Websecurity - Веб безпека

Продовжу тему витоку інформації про версію системи. Як я зазначав, виведення версії системи - це поширена функція у веб додатках та веб системах. Багато різних движків виводять інформацію про версію системи і дана можливість движків є уразливістю.

Це витік інформації (Information Leakage) про версію системи, що може бути використаний для атаки на сайти, що використовують даний движок. В класифікації WASC визначений окремий клас уразливостей для таких витоків інформації - Fingerprinting (WASC-45).

Наведу нові приклади подібних уразливостей в різних веб додатках, що приводять до витоку інформації про версію системи.

phpMyAdmin

В phpMyAdmin версію можна дізнатися в файлах /readme.php, /README, /changelog.php, /ChangeLog, /Documentation.html, /translators.html, /Documentation.txt, /scripts/setup.php та /RELEASE-DATE-2.11.11 (Version 2.11.11). В останньому випадку потрібно забрутфорсити ім’я файла і таким чином визначити версію веб додатка.

Silverstripe CMS

В Silverstripe версію системи можна дізнатися в файлі http://site/cms/silverstripe_version (2.4.2).

DataLife Engine

В DLE є декілька витоків інформації:

• Версію системи можна дізнатися в файлах /install.php, /update.php та /UpdateReadMe.txt.
• По рокам копірайтів можна визначити приблизну версію системи (”2004-2011″ значить, що це версія не менше 9.2).

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://ispf.gov.ua (хакером brwsk007) - 20.04.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://brovary-region.gov.ua (хакером Azerbaijan Attacker) - 23.04.2011 - взломаний державний сайт, зараз сайт вже виправлений адмінами
• http://www.ecopsycholog.com (хакерами з PHF) - 13.04.2011 - після взлому PHF, сайт також був взломаний в квітні різними хакерами (такими як ADG, aGa Hackers та N0FAC3), зараз сайт вже виправлений адмінами. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті
• http://www.magicchest.com.ua (хакером MSA BABA)
• http://www.neo-forte.com.ua (хакерами з 1923Turk-Grup) - 25.04.2011, зараз сайт вже виправлений адмінами

В даній добірці уразливості в веб додатках:

• IBM Lotus Domino iCalendar MAILTO Stack Overflow Vulnerability (деталі)
• SQL Injection in DynPG (деталі)
• Path disclosure in DynPG (деталі)
• Novell iManager getMultiPartParameters Arbitrary File Upload Remote Code Execution Vulnerability (деталі)
• LFI in DynPG (деталі)
• SQL Injection in Eclime (деталі)
• SAP Management Console Multiple Denial of Service (деталі)
• SQL Injection in Enano CMS (деталі)
• Path disclosure in Enano CMS (деталі)
• Vulnerabilities in libesmtp (деталі)

08.07.2010

У червні, 30.06.2010, я знайшов SQL Injection уразливість на проекті http://k-t.net.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

06.05.2011

SQL Injection:

http://k-t.net.ua/index.php?content_id=-1%20or%20version()%3E4

Дана уразливість досі не виправлена.

Продовжуючи розпочату традицію, після попереднього відео про використання редиректорів для атаки, пропоную нове відео на веб секюріті тематику. Цього разу відео про захист від небезпечних сайтів. Рекомендую подивитися всім хто цікавиться цією темою.

Web of Trust - Helping to Protect Your Computer From Unsafe Sites

В даному відео розповідається про небезпечні сайти, що розповсюджують шкідливе програмне забезпечення (malware). Яке може заразити ваш комп’ютер. І для захисту власного комп’ютера варто використовувати сервіси, що попереджують про шкідливі сайти (торік я багато розповідав про такі сервіси, які я називаю веб антивірусами).

В відео зокрема показаний один з таких сервісів - Web of Trust, про який я вже розповідав. Рекомендую подивитися дане відео для розуміння векторів атак через інфіковані та шкідливі сайти.

22.03.2011

У січні, 19.01.2011, я знайшов Brute Force, Insufficient Anti-automation та Abuse of Functionality уразливості в Silverstripe CMS. Які я виявив на одному сайті, що використовує даний движок. Про що найближчим часом повідомлю розробникам.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

06.05.2011

Brute Force:

http://site/Security/login

Insufficient Anti-automation:

http://site/contact-us/

http://site/Security/lostpassword

В даних формах немає захисту від автоматизованих запитів (капчі).

Abuse of Functionality:

http://site/Security/lostpassword

В даному функціоналі можна виявляти емайли користувачів, які є логінами в системі.

Про Fingerprinting уразливість в даній CMS я розповів в іншому записі.

Уразливі Silverstripe CMS 2.4.5 та попередні версії.

07.07.2010

У червні, 30.06.2010, я знайшов SQL Injection уразливість на проекті http://www.lismash.com.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

05.05.2011

SQL Injection:

http://www.lismash.com.ua/index.php?content_id=-1%20or%20version()%3E4

Дана уразливість досі не виправлена.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://illusion.mk.ua - інфекція була виявлена 19.02.2011. Зараз сайт не входить до переліку підозрілих.
• http://arsmt.com.ua - інфекція була виявлена 22.02.2011. Зараз сайт не входить до переліку підозрілих.
• http://upk.kiev.ua - інфекція була виявлена 04.05.2011. Зараз сайт не входить до переліку підозрілих.
• http://press-udarnyi.com.ua - інфекція була виявлена 11.02.2011. Зараз сайт не входить до переліку підозрілих.
• http://ortlyceum.kiev.ua - інфекція була виявлена 30.03.2011. Зараз сайт не входить до переліку підозрілих.

05.03.2011

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх двадцяти записах Безпека сайтів про безпеку.

Ось нова добірка уразливих секюріті сайтів:

• sbu.gov.ua та dsszzi.gov.ua
• hackzona.ru
• acsk.uss.gov.ua

Всім спецслужбам та хакерським проектам слід приділяти більше уваги безпеці власних веб сайтів.

05.05.2011

Ще одна добірка уразливих секюріті сайтів:

• bezpeka.com, www.itland.com.ua, hacker-pro.net
• packetstormsecurity.org
• www.barracudacentral.org
• security-ua.com

ІБ компаніям і секюріті та хакерським веб проектам варто більше слідкувати за безпекою власних сайтів.

В даній добірці уразливості в веб додатках:

• MailEnable SMTP Service Two Denial of Service Vulnerabilities (деталі)
• XSS vulnerability in phpmyadmin (деталі)
• Apache Archiva CSRF Vulnerability (деталі)
• IBM Proventia Network Mail Security System - CRLF Injection vulnerability (деталі)
• IBM Proventia Mail Security System - Insecure Direct Object Reference vulnerability (деталі)
• Link Protect 1.2 XSS Vulnerabilities (деталі)
• SQL Injection in Elxis CMS (деталі)
• IBM Proventia Network Mail Security System - Cross-Site Request Forgery vulnerabilities (деталі)
• IBM Proventia Mail Security System - Multiple persistent and reflected XSS vulnerabilities (деталі)
• SQL Injection in Elxis CMS (деталі)