Websecurity - Веб безпека

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://dgor.dp.ua - інфекція була виявлена 07.11.2011. Зараз сайт входить до переліку підозрілих.
• http://avtovid.com.ua - інфекція була виявлена 17.10.2011. Зараз сайт не входить до переліку підозрілих.
• http://kityn.kiev.ua - інфекція була виявлена 14.11.2011. Зараз сайт входить до переліку підозрілих.
• http://link.ua - інфекція була виявлена 10.11.2011. Зараз сайт не входить до переліку підозрілих.
• http://welltour.kiev.ua - інфекція була виявлена 23.10.2011. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• NETGEAR Wireless Cable Modem Gateway Auth Bypass and CSRF (деталі)
• Arbitrary Command Execution in phpAlbum.net (деталі)
• HP-UX running VEA, Remote Denial of Service (DoS), Execution of Arbitrary Code (деталі)
• The BodgeIt Store - another vulnerable web app (деталі)
• Security Advisories Relating to Symantec Products - Symantec Backup Exec Man-in-The-Middle (деталі)
• Ocomon Multiple SQL Injection (деталі)
• Barracuda Backup v2.0 - Multiple Web Vulnerabilities (деталі)
• XSS in Dalbum (деталі)
• Mutt vulnerability (деталі)
• Multiple XSS in webSPELL (деталі)

30.06.2011

Учора, 29.06.2011, я знайшов численні Denial of Service уразливості на http://www.sophos.com - сайті секюріті компанії Sophos. Що є відомим виробником антивірусних і антиспам продуктів. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на www.sophos.com. Ця антивірусна компанія не дуже слідкує за безпекою власного сайта.

Детальна інформація про уразливість з’явиться пізніше.

06.11.2011

DoS:

http://www.sophos.com/medialibrary/Images/Content/News%20and%20Trends/Security%20Hubs/Hot%20Topics/trjan11toptencountrieshostingmalware.ashx?w=10000&h=10000
http://www.sophos.com/medialibrary/Images/Content/News%20and%20Trends/Security%20Hubs/Hot%20Topics/enterprise-review/cascadia-labs-trendmicro10.ashx?w=10000&h=10000
http://www.sophos.com/medialibrary/Images/Content/News%20and%20Trends/Security%20Hubs/Hot%20Topics/enterprise-review/cascadia-labs-data-protection.ashx?w=10000&h=10000

Всього таких уразливостей біля 900 на сайті www.sophos.com (судячи по кількості ashx-скриптів в папці /medialibrary/Images/ по даним Google).

При відправці одного такого запиту сайт вже сильно навантажується, а якщо двох і більше запитів, то сайт взагалі підвисає на короткий час (поки сервер згенерує зображення).

Дані уразливості досі не виправлені. Що дуже несерйозно для секюріті компанії й це є типовим для Sophos.

За повідомленням www.xakep.ru, IID: ринок шкідливих програм вступає в епоху зрілості.

Творці шкідливих програм і кіберзлочинці все більше орієнтуються на особливі види атак і методи експлуатації, відповідно до фірми безпеки IID. У своєму щоквартальному звіті про загрози компанія повідомила, що дослідники помітили тенденцію до спеціалізації в галузі шкідливих програм, при цьому багато злочинців фокусуються на одній особливій області знань для здійснення своєї діяльності на чорному ринку.

За повідомленням www.opennet.ru, знайдені уразливості в Perl.

В модулі Digest, що входить в базову поставку Perl, знайдена уразливість, що дозволяє організувати виконання perl-коду при обробці в Digest->new() отриманих із зовнішніх джерел параметрів. Проблема пов’язана з тим, що в Digest->new() використовується виклик “eval()” без попередньої перевірки даних. Проблема усунута у версії 1.17.

Крім того, ще одна уразливість знайдена в модулі FCGI. Проблема викликана відсутністю повного очищення всіх змінних оточення між викликами обробників для різних запитів. Наприклад, уміст змінних з параметрами аутентифікації може перекочувати після обробки першого запиту в другий, якщо в другому запиті були передані порожні параметри. Проблема виявляється тільки при використанні застарілого APІ CGI::Fast у версіях FCGI 0.7x до 0.74.

