Websecurity - Веб безпека

Стосовно інциденту, що стався на моєму сайті 08.09.2010. Тоді невідомий зловмисник видалив всі файли в мене на сайті та розмістив на головній сторінці некультурні висловлювання на мою адресу . Схоже, що він потратив чимало часу, щоб після того як він не знайшов дірок в мене сайті, знайти якийсь дірявий веб додаток на іншому сайті на даному сервері.

Проведене мною в середу, 08.09.2010, дослідження показало, що мій сайт припинив нормальну роботу в 06:28:37. Після виявлення мною цієї ситуації на сайті, я зв’язався з хостером і мій сайт був швидко відновлений з бекапу (благо не сервері робляться щоденні бекапи). При цьому після детального дослідження логу жодних слідів зловмисника не було виявлено - лише сотні спроб атакувати мій сайт, що я виявляю щоденно. Тобто атака мала місце не на мій сайт, а на інший сайт на цьому самому сервері, через який нападник витер файли на моєму сайті. Одразу коли я виявив цей інцидент я вирішив, що атака мала місце через інший сайт на сервері, й мої дослідження логів це лише підтвердили.

Тому я попросив свого хостера (а я розміщую сайт на сервері SHALB), дослідити логи інших сайтів, що розміщені на даному сервері, щоб виявити нападника. І лише сьогодні я отримав офіційну відповідь від хостера. Вони на протязі багатьох днів аналізували логи і виявили наступне. Що нападник атакував phpMyAdmin, що був розміщений на одному з сайтів SHALB, і він отримав доступ до адмінки даного веб додатку. І з phpMyAdmin ймовірно він дістався до файлової системи сервера і таким чином він дістався до мого сайта.

Даний дірявий додаток був прибраний хостером з сервера. Тому, як вони запевняють, таких інцидентів більше бути не повинно. Так що всі бажаючі взломати мій сайт, як і завжди, можуть сміливо йти на всі чотири сторони .

Виявлена можливість проведення DoS атаки проти Apple WebKit і Safari.

Уразливі версії: Apple Safari 5.0.

Відмова при розборі параметрів SVG.

• Safari for windows Invalid SVG text style Webkit.dll DoS (деталі)

16.01.2010

У травні, 17.05.2009, я знайшов Cross-Site Scripting та Full path disclosure уразливості на проекті http://infoscop.net (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

14.09.2010

XSS:

• alert(document.cookie)
• alert(document.cookie)

А також з будь-якими іншими параметрами окрім “pg” (”a” і т.д.) в скриптах index.php та f_mn.php.

Дані уразливості виправлені, але неякісно, тому при невеликій зміні коду, вони знову працюють.

XSS (з MouseOverJacking):

• alert(document.cookie)
• alert(document.cookie)
• цікавий

А також з будь-якими іншими параметрами окрім “pg” (”a” і т.д.) в скриптах index.php та f_mn.php.

Full path disclosure:

http://infoscop.net/index.php?pg=index.php
http://infoscop.net/f_mn.php?pg=f_mn.php
http://infoscop.net/f_inc/f_var_ses.php
http://infoscop.net/f_inc/f_cadm.php
http://infoscop.net/f_inc/f_frm_i.php
http://infoscop.net/f_inc/f_rld.php
http://infoscop.net/f_inc/f_var_db.php

Дані уразливості досі не виправлені.

В серпні була виявлена уразливість, що дозволяє підміну DLL у багатьох додатках Microsoft Windows. Вона отримала назву DLL Hijacking, а також її ще називають Remote Binary Planting, Insecure DLL Loading/Injection/Hijacking/Preloading.

Окрім атаки на різні десктопні додатки під Windows, також можуть відбуватися атаки через Інтернет. Зокрема на браузери, про що я позавчора писав в записі DLL Hijacking в різних браузерах, а також на Flash плагін в IE8. Тому DLL Hijacking також стосується браузерів (чи напряму, чи через флеш-плагін), зокрема браузерів Mozilla Firefox, Opera, Internet Explorer 8, Maxthon, QtWeb та Safari.

Уразливі продукти: Microsoft Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

При виклику додатка асоційованого з типом файлів, поточний шлях встановлюється в папку, де знаходиться файл, по-замовчуванню завантаження динамічних бібліотек відбувається з поточного шляху. Також можливий другий варіант атаки, про який я написав у вищезгаданому записі.

