Websecurity - Веб безпека

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://radikal.pp.ua - інфекція була виявлена 05.11.2010. Зараз сайт не входить до переліку підозрілих.
• http://vhodv.com - інфекція була виявлена 31.01.2011. Зараз сайт не входить до переліку підозрілих.
• http://wedness.cv.ua - інфекція була виявлена 23.11.2010. Зараз сайт входить до переліку підозрілих.
• http://zikave.at.ua - інфекція була виявлена 27.12.2010. Зараз сайт не входить до переліку підозрілих.
• http://goodparents.com.ua - інфекція була виявлена 12.11.2010. Зараз сайт не входить до переліку підозрілих.

В останні роки з’явився новий вид атак на сайти - це атака на сайт через захоплення домену. Зокрема в 2009-2011 роках сталося декілька подібних атак на відомі компанії. Тому, на мій погляд, даний вид атак буде ставати все більш поширеним з кожним роком і вже варто звертати на це увагу.

Захоплення домену (Domain hijacking) - це атака, коли змінюються налаштування домену (DNS) для того, щоб він вказував не на офіційний сервер власників домену, а на сервер зловмисників. І дана атака може становити загрозу власникам сайта та його відвідувачам. Тому враховуючи поширення подібних атак, подібно приділяти увагу також і безпеці власних доменів (як самим власникам доменів, так і домен-провайдерам).

Останні гучні інциденти:

1. Атака на марокканський сайт Google.

В травні 2009 року відбулася атака на сайт google.co.ma компанії Googlе через зміну налаштувань DNS. Як повідомлялося, перед цим (в квітні) аналогічним чином були атаковані сайти Google в Алжиру (google.dz) і Пуерто-Ріко (google.com.pr).

2. Дефейс бангладешського сайта Google.

Як я вже писав, на початку січня сайт google.com.bd компанії Googlе піддався дефейсу, через захоплення управління над доменом.

3. Захоплення домену ChronoPay.

Як я писав раніше, наприкінці грудня 2010 року був взломаний сайт ChronoPay. Власники процесінгової компанії заявили, що безпосередньо сам сайт не взломали, а лише тимчасово викрали домен. Але враховуючи, що це крупна процесінгова компанія, сайтом якої користується велика кількість власників кредитних карт, наслідки даної атаки будуть серйозними.

16.06.2010

У листопаді, 08.11.2009, я знайшов Cross-Site Scripting уразливості на проекті http://n-change.net (обмінник веб грошей). Про що найближчим часом сповіщу адміністрацію проекту.

Останній раз стосовно обмінників веб грошей я писав про уразливості на exwp.com.

Детальна інформація про уразливості з’явиться пізніше.

01.02.2011

XSS:

• alert(document.cookie)
• alert(document.cookie)
• цікавий
• html включення

Дані уразливості досі не виправлені.

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WP Featured Post With Thumbnail, RSS Feed Reader For WordPress та Recip.ly Plugin. Для котрих з’явилися експлоіти. WP Featured Post With Thumbnail - це плагін для виведення рекомендованих записів, RSS Feed Reader For WordPress - це плагін для виведення RSS фідів у вигляді HTML, Recip.ly Plugin - це плагін для роботи з рецептами.

• WordPress WP Featured Post With Thumbnail 3.0 Cross Site Scripting (деталі)
• WordPress RSS Feed Reader For WordPress 0.1 Cross Site Scripting (деталі)
• WordPress Recip.ly Plugin 1.1.7 Shell Upload (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

На початку 2010 року вийшла друга версія класифікації Web Application Security Consortium Threat Classification - WASC TC v2.0. Вона є продовженням WASC TC v1.0 і має значні відмінності від першої версії класифікації.

Серед нововведень другої версії класифікації виділю наступні. По-перше, в ній додані нові класи уразливостей. По-друге, з’явилися ідентифікатори класів уразливостей (що є зручним для посилання на WASC TC). По-третє, в новій версії класифікації немає категорій уразливостей, а є два різновиди: Атаки та Слабкості.

