Websecurity - Веб безпека

Раніше я вже розповідав про численні небезпеки для дірявого сайта - це можливість закриття сайта в зв’язку з різними причинами, в тому числі пов’язаними з порушенням законодавства, а також можливість притягнення до відповідальності (по кримінальому кодексу) в таких випадках. Зокрема можливе закриття сайтів через розміщення персональних даних.

Іншою небезпекою для дірявого сайта є Black SEO. В статті SEO при дірявому сайті, як допомога зловмисникам я розповідав про одну сторону даної проблеми. Що вкладаючи в SEO при ігноруванні проблем безпеки власного сайта (не вкладаючи в безпеку), власник сайта лише допомагає зловмисникам. А зараз розповім про іншу сторону даної проблеми.

При дірявому сайті black SEO-шніки можуть використати ваш сайт для власник потреб. Тобто вони почнуть заробляти на вашому сайті. І при цьому вищезгаданий аспект вкладання в SEO також дасться в знаки - якщо ви добре розкрутите свій дірявий сайт (піднімите PR і тИЦ), то black SEO від цього буде тільки краще , бо вони зможуть одразу почати більше заробляти на вашому сайті (ніж на менш розкрученому). З цього випливає, що розкручені сайти (з високими PR і тИЦ) є в більшій мірі потенційними цілями black SEO-шніків, ніж не розкручені сайти (але використати для заробітку можна будь-який сайт, тому всім власникам веб сайтів слід враховувати фактор black SEO і завжди слідкувати за безпекою власних сайтів).

Якщо ваш сайт взломають black SEO-шніки, то вони почнуть продавати лінки на ньому, щоб заробляти на цьому гроші. І при цьому гроші за продаж лінок підуть не вам, а зловмисникам (тобто ваш сайт буде приносити прибуток іншим людям). І якщо на одну маленьку лінку ви можете не звернути увагу, то на численні лінки на сайті ви маєте звернути увагу - якщо одна лінка може не сильно заважати, то якщо увесь сайт буде переповнений продажними лінками, то це вже буде заважати (не кажучи вже, що це зіпсує зовнішній вигляд сайта). До того ж black SEO можуть розмістити на сайті лінки на небажані ресурси, наприклад, на порно сайти, що може погіршити імідж сайта (а то і призвести до скандалу чи інших проблем у власника сайту). Зокрема адмінам державних сайтів потрібно не допускати розміщення лінок на порно сайти, або розміщення порнографії на сайті чи на великому екрані, що керується з сайта, як це мало місце в Індонезії.

Однією з тенденцій в діяльності black SEO є те, що вони почали використовувати веб брокерів (таких як SAPE) для розміщення лінок на сайті. Як це мало місце на сайтах www.peremoga.gov.ua та bestmaster.com.ua. Таким чином вони намагаються закосити під легальне розміщення лінок (неначе це адмін сам розміщує лінки) і при цьому автоматизувати даний процес.

Якщо раніше black SEO вручну розміщували лінки, або використовували власні скрипти, то зараз вони почали активно працювати через брокерів. В цьому році я виявив вже два випадки використання брокерів для блексео діяльності.

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, хакери влаштували показ порно в парламенті Індонезії.

Скандальний інцидент стався у вівторок, 3 серпня, в парламенті Індонезії, в Джакарті: на великому екрані, де зазвичай відображається хід парламентських голосувань, несподівано з’‘явилися порнографічні знімки. Незважаючи на спроби співробітників служби безпеки індонезійського парламенту прибрати зображення з екрану, трансляція порно тривала близько 15 хвилин.

За повідомленням news.zn.ua, енергосистема США погано захищена від взлому. Уразливості, виявлені в комп’ютерній системі, що відповідальна за керування енергосистемою США, можуть стати причиною крадіжки інформації і несанкціонованого перерозподілу і відключення потужності, говориться в попередженні, опублікованому Департаментом енергетики США.

За повідомленням hackzona.com.ua, Google допоможе хакерам знаходити жертв. Фахівець з комп’ютерної безпеки Семі Камкар придумав спосіб, який дозволяє знаходити розташування користувача без його відома.