• Подмена DLL во многих приложениях Microsoft Windows (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://titan.lviv.ua - інфекція була виявлена 09.09.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://dn.kiev.ua - інфекція була виявлена 27.08.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://kickboxing.com.ua - інфекція була виявлена 05.09.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://mymultimedia.org.ua - інфекція була виявлена 05.09.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 8 разів протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://notebookmaster.com.ua - інфекція була виявлена 02.09.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.

Зазначу, що сайт dn.kiev.ua вже був інфікований в 2008 році. І в цьому році він знову розповсюджує віруси.

В даній добірці уразливості в веб додатках:

• OSISoft PI Server Authentication Weakness (деталі)
• XSS vulnerability in Jaws (деталі)
• pmwiki: persistent cross site scripting (XSS) (деталі)
• CMS Made Simple: backend cross site scripting (XSS) (деталі)
• Vulnerabilities in OrangeHRM (деталі)
• Novell Edirectory 8.8 SP5 XSS (деталі)
• XSS vulnerability in EasyPublish CMS (деталі)
• XSS vulnerability in Advanced Poll (деталі)
• XSS vulnerability in EasyPublish CMS (деталі)
• Microsoft Security Bulletin MS09-031 - Important Vulnerability in Microsoft ISA Server 2006 Could Cause Elevation of Privilege (деталі)

В серпні була виявлена DLL Hijacking уразливість в Windows, що дозволяє атакувати багато різних додатків. В тому числі дана уразливість була виявлена в Mozilla Firefox.

Як заявляє дослідник Glafkos Charalambous, що розробив екслоіт для даної уразливості в Firefox та Mozilla, що виправила її в версії 3.6.9, уразливі Mozilla Firefox 3.6.8 та попередні версії. Але як я перевірив даний екслоіт, він в мене не працює ні в старій Mozilla, ні в Firefox 3.0.19, Firefox 3.5.11, Firefox 3.6.8, Firefox 4.0b2, ні в Chrome, ні в різних версіях IE. Зато працює в Opera.

Сьогодні я виявив DLL Hijacking уразливість в Opera. Яка дозволяє виконання довільного коду через бібліотеку dwmapi.dll. Атака спрацює в браузері Opera на ОС Windows.

Приклад бібліотеки (що я розробив на основі коду Glafkos Charalambous):

dwmapi.dll

Можливі два варіанта атаки:

1. Атака спрацює при відкриті в браузері файла веб сторінки (htm, html, mht, mhtml) або іншого файла, поруч з яким знаходиться файл dwmapi.dll.

2. Якщо файл dwmapi.dll розміщений на десктопі або в будь-якій папці, що знаходиться в PATH, то код спрацює при кожному відкритті браузера.

З другого варіанту атаки видно, що в деяких додатках (таких як Opera) можна проводити DLL Hijacking атаку іншим методом, ніж той, про який повідомлялося в серпні. Тобто код виконається не тільки при розміщенні dll-файлу поруч з файлом, що призначений для відкриття у додатку, але також якщо dll-файл розміщений на десктопі, або в будь-якій папці, що знаходиться в PATH. І код може виконатися навіть при запуску додатку (як в Opera), без відкриття жодних файлів.

Уразливі Opera 10.61 та попередні версії.

В якості побічного ефекту, дану уразливість можна використати для повного DoS браузера Opera. Тобто використовуючи подібний dll-файл, можна повністю заблокувати запуск Opera - при кожному запуску буде поводитися повідомлення браузера про помилку.

P.S.

Як я перевірив (вже після публікації даного запису) в Opera 10.62, що вийшла 09.09.2010, дана версія невразлива (до обох варіантів атаки). Лише якщо помістити dll-файл в папку Opera або в System32, тільки тоді код спрацює (тому атака може мати місце на системах з FAT32 або при наявності відповідних прав у нападника на системах з NTFS).

Як в 2009 році повідомив представник Mozilla в своїй статті cross-site xmlhttprequest with CORS, починаючи з версії Firefox 3.5 в браузері Firefox додана підтримка міжсайтових XHR запитів. Яка реалізована через специфікацію Cross-Origin Resource Sharing (CORS). Міжсайтові XHR запити також підтримуються в інших браузерах, зокрема в Safari, Chrome та IE8.