За новою версією класифікації WASC TC існують наступні класи уразливостей:

Атаки (Attacks):

Abuse of Functionality (WASC-42)
Brute Force (WASC-11)
Buffer Overflow (WASC-07)
Content Spoofing (WASC-12)
Credential/Session Prediction (WASC-18)
Cross-Site Scripting (WASC-08)
Cross-Site Request Forgery (WASC-09)
Denial of Service (WASC-10)
Fingerprinting (WASC-45)
Format String (WASC-06)
HTTP Request Splitting (WASC-24)
HTTP Response Splitting (WASC-25)
HTTP Request Smuggling (WASC-26)
HTTP Response Smuggling (WASC-27)
Integer Overflows (WASC-03)
LDAP Injection (WASC-29)
Mail Command Injection (WASC-30)
Null Byte Injection (WASC-28)
OS Commanding (WASC-31)
Path Traversal (WASC-33)
Predictable Resource Location (WASC-34)
Remote File Inclusion (WASC-05)
Routing Detour (WASC-32)
SOAP Array Abuse (WASC-35)
SSI Injection (WASC-36)
Session Fixation (WASC-37)
SQL Injection (WASC-19)
URL Redirector Abuse (WASC-38)
XPath Injection (WASC-39)
XML Attribute Blowup (WASC-41)
XML External Entities (XXE) (WASC-43)
XML Entity Expansion (WASC-44)
XML Injection (WASC-23)
XQuery Injection (WASC-46)

Слабкості (Weaknesses):

Application Misconfiguration (WASC-15)
Directory Indexing (WASC-16)
Improper Filesystem Permissions (WASC-17)
Improper Input Handling (WASC-20)
Improper Output Handling (WASC-22)
Information Leakage (WASC-13)
Insecure Indexing (WASC-48)
Insufficient Anti-automation (WASC-21)
Insufficient Authentication (WASC-01)
Insufficient Authorization (WASC-02)
Insufficient Password Recovery (WASC-49)
Insufficient Process Validation (WASC-40)
Insufficient Session Expiration (WASC-47)
Insufficient Transport Layer Protection (WASC-04)
Server Misconfiguration (WASC-14)

Виявлена можливість виконання коду в Microsoft Internet Information Services.

Уразливі версії: Microsoft IIS 6 під Windows XP та Windows 2003 Server.

Файли з папок з розширенням .asp обробляються як ASP-сценарії незалежно від розширення файлу.

• Microsoft IIS 6 parsing directory “x.asp” Vulnerability (деталі)

В даній добірці уразливості в веб додатках:

• IBM BladeCenter Management Module - DoS vulnerability (деталі)
• SQL injection vulnerability in Entrans (деталі)
• XSS vulnerability in Entrans (деталі)
• SQL injection vulnerability in e107 (деталі)
• Unauthenticated Filesystem Access in iomega Home Media Network Hard Drive (деталі)
• 2.6.6 <= phpMyFAQ <= 2.6.8 XSS (деталі)
• XSS vulnerability in Pluck (деталі)
• XSS vulnerability in GetSimple CMS (деталі)
• Various XSS and information disclosure flaws within 3Com iMC (Intelligent Management Center) (деталі)
• Unauthenticated File Retrieval (traversal) within 3Com iMC (Intelligent Management Center) (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах WordPress Uploader, x7Host’s Videox7 UGC та WP Publication Archive. Для котрих з’явилися експлоіти. WordPress Uploader - це плагін для завантаження файлів, x7Host’s Videox7 UGC - це плагін для розміщення відео на сайті, WP Publication Archive - це плагін для завантаження та управління публікаціями.