Ідея атаки досить проста. Для цього потрібно дізнатися MAC-адресу та скористатися сервісом геолокації Google.

В даній добірці уразливості в веб додатках:

• Insight Control Suite For Linux (ICE-LX) Cross Site Request Forgery (CSRF), Remote Execution of Arbitrary Code, Denial of Service (DoS), and Other Vulnerabilities (деталі)
• SDS Parent Connect SQL Injection (деталі)
• XSRF (CSRF) in ocPortal (деталі)
• XSS vulnerability in LiSK CMS (деталі)
• Smart Douran CMS Remote File Download (деталі)
• Clear Text Storage of Password in CS-MARS v6.0.4 and Earlier (деталі)
• PHP-Calendar “description” and “lastaction” Cross Site Scripting Vulnerabilities (деталі)
• PHP-Calendar “description” and “lastaction” Cross Site Scripting Vulnerabilities (деталі)
• XSS vulnerability in LiSK CMS (деталі)
• NetCache URL DoS - Argentinian ISP (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.alushta.crimea.ua (хакерами з KDG-crew) - причому спочатку сайт був взломаний 27.07.2010 KDG-crew, а вже 28.07.2010 взломаний VHZ. Схоже, що сайт постійно хакається, як і деякі інші сайти в Уанеті
• http://www.shinshila.com (хакерами з AHG CREW)
• http://www.antique.com.ua (хакером Aykanksk35) - 07.2010, зараз сайт вже виправлений адмінами
• http://elies.com.ua (хакерами з Und3rGr0unD W4rri0rZ)
• http://www.rnzknd.net (хакерами з AHG CREW)

В своєму записі Detecting Malice eBook, RSnake розповів про свою нову книгу. В минулому році він випустив книгу “Визначення злого наміру”, яка була випущена як e-book (тобто вона доступна у вигляді електронної книги).

В книзі розповідається про те, як визначити злі наміри і дії відвідувачів на сайті (та як убезпечити свій сайт). В ній Роберт Хенсен aka RSnake ділиться своїм досвідом в забезпеченні безпеки веб сайтів.

10.06.2010

У листопаді, 04.11.2009, я знайшов Cross-Site Scripting та Full path disclosure уразливості в Dataface Web Application Framework. Які виявив на сайті http://xataface.com, де використовується даний движок. Про що найближчим часом сповіщу розробникам.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

06.08.2010

XSS:

http://site/admin.php?-table=pages&-search=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&-action=search_index

Full path disclosure:

http://site

Змінна DATAFACE_PATH в тілі кожної сторінки сайта.

Уразлива версія Dataface 1.0. Після мого повідомлення дані уразливості були виправлені розробником в останній версії системи.

Продовжуючи розпочату традицію, після попереднього відео про сліпу SQL ін’єкцію, пропоную новий відео секюріті мануал. Цього разу відео про використання BeEF і PHProxy для MITM атак. Рекомендую подивитися всім хто цікавиться цією темою.

BeEF and PHProxy for web MITM with content modification

В даному відео ролику розповідається про інструменти BeEF і PHProxy. Та домонструється процес їх використання для проведення MITM-атак для підробки сайтів (що може бути використано, наприклад, для фішинга).

Рекомендую подивитися дане відео для розуміння векторів атак з використанням BeEF і PHProxy.

Виявлена можливість виконання коду через ярлики в Microsoft Windows. В цей понеділок Microsoft випустила опис даної уразливості та патч для неї, причому патч позачерговий, тому що він вийшов до офіційного вівторка патчів, який відбудеться на наступному тижні. Microsoft проводить вівторки патчів в другий вівторок кожного місяця.

Уразливі продукти: Microsoft Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Виконання коду відбувається при відображенні іконки ярлика. Дана уразливість може використовуватися не тільки локально, але й віддалено. В тому числі атака може вібдуватися через Інтернет, коли користувач відвідає спеціально створений сайт в Internet Explorer або Windows Explorer.

