекстному меню вказано “WP-Cumulus by Roy Tanck”, а в нових версіях (вразливих) вказано “WP-Cumulus by Roy Tanck and Luke Morton”. Атака спрацює лише коли xml-файл розміщений на цьому самому сайті (шлях може бути вказаний як відносний, так і абсолютний). Розширення файла може бути довільне.

При цьому патч Роя (версія флешки для WP-Cumulus 1.23) спрацьовує і для даної уразливості, тому в пропатчених версіях флешки XSS вже не спрацює, тільки HTML Injection.

Уразливі всі версії WP-Cumulus для WordPress. Та повинні бути уразливими Joomulus для Joomla, JVClouds3D для Joomla, Blogumus, 3D Cloud для Joomla, Tagcloud для DLE, t3m_cumulus_tagcloud для TYPO3, Cumulus для BlogEngine.NET, tagcloud для Kasseler CMS, 3D user cloud для Joomla, Flash Tag Cloud для Blogsa та інших ASP.NET движків, b-cumulus, Cumulus для Drupal, sfWpCumulusPlugin для symfony, Flash Tag Cloud For MT 4, MT-Cumulus для Movable Type, Tumulus для Typepad, WP-Cumulus для RapidWeaver, HB-Cumulus для Habari, Cumulus для DasBlog, EZcumulus та eZ Flash Tag Cloud для eZ Publish, Simple Tags для Expression Engine (версія 1.6.3 і нові версії, де була додана підтримка даного swf-файла), Freetag для Serendipity (підтримка флеш-файла була додана в версії 2.103), Tag cloud для Social Web CMS, Animated tag cloud для PHP-Fusion, 3D Advanced Tags Clouds для Magento, Cumulus для Sweetcron та інші веб додатки з цією флешкою.

А також теми для движків, зокрема для Drupal, що використовують цю флешку (про п’ять вразливих тем до Drupal я писав раніше). Як я зазначив вище, вразливі лише веб додатки з новими версіями цього флеш-файла (і багато веб додатків та сайтів використовують саме нові версії флешки).

Продовжуючи розпочату традицію, після попереднього відео про зміну адмінського пароля в Joomla, пропоную нове відео на веб секюріті тематику. Цього разу відео про обхід аутентифікації через SQL Injection. Рекомендую подивитися всім хто цікавиться цією темою.

sql injection

В даному відео ролику демонструється одна з найбільш простих і відомих SQL ін’єкцій. Але в даному випадку має місце не просто SQL Injection атака, а обхід аутентифікації через SQL Injection. Тому що SQL ін’єкція має місце в формі аутентифікації. Причому автор відео знайшов дану уразливість на сайті університету (web.arizona.edu) в старій версії phpMyAdmin (версія 2.5.6).

Подібні SQL ін’єкції в формах аутентифікації достатньо поширені. Я сам багато разів знаходив такі уразливості на різних сайтах та в різних веб додатках, про що я вже писав, зокрема в CMS WebManager-Pro. Рекомендую подивитися дане відео для розуміння векторів атак через SQL Injection.

В даній добірці уразливості в веб додатках:

• Apple MobileSafari Attachment Viewing Cross Site Scripting Vulnerability (деталі)
• XSS vulnerabilities in phpList (деталі)
• XSRF (CSRF) in phpList (деталі)
• ABUS TVIP 11550/21550 Multiple vulnerabilities (and possibly other ABUS cams) (деталі)
• XSS vulnerabilities in Noah’s Classifieds (деталі)
• Double free vulnerability in libxml2 (деталі)
• XSS in Max’s PHP Photo Album (деталі)
• Double free vulnerability in libxml2 (деталі)
• Path disclousure in yappa-ng Photo Gallery (деталі)
• HP SiteScope, Cross Site Scripting (XSS) and HTML Injection (деталі)