• WordPress Uploader 1.0.0 Cross Site Scripting (деталі)
• WordPress x7Host’s Videox7 UGC Plugin 2.5.3.2 Cross Site Scripting (деталі)
• WordPress WP Publication Archive 2.0.1 Local File Inclusion (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Існує така класифікація уразливостей як Web Application Security Consortium Threat Classification (WASC TC). У 2004 році вийшла перша версія класифікації - WASC TC v1.0. Про яку я зараз детально розповім (зазначу, що в 2010 році вийшла TC v2.0).

Дану класифікацію я використовую в своїй діяльності з 2006 року. На її основі я розробив власну класифікацію уразливостей для проведення аудита безпеки (це моя розширена версіїя WASC TC), а також я згадував про дану класифікацію в своїх доповідях на конференціях.

За класифікацією WASC TC існують наступні класи уразливостей:

1. Аутентифікація (Authentication)
1.1. Підбор (Brute Force)
1.2. Недостатня аутентифікація (Insufficient Authentication)
1.3. Небезпечне відновлення паролів (Weak Password Recovery Validation)
2. Авторизація (Authorization)
2.1. Передбачуване значення ідентифікатора сесії (Credential/Session Prediction)
2.2. Недостатня авторизація (Insufficient Authorization)
2.3. Відсутність таймаута сесії (Insufficient Session Expiration)
2.4. Фіксація сесії (Session Fixation)
3. Атаки на клієнтів (Client-side Attacks)
3.1. Підміна вмісту (Content Spoofing)
3.2. Міжсайтове виконання сценаріїв (Cross-Site Scripting)
3.3. Розщеплення HTTP-запиту (HTTP Response Splitting)
4. Виконання коду (Command Execution)
4.1. Переповнення буфера (Buffer Overflow)
4.2. Атака на функції форматування рядків (Format String Attack)
4.3. Впровадження операторів LDAP (LDAP Injection)
4.4. Виконання команд ОС (OS Commanding)
4.5. Впровадження операторів SQL (SQL Injection)
4.6. Впровадження серверних розширень (SSI Injection)
4.7. Впровадження операторів XPath (XPath Injection)
5. Недостатній захист інформації (Information Disclosure)
5.1. Індексування директорій (Directory Indexing)
5.2. Ідентифікація додатків (Web Server/Application Fingerprinting)
5.3. Витік інформації (Information Leakage)
5.4. Зворотний шлях у директоріях (Path Traversal)
5.5. Передбачуване розташування ресурсів (Predictable Resource Location)
6. Логічні атаки (Logical Attacks)
6.1. Зловживання функціональними можливостями (Abuse of Functionality)
6.2. Відмова в обслуговуванні (Denial of Service)
6.3. Недостатня протидія автоматизації (Insufficient Anti-automation)
6.4. Недостатня перевірка процесу (Insufficient Process Validation)

Продовжуючи традицію, пропоную вашій увазі добірку цікавих записів на тему веб безпеки.

В своєму записі XSS Evades IP Filtering, RSnake розповідає про використання XSS для обходу обмежень по IP. З однієї сторони для простих речей вистачить і CSRF, але для більш складних речей потрібно використовувати CSRF через XSS атаку (і про такі речі я вже розповідав). До того ж, через XSS уразливості можна обходити і захисти проти CSRF-атак, на що я наголошую вже на протязі багатьох років.

В своєму записі Schmoilito’s Way Is Hacking Via Local Apps, RSnake розповідає про використання MSXML для локальних атак, про які повідомив йому Schmoilito. Причому MSXML XHR може використовуватися не тільки для атаки на інтранет (на локальну мережу), але й для доступу до локальних файлів. Тому що Майкрософтський функціонал MSXML, що працює в браузері IE, дозволяє читати локальні файли.

В своєму записі MalaRIA Malicious RIA Proxy, RSnake розповідає про MalaRIA - Malicious RIA Proxy. Цей додаток розроблений Erlend Oftedal і являє собою проксі, що може використовуватися для атаки на сайти через Flash та Silverlight. Він може використовуватися для доступу з одного сайту до захищенного контенту на іншому сайті через флеш чи сільверлайт на машині клієнта.