Якщо раніше XHR запити могли бути лише в рамкам одного домену, то в нових браузерах, що підтримують Cross-Site XMLHttpRequest, запити можуть бути проведені між різними доменами. Що створює можливості для нових міжсайтових атак.

Тому враховучи, що в Firefox 3.5, Safari 4, Chrome 2 та Internet Explorer 8 є підтримка Cross-Site XMLHttpRequest, то це може бути використано для міжсайтових XSS атак з викорисанням XHR. Так що при відповідних умовах в нових браузерах може проводитися новий вид атак - міжсайтові XHR атаки (cross-site XHR attacks).

При наступних умовах можливі міжсайтові XHR атаки:

1. При наявності HTTP Response Splitting уразливості на сайті для виведення потрібних заголовків сервера.
2. При наявності уразливостей, що дозволять завантажити на сайт серверні скрипти для виведення потрібних заголовків сервера.
3. При наявності на сайті XSS дірки, а на сервері нападника є скрипт, який дозволяє звертатися через XHR (таким чином комунікація відбувається через XHR).
4. При наявності проксі (що контролюється нападником), який для будь-якого сайта виводить необхідні заголовки сервера, щоб дозволити міжсайтовий XHR.
5. При наявності вірусів на комп’ютері користувача (це можуть бути й плагіни/доповнення до браузера), що для будь-якого сайта виводять необхідні заголовки, щоб дозволити міжсайтовий XHR.

21.04.2010

Нещодавно, 17.04.2010, я знайшов Cross-Site Scripting та Full path disclosure уразливості на http://codecamp.org.ua - офіційному сайті конференції CodeCamp 2010. Про що найближчим часом сповіщу адміністрацію сайта.

Про уразливість на сайті Glaive Security Group (організаторів конференції), я вже згадував раніше. Як і торік, уразливість на сайті я виявив ще до початку конференції. І як і того разу, уразливість має місце на сайті на WordPress (і це не єдина уразливість, враховучи всі ті уразливості в WP про які я писав).

Зазначу, що CodeCamp - це конференція на тему інформаційної безпеки. І як я вже неодноразово писав стосовно сайтів конференцій, особливо на тему безпеки (останнього разу стосовно конференції про безпеку бізнесу), що дуже несерйозно проводити секюріті конференцію маючи дірявий сайт.

Детальна інформація про уразливості з’явиться пізніше.

11.09.2010

XSS:

• alert(/XSS/)

Full path disclosure:

http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/gs-for-wordpress.php
http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/views/login.php
http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/views/admin/help.php
http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/views/admin/invite-friends.php
http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/views/admin/settings.php
http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/views/widget/widget-connected.php
http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/views/widget/widget-control.php
http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/views/widget/widget-not-connected.php
http://codecamp.org.ua/wp-content/plugins/gigya-socialize-for-wordpress/views/widget/widget-not-logged-in.php

Якщо Full path disclosure вже виправлені, то XSS досі не виправлена.

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, Німецьких хакерів заарештовано в Таїланді.

Два громадянина Німеччини були арештовані в Таїланді за звинуваченням у зломі інформаційних систем банків Європи, США і Таїланду. Хакери зуміли списати з чужих рахунків близько трьох мільйонів доларів.

За повідомленням www.securelist.com, кібератаки обходяться компаніям від 1 до 52 мільйонів доларів щорічно. Ponemon Institutee опублікував аналіз фінансових втрат, що несуть комерційні й урядові організації через кібератаки. У дослідженні використовувалися дані по 45 американським організаціям.

Так, у середньому атаки кібер-злочинців обходяться компанії в 3,8 мільйонів доларів щорічно, причому ця цифра може коливатися від 1 до 52 мільйонів доларів у рік. У цілому, на всі організації, що беруть участь у дослідженні, довелося порядку 50 успішних кібератак у тиждень.

За повідомленням www.securelist.com, російський хакер отримав умовний термін за великий хак.

Калінінський районний суд Санкт-Петербурга присудив Віктора Плещука, що взломав клієнтську базу RBS WorldPay, до 6 років тюремного ув’язнення умовно. Засуджений є одним із ключових відповідачів у справі про безпрецедентне пограбування процессінгової системи Королівського Банку Шотландії (RBS).