За повідомленням www.opennet.ru, знайдені уразливості в Zope, Plone і Django.

У CMS Plone і платформі Zope знайдена уразливість, що дозволяє віддаленому зловмиснику виконати свій код, відправивши спеціально оформлений запит на сервер. Для усунення уразливості випущений hotfix-патч.

У Python-фреймворку для розробки веб додатків Django 1.2.7 і 1.3.1 усунуті 4 уразливості, що дозволяють маніпулювати сесійними ключами, здійснити підміну вмісту кеша і викликати відмову в обслуговуванні.

Продовжуючи тему тестування DNS серверів, після додатку DNSreport, пропоную вашій увазі новий онлайн сервіс для даної задачі. Це DNS Report - онлайновий сервіс перевірки DNS серверів. Це ще один публічний сервіс від viewdns.info, розробника Web-based port scanner, призначеного для перевірки відкритих портів.

На відміну від DNSreport від DNSstuff, DNS Report від viewdns.info є безкоштовним сервісом. Тому він не обмежений перевіркою лише декількох визначених доменів.

За допомогою даного сервіса можна перевірити стан DNS сервера вашого хостера. В результаті перевірки видається звіт про стан DNS сервера. Звіти даних двох сервісів доволі схожі, тому що перевіряються аналогічні параметри DNS серверів.

В даній добірці уразливості в веб додатках:

• HP Business Service Automation (BSA) Essentials, Remote Execution of Arbitrary Code (деталі)
• Path disclosure in Plogger (деталі)
• HP Network Node Manager i (NNMi) for HP-UX, Linux, Solaris, and Windows, Remote Denial of Service (DoS), Unauthorized Disclosure of Information, Unauthorized Modification (деталі)
• Multiple Path disclosure in WebsiteBaker (деталі)
• Vulnerabilities in Sunway ForceControl 6.1 sp3 (SCADA) (деталі)
• Multiple SQL Injections in WebsiteBaker (деталі)
• Opera Mobile Cache Poisoning XAS (деталі)
• XSS vulnerabilities in phpAlbum.net (деталі)
• Dolphin Browser HD Cross-Application Scripting (деталі)
• XSRF (CSRF) in phpAlbum.net (деталі)

17.08.2011

У липні, 30.07.2011, я знайшов Information Leakage, Insufficient Anti-automation та Abuse of Functionality уразливості в poMMo. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про уразливості в poMMo.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатку.

04.11.2011

Information Leakage:

Після введення емайлу на subscribe.php, на сторінці http://site/pommo/user/process.php виводиться pending_code (в якості дебаг інформації), який висилається на емайл і який потрібно вказати на confirm.php, що дозволяє пройти підтвердження реєстрації. Що може бути використано для підписки довільних емайлів.

Insufficient Anti-automation:

http://site/pommo/user/confirm.php?code=32456bdc42bf333c7cf842924aabeba8

Із-за відсутності захисту від автоматизованих запитів (капчі) на даній сторінці, з врахуванням IAA на subscribe.php та IL на process.php, можна автоматизовано підписувати людей на розсилку.

Abuse of Functionality:

За допомогою даних уразливостей можна проводити e-mail (login) enumeration атаку, при цьому для аутентифікації користувачів використовується лише логін (без пароля). А також використовувати емайли для спам-цілей.

http://site/pommo/user/update.php?email=1@1.com

При вказанні емайла (що є логіном), який не є в базі підписчиків, відбувається редирект, а якщо він є в базі, то виводиться повідомлення про невірний код.

http://site/pommo/user/activate.php?email=1@1.com

При вказанні емайла (що є логіном), який не є в базі підписчиків, відбувається редирект, а якщо він є в базі, то виводиться повідомлення, що на даний емайл вже висланий лист.

Уразливі всі версії poMMo (poMMo Aardvark PR16.1 та попередні версії).

