Websecurity - Веб безпека

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.kurash.com.ua (хакером RoAd_KiLlEr) - 13.03.2010, зараз сайт вже виправлений адмінами
• http://librkorec.rv.ua (хакером SALDIRAY)
• http://antivirus2010.org.ua (хакером ZH4RK) - 15.03.2010, зараз сайт не працює
• http://www.acmagistral.com.ua (хакером TimeLord)
• http