Websecurity - Веб безпека

27.11.2009

У квітні, 07.04.2009, я знайшов Abuse of Functionality, Insufficient Anti-automation та HTML Injection уразливості на сайті http://news.yahoo.com. Про що найближчим часом сповіщу адміністрацію сайта.

Стосовно сайтів компанії Yahoo раніше я вже писав про уразливості на babelfish.altavista.com та babelfish.yahoo.com.

Детальна інформація про уразливості з’явиться пізніше.

26.06.2010

Abuse of Functionality:

http://m2f.news.yahoo.com/mailto/?prop=news&locale=us

В даній формі можна вказати необхідні дані для розсилання спаму. А з врахуванням функції “Send me a copy of this message” та Insufficient Anti-automation, дана уразливість створює з форми цілий Spam Gateway.

Insufficient Anti-automation:

http://m2f.news.yahoo.com/mailto/?prop=news&locale=us

В даній формі немає захисту від автоматизованих запитів (капчі).

HTML Injection (Link Injection):

• редиректор

Для обходу захисту, що дозволяє вставляти тільки URL адреси сайтів Яху, використовується редиректор.

Дані уразливості досі не виправлені.

У квітні, 14.04.2008, я знайшов Abuse of Functionality, Insufficient Anti-automation та Cross-Site Scripting уразливості на http://www.w3.org - сайті World Wide Web Consortium (W3C). Про що найближчим часом сповіщу адміністрацію сайта.

Тоді я виявив можливість використання W3C валідаторів для проведення CSRF атак на інші сайти (з використанням ресурсів сервера W3C). Раніше я вже писав про використання сервісів regex.info, www.slideshare.net та keepvid.com для проведення CSRF атак на сайти.

Всього вразливі наступні валідатори W3C:

http://validator.w3.org/feed/
http://www.w3.org/2001/03/webdata/xsv
http://validator.w3.org/
http://jigsaw.w3.org/css-validator/
http://validator.w3.org/checklink
http://qa-dev.w3.org/unicorn/
http://www.w3.org/RDF/Validator/

Про інші вразливі валідатори я напишу в іншому записі.

Abuse of Functionality:

http://validator.w3.org/feed/check.cgi?url=http://google.com

http://www.w3.org/2001/03/webdata/xsv?docAddrs=http://google.com&style=xsl

http://validator.w3.org/check?uri=http://google.com

http://jigsaw.w3.org/css-validator/validator?uri=http://google.com

http://validator.w3.org/checklink?uri=http://google.com

Зазначу, що сервіс W3C Link Checker може бути використаний для сканування всього сайту і відповідно найбільше споживає ресурсів, як серверу W3C, так і сайту, що сканується. Це може бути використано для проведення DoS атак на зазначені сервери. Про подібні атаки я писав в статті DoS атаки через Abuse of Functionality уразливості.

http://qa-dev.w3.org/unicorn/check?ucn_uri=google.com&ucn_task=conformance

http://www.w3.org/RDF/Validator/ARPServlet?URI=http://google.com

Даний функціонал сайта може використовуватися для проведення CSRF атак на інші сайти.

Insufficient Anti-automation:

На даних сторінках відсутній захист від автоматизованих запитів (капча). Що дозволяє автоматизувати проведення CSRF атак на інші сайти.

XSS (IE):

• alert(document.cookie)
• цікавий

Продовжуючи розпочату традицію, після попереднього відео про атаку з використанням Jikto і Blindmap, пропоную новий відео секюріті мануал. Цього разу відео про отримання root на Linux. Рекомендую подивитися всім хто цікавиться цією темою.

linux rooting video

В даному відео ролику демонструється отримання адмінського доступу (root) на Linux сервері. Для даної атаки необхідно мати доступ до файлової системи на веб сервері на Linux. Що може бути зроблено через уразливості (зокрема ті, що дозволяють закачати шел на сервер), про які я багато писав, в тому числі наводив відповідні відео ролики.

Після того, як шел розміщений на сервері, потрібно закачати експлоіт на сервер, відкомпілювати його та запустити. Для підняття своїх прав - з обмеженого акаунту до root. Рекомендую подивитися дане відео для розуміння векторів атак з використанням експлоітів для Linux для підняття прав (elevation of privilege) в системі.

Виявлені численні уразливості безпеки в Microsoft SharePoint.

Уразливі продукти: Microsoft SharePoint Server 2007, InfoPath 2003, InfoPath 2007, SharePoint Services 3.0.

Міжсайтовий скриптінг, витік інформації, відмова в обслуговуванні.