• Microsoft Security Bulletin MS10-046 - Critical Vulnerability in Windows Shell Could Allow Remote Code Execution (2286198) (деталі)

В даній добірці уразливості в веб додатках:

• Palm Pre WebOS <=1.1 Remote File Access Vulnerability (деталі)
• Palm Pre WebOS 1.0.4 Remote execution of arbitrary HTML code vulnerability (деталі)
• XSS vulnerability in NPDS REvolution (деталі)
• Stored XSS vulnerability in NPDS REvolution (деталі)
• Caucho Technology Resin digest.php Cross Site Scripting Vulnerability (деталі)
• New mt-daapd packages fix several vulnerabilities (деталі)
• Cacti Multiple Parameter Cross Site Scripting Vulnerabilities (деталі)
• XSRF (CSRF) in NPDS REvolution (деталі)
• SQL injection vulnerability in LiSK CMS (деталі)
• Authentication Bypass of Snom Phone Web Interface (деталі)

У листопаді, 30.11.2009, я виявив Cross-Site Scripting уразливість в Mozilla та Firefox.

Дана уразливість дозволяє обійти заборону на виконання JavaScript коду в location-header редиректорах (при редирекції на javascript: URI). Вона подібна до Cross-Site Scripting уразливості в Mozilla та Firefox (через редиректори з відповіддю “302 Object moved”).

В Mozilla та Firefox (на сайтах, що використовують в редиректорі відповідь “302 Found”) при запиті до location-header редиректора з вказанням JavaScript коду, браузер виводить сторінку “Found”, де в лінці “here” виводить даний код. При натисканні на яку код спрацює. Тобто це Strictly social XSS, а також це ще один приклад Local XSS.

XSS:

При запиті до скрипта на сайті:
http://site/script.php?param=javascript:alert(document.cookie)
Що поверне у відповіді заголовок Location:
HTTP/1.x 302 Found
Location: javascript:alert(document.cookie)
Браузер виводить сторінку “Found”. При кліку по лінці “here” код спрацює в контексті даного сайту.

Окрім javascript URI, також можна використати data URI для виконання JS-коду, якщо редиректор виводить в заголовку Location символи “;” і “,” у чистому (не в URL encoding) вигляді.

Також в усіх версіях Mozilla та Mozilla Firefox можна використати інший варіант Strictly social XSS - з використанням -moz-binding (для Firefox < 3.0 або для Firefox => 3.0 з xml-файлом на цьому самому сайті) чи з використанням onMouseOver:

http://site/script.php?param=a:%22%20onMouseOver=%22alert(document.cookie)

При наведенні курсору на лінку “here” код спрацює в контексті даного сайту.

І якщо використати мою техніку MouseOverJacking, тоді можна автоматизувати дану атаку у всіх версіях Mozilla та Mozilla Firefox (особливо коли використання -moz-binding неможливе):

http://site/script.php?param=a:%22%20style=%22width:100%25;height:100%25;display:block;position:absolute;top:0px;left:0px%22%20onMouseOver=%22alert(document.cookie)

Дана атака працює якщо редиректор (з відповіддю “302 Found” чи “302 Object moved”) виводить подвійні лапки в заголовку Location у чистому (не в URL encoding) вигляді.

Уразливі Mozilla 1.7.x та попередні версії.

Уразливі Mozilla Firefox 3.0.19, Firefox 3.5.11, Firefox 3.6.8, Firefox 4.0b2 та попередні версії.

Уразливі Opera 10.53 та попередні версії (при цьому версія Opera 9.52 невразлива). В Opera код виконається не в контексті даного сайту.

Як і у випадку XSS через редиректори з відповіддю “302 Object moved”, до цієї уразливості також повинні бути уразливими SeaMonkey 1.1.17, Firefox 3.7 a1 pre, Orca Browser 1.2 build 5 та Maxthon 3 Alpha (3.0.0.145) з Ultramode.

[Оновлення: 16.09.2012]

Як я виявив, у версіях Firefox 10.0.7 і Firefox 15.0.1 дана уразливість більше не працює - вона була приховано виправлена Mozilla в Firefox 9.0.