Нещодавно відбувся новий масовий взлом сайтів (останній інцидент) на сервері HostPro. Він тривав на протязі 2009 - 2011 років: в періоди 21.08.2009 - 17.12.2009, 16.05.2010 - 07.12.2010 та 11.03.2011 - 08.10.2011. Третій масовий взлом сайтів на сервері HostPro відбувся у липні.

Був взломаний сервер української компанії HostPro. Взлом складався з серії невеликих дефейсів (декількох по одному сайту та одного разу 4 сайтів) та двох масових дефейсів (21 та 22 сайти).

Всього було взломано 53 сайти на сервері хостера HostPro (IP 77.222.131.80). Це наступні сайти: www.idportal.org, www.zooritual.com.ua, www.energosouz.com, www.khpzida.com, www.stelmashow.in.ua, vvplawfirm.com, www.vvplawfirm.net, www.vvplawfirm.org, www.vvplawfirm.com.ua, www.vvplawfirm.kiev.ua, www.vvplawfirm.net.ua, pometki.com.ua, www.pometki.com, www.photocore.com.ua, www.urp.in.ua, www.tradesoft.com.ua, www.avramenko.org, www.avramenko.biz, fishka-plus.com.ua, www.krisha.net.ua, www.deeptown.kiev.ua, www.vesgroup.kiev.ua, www.vesgroup.com.ua, kyigrandtour.com, vipit.org.ua, inapple.org.ua, grem.kiev.ua, lexaudit.com, tl.com.ua, beautyshar.com.ua, www.aviaservis.com.ua, bestphoto.com.ua, dicei.org.ua, arhimas.com, all-rodyna.com.ua, kyudo.org.ua, barraban.com.ua, www.yavir.org.ua, www.dr-petrunin.org.ua, postroyportal.ru, www.upyrka.ru, agileee.org, agileee.com, www.grifin.org.ua, otva.org.ua, betv.com.ua, redline.org.ua, bagua.inf.ua, masha-sokol.ru, csep.org.ua.

З зазначених 53 сайтів 1 був взломаний хакером Opsisrael, 22 сайти хакерами з RKH, 1 сайт хакером iskorpitx, 1 сайт хакером limihack, 1 сайт хакером Metropolis, 1 сайт хакером SNiPeR HB, 1 сайт хакером SauDi ViRuS TeaM, 21 сайт хакерами з Azerbaijan Attacker та 1 сайт хакером Nicky Mc.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу невиликої групи сайтів та багатьох взломів маленьких груп сайтів на протязі трьох років, маловірогідно, що вони були взломані через взлом серверу хостінг провайдера (коли через взлом одного сайта, був отриманий root доступ до сервера). Але атаку на інші сайти на даному сервері через взлом одного сайту не можна виключати (бо до деяких з цих сайтів могли дістатися і без root доступа). Зокрема є декілька груп сайтів, які явно знаходяться в одному акаунті, тому кожна з цих груп сайтів могла бути дефейснута лише через взлом одного сайта в акаунті.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Ransomware (malware)
• Fraudulent dialer
• Pass the hash
• Tapjacking - це Clickjacking для мобільних пристроїв.
• Likejacking - це Clickjacking для “лайків” Facebook.

В даній добірці уразливості в веб додатках:

• KnFTPd v1.0.0 Multiple Command Remote Buffer Overflow (деталі)
• Arbitary File Upload Vulnerability in Elxis CMS component eForum v1.1 (деталі)
• Open Query Interface in Cisco Unified Communications Manager and Cisco Unified Presence Server (деталі)
• ikiwiki security update (деталі)
• Gadu-Gadu 0-Day Remote Code Execution (деталі)
• CSRF (Cross-Site Request Forgery) in Webjaxe (деталі)
• Useless OpenSSH resources exhausion bug via GSSAPI (деталі)
• Multiple XSS in WebCalendar (деталі)
• XSS vulnerability in FortiMail Messaging Security Appliance (деталі)
• XSS vulnerability in Plogger (деталі)