Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.galstyki.com (хакером Delp0rt3r)
• http://diplomik.net (хакером The KabuS) - 29.10.2010, зараз сайт вже виправлений адмінами
• http://clip.net.ua (хакерами з FR-CR3W)
• http://www.mia-fin.com.ua (хакером Brunei)
• http://www.tsarus.com.ua (хакерами з 1923TURK-GRUP) - 06.10.2010, зараз сайт вже виправлений адмінами

08.09.2010

У квітні, 18.04.2010, я знайшов Insufficient Anti-automation, Cross-Site Scripting, Denial of Service та Full path disclosure уразливості в PHPShop (це движок для онлайн магазинів). Дані уразливості я виявив на сайті bezpeka.kr.ua. Про що найближчим часом повідомлю розробникам.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

06.11.2010

Insufficient Anti-automation:

http://site/users/register.html

На даній сторінці використовується уразлива капча.

PHPShop CAPTCHA bypass.html

http://site/users/sendpassword.html

На даній сторінці немає захисту від автоматизованих запитів (капчі).

XSS (з обходом капчі):

PHPShop XSS.html

DoS:

http://site/search/?words=.&p=all&cat=0

Full path disclosure:

http://site/page/’

Уразливі PHPShop 2.1 EE та попередні версії (й потенційно наступні версії).

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Denial-of-service attack
• Відмова сервісу
• Relay attack
• Replay attack
• Return-oriented programming

17.02.2010

У липні, 12.07.2009, я знайшов Cross-Site Scripting уразливість на проекті http://letitbit.net (файлообмінник). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше.

05.11.2010

XSS:

• alert(document.cookie)

Дану уразливість вже виправили. Але зробили це некоректно, тому при невеликій зміні коду, вона знову працює.

XSS:

• alert(document.cookie)
• цікавий

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://zorya.dp.ua - інфекція була виявлена 28.09.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://coldcountry.org.ua - інфекція була виявлена 12.09.2010. Зараз сайт входить до переліку підозрілих.
• http://fm-tv.in.ua - інфекція була виявлена 03.10.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://de-luxe.net.ua - інфекція була виявлена 03.11.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://my.km.ua - інфекція була виявлена 14.10.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 5 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.

Виявлене переповнення буфера в Mozilla Firefox, Thunderbird і Seamonkey.

Уразливі продукти: Mozilla Firefox 3.5, Firefox 3.6, Thunderbird 3.0, Thunderbird 3.1, SeaMonkey 2.0.

Переповнення буфера при використанні document.write і DOM використовується для прихованого впровадження шкідливого коду. Дана уразливість активно використовувалася різними malware в жовтні 2010.

• Mozilla Foundation Security Advisory 2010-73 (деталі)

В даній добірці уразливості в веб додатках:

• HP Web Jetadmin, Remote Unauthorized Access to Data, Denial of Service (DoS) (деталі)
• YACK CMS 10.5.27 Remote File Inclusion Vulnerability (деталі)
• OpenSSL vulnerability (деталі)
• EasyManage CMS Multiple SQL injection Vulnerabilities (деталі)
• XSS vulnerability in Campsite (деталі)
• XSS vulnerability in Campsite (деталі)
• 68KB v1.0.0rc4 Remote File Include Vulnerability (деталі)
• Geo++(R) GNCASTER: Faulty implementation of HTTP Digest Authentication (деталі)
• Geo++(R) GNCASTER: Insecure handling of NMEA-data (деталі)
• Geo++(R) GNCASTER: Insecure handling of long URLs (деталі)

В попередніх статтях я розповідав про SQL Smuggling атаки та про нові методи SQL Smuggling. SQL Smuggling - це техніка проведення SQL Injection атак з обходом захисних систем.

Серед нових методів SQL Smuggling, що з’явилися після публікації раніше згаданої статті про дану методику атак, я виділив два методи, які були розроблені секюріті дослідниками. Це використання специфічного кодування в SQL запиті (розроблена в 2007) та обрізання рядку в MySQL (розроблена в 2008).

За останні роки я розробив багато власних методів атак на веб додатки з метою обходу як вбудованих у веб додаток захистних фільтрів, так і встановлених на сервері IDS, IPS та WAF систем. І багато прикладів подібних атак я наводив в новинах. Зокрема я розробив і методи, що можуть використовуватися при проведенні SQL Injection атак. Тому дані методи можна віднести до SQL Smuggling атак.

Серед моїх власних методів SQL Smuggling я виділю наступні:

1. Переведення GET запиту в POST. Деякі захисні системі захищають лише від атак через GET запити, тому їх можна обійти через POST запити.

2. Використання blind SQL Injection замість звичайного SQL Injection. Деякі захисні системи захищають лише від атак, що відносяться до звичайних SQLi, але не від blind SQLi, тому їх можна обійти при переведенні звичайних ін’єкцій в сліпі ін’єкції.

3. Використання Encoded SQL Injection - нового класу SQLi, що я розробив в 2009 році.

Більш детально про використання Encoded SQL Injection уразливостей я розповім в окремій статті.

28.07.2010

У липні, 02.07.2010, а також додатково сьогодні, я знайшов Cross-Site Scripting та SQL Injection уразливості в CMS WebManager-Pro. Дані уразливості я виявив на різних сайтах на CMS WebManager-Pro від FGS_Studio. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про уразливості в CMS WebManager-Pro.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

30.10.2010

XSS:

http://site/index.php?word[]=%22%20onMouseOver=alert(document.cookie)%20

Дана уразливість може використовуватися разом з MouseOverJacking.

SQL Injection (Authentication Bypass):

На сторінці http://site/admin/ при відключенних mq:
' or 1='1В полі Логин.

Уразливі CMS WebManager-Pro v.7.4.3 (версія від FGS_Studio) та попередні версії.

20.10.2010

Продовжу тему безпеки секюріті сайтів, яку я піднімав в попередніх записах Безпека сайтів про безпеку, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14, 15, 16, 17 та 18.

Ось нова добірка уразливих секюріті сайтів:

• bezpeka.kr.ua
• codecamp.org.ua
• www.hackerscenter.com

Всім security проектам та сайтам секюріті конференцій слід приділяти більше уваги безпеці власних веб сайтів.

30.10.2010

Ще одна добірка уразливих секюріті сайтів:

• www.rmd5.com
• www.ssllabs.com
• varta.net.ua

Секюріті проектам та компаніям варто більше слідкувати за безпекою власних сайтів.