• Important Vulnerabilities in Microsoft SharePoint Could Allow Elevation of Privilege (2028554) (деталі)

В даній добірці уразливості в веб додатках:

• Important Vulnerabilities in Microsoft ISA Server and Forefront Threat Management Gateway (Medium Business Edition) Could Cause Denial of Service (961759) (деталі)
• PHP-fusion dsmsf (module downloads) SQL Inj3ct0r Exploit (деталі)
• phpMyAdmin <= 2.6.1 disclosure ways (деталі)
• MassMirror Uploader Multiple RFI Exploit (деталі)
• jevoncms (LFI/RFI) Multiple Vulnerabilities (деталі)
• Multiple vulnerabilities in several ATEN IP KVM Switches (деталі)
• CA XOsoft xosoapapi.asmx Multiple Remote Code Execution Vulnerabilities (деталі)
• CA XOsoft Control Service entry_point.aspx Remote Code Execution Vulnerability (деталі)
• Security Notice for CA XOsoft (деталі)
• ASMAX AR 804 gu Web Management Console Arbitrary Shell Command Injection Vulnerability (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://banner.ua (невідомими хакерами) - 17.06.2010 - DDoS атака на сайт
• http://game-monitor.org (хакерами з KS-HACKERS.COM)
• http://ml.host-ua.org.ua (хакером Kam_06)
• http://lviv.ukrgo.com (хакерами w01f і Ymer) - 19.06.2010, зараз сайт вже виправлений адмінами
• http://cek.org.ua (хакером N2N) - 31.05.2010, зараз сайт вже виправлений адмінами

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням hackzona.com.ua, чуваський хакер виходив в інтернет за рахунок міліції. 22-річний чебоксарець Денис два місяці користувався Інтернетом за рахунок відділу внутрішніх справ Вурнарського району.

Молодий чоловік взламав логіни і паролі та, не соромлячись, скачував музику і фільми за рахунок міліції. У слідчому СКП Чувашії розповіли, що в загальній складності органам внутрішніх справ було завдано шкоди більш ніж на 10 тисяч рублів.

За повідомленням cripo.com.ua (про уразливість на якому я писав),
Кіберзлочинність в Україні обслуговує навіть політиків. Розцінки хакерського ринку. В даній статті, що була опублікована 02.12.2009, наводяться найбільш гучні випадки хакерської активності в минулому році. Про більшість з них я писав в себе в новинах. Та новодяться розцінки хакерського ринку.

За останній рік кількість хакерських атак на українські комерційні, інформаційні та політичні інтернет-ресурси збільшилася вдвічі-втричі. Це за неофіційними оцінками правоохоронних органів. Недержавні ж експерти називають у п’ять-шість разів більшу цифру.

За повідомленням hackzona.com.ua, Antichat.ru знову зламано. В 2007 році даний популярний хакерський ресус вже взламували (про що я тоді прочитав на одному форумі), і ось в цьому році ситуація повторилася.

Знову був взломаний security проект forum.antichat.ru. Дірка була в блозі адміністратора проекту, що працював на WordPress. Через який хакери дісталися до всієї БД проекту.

28.04.2010

У квітні, 20.04.2010, я знайшов Full path disclosure, Redirector, Cross-Site Scripting та HTTP Response Spitting уразливості в плагіні Cimy Counter для WordPress. Дані уразливості я виявив на сайті http://vs-db.info (лише HTTP Response Spitting я перевірив в себе на localhost). Про що найближчим часом сповіщу розробникам.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам плагіна.

24.06.2010

Full path disclosure:

http://site/wp-content/plugins/cimy-counter/cimy_counter.php

http://site/wp-content/plugins/cimy-counter/cc_redirect.php?cc=Downloads&fn=%0A1

Redirector:

http://site/wp-content/plugins/cimy-counter/cc_redirect.php?cc=Downloads&fn=http://websecurity.com.ua

XSS:

http://site/wp-content/plugins/cimy-counter/cc_redirect.php?cc=Downloads&fn=data:text/html;base64,PHNjcmlwdD5hbGVydChkb2N1bWVudC5jb29raWUpPC9zY3JpcHQ%2b

HTTP Response Spitting:

http://site/wp-content/plugins/cimy-counter/cc_redirect.php?cc=TestCounter&fn=%0AHeader:test

Працює на старих версіях PHP.

Уразливі Cimy Counter 0.9.4 та попередні версії. В версії Cimy Counter 0.9.5 автор виправив усі зазначені уразливості окрім Redirector (також відомий як URL Redirector Abuse в WASC TC v2).

Версія Cimy Counter 1.1.0 вже невразлива.

Продовжуючи традицію, пропоную вашій увазі цікаві секюріті статті. Щоб ви поповнювали свої знання з веб безпеки.

Добірка цікавого чтива на тему безпеки, в тому числі web security (статті з Вікіпедії):

• Full disclosure
• Alphanumeric code
• Arbitrary code execution
• Blended threat
• Call gate

Виявлені численні уразливості безпеки в WebKit, Apple Safari, Google Chrome.

Уразливі продукти: Apple Safari 4.0, Google Chrome 3.0.

Використання пам’яті після звільнення, цілочисленне переповнення, перехоплення подій введення користувача.

• Apple WebKit CSS run-in Attribute Rendering Remote Code Execution Vulnerability (деталі)
• Apple Webkit Blink Event Dangling Pointer Remote Code Execution Vulnerability (деталі)
• …because you can’t get enough of clickjacking (деталі)
• Apple WebKit innerHTML element Substitution Remote Code Execution Vulnerability (деталі)
• Apple Safari ColorSync Profile Integer Overflow Vulnerability (деталі)
• Multiple Vendor WebKit HTML Element Use After Free Vulnerability (деталі)