Websecurity - Веб безпека

В своїй презентації Using Security Engineering and Formal Methods to create secure Web Applications, Nick Mathew розповідає про створення безпечних веб додатків. Про те, як використовуючи секюріті інженерію та формальні методи можна створювати безпечні веб додатки.

08.06.2010

У листопаді, 04.11.2009, я знайшов Cross-Site Scripting та Full path disclosure уразливості на проекті http://xataface.com. Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

21.01.2011

XSS:

http://xataface.com/admin.php?-table=pages&-search=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&-action=search_index

Full path disclosure:

Змінна DATAFACE_PATH в тілі кожної сторінки сайта.

Дані уразливості вже виправлені.

В даній добірці експлоіти в веб додатках:

• NovaSTOR NovaNET <= 12.0 remote root exploit (деталі)
• NovaSTOR NovaNET remote DoS + arbitrary memory read (деталі)
• NovaSTOR NovaNET <= 12.0 remote SYSTEM exploit (деталі)
• NovaSTOR NovaNET/NovaBACKUP <= 13.0 remote DoS (деталі)
• Objectivity/DB Lack of Authentication Remote Exploit (деталі)

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19 та 20.

Ось нова добірка уразливих секюріті сайтів:

• varta.net.ua
• scb-ua.com
• www.bezpeka-service.com.ua

Всім секюріті компаніям слід приділяти більше уваги безпеці власних веб сайтів.

04.06.2010

У жовтні, 31.10.2009, я знайшов Abuse of Functionality, Insufficient Anti-automation та Brute Force уразливості на проекті http://www.ex.ua (файлообмінник). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

20.01.2011

Abuse of Functionality:

На сторінці http://www.ex.ua/register в полі Логін можна визначити логіни користувачів в системі. Це також можна зробити через GET запит. Дана уразливість дозволяє провести Login Enumeration атаку.

http://www.ex.ua/r_check_login?login=123

Insufficient Anti-automation:

Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів в системі. В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів системи.

Brute Force:

На сторінці http://www.ex.ua/login можливе визначення паролів користувачів. В перші декілька спроб капча відсутня, лише потім вона з’являється, що може використовуватися для атаки.

Дані уразливості досі не виправлені.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.vhodv.com (хакером Stupid) - 16.01.2011, зараз сайт вже виправлений адмінами
• http://www.btg.com.ua (хакером Stupid) - 16.01.2011, зараз сайт вже виправлений адмінами
• http://www.karpatypremium.com (хакером Fl0riX) - 09.01.2011, зараз сайт вже виправлений адмінами
• http://romanko.kiev.ua (хакером Jimmi) - 11.01.2011, зараз сайт вже виправлений адмінами
• http://www.wazzzup.tv (хакерами з Opoja Hackers Group) - 11.01.2011 - зараз сайт не працює

06.11.2010

У липні, 07.07.2010, я знайшов Cross-Site Scripting та Full path disclosure уразливості в xAjax та xajax_jquery_plugin. Які я виявив на різних сайтах, що використовують дані веб додатки, в тому числі на деяких сайтах на MC Content Manager. Про що найближчим часом повідомлю розробникам.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатків.

19.01.2011

XSS:

http://site/cms/’;alert(document.cookie);/*

Це DOM Based XSS. Дана уразливість зокрема має місце в MC Content Manager (що використовує xAjax).

Full path disclosure:

http://site/xajax_core/legacy.inc.php
http://site/xajax_core/xajax_lang_de.inc.php
http://site/xajax_core/xajax_lang_nl.inc.php
http://site/xajax_core/plugin_layer/xajaxCallableObjectPlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxDefaultIncludePlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxEventPlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxFunctionPlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxScriptPlugin.inc.php
http://site/xajax_core/plugin_layer/xajaxDefaultRequestProcessorPlugin.inc.php
http://site/jquery.php
http://site/demo.php

Файли jquery.php та demo.php відносяться до xajax_jquery_plugin. Дані уразливості мають місце на різних веб сайтах та у різних веб додатках, що використовують xAjax та xajax_jquery_plugin.

Уразливі потенційно всі версії xAjax. Уразливі всі версії xajax_jquery_plugin.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Meet-in-the-middle attack
• Brute-force attack
• Threat model
• Time-of-check-to-time-of-use
• Timeline of computer viruses and worms

В даній добірці уразливості в веб додатках:

• HP Systems Insight Manager (SIM) for HP-UX, Linux, and Windows, Remote Unauthorized Access to Data (деталі)
• iBoutique.MALL 1.2 XSS vuln (деталі)
• NetArtMEDIA Real Estate Portal v2.0 XSS vuln. + NetArtMEDIA lfi (деталі)
• Open Classifieds version 1.7.0.2 XSS Vuln (деталі)
• HP LoadRunner Agent on Windows, Remote Unauthenticated Arbitrary Code Execution (деталі)
• HP Mercury LoadRunner Agent Trusted Input Remote Code Execution Vulnerability (деталі)
• HP Performance Center Agent on Windows, Remote Unauthenticated Arbitrary Code Execution (деталі)
• New smbind packages fix sql injection (деталі)
• chillyCMS Multiple Vulnerabilities (деталі)
• XSS bug in US Robotics firmware USR5463-v0_06.bin (деталі)

Виявлена можливість несанкціонованого доступу в Objectivity/DB.

Уразливі версії: Objectivity/DB 10.

Можливе виконання деяких команд без аутентфікації.

• Objectivity/DB Lack of Authentication Remote Exploit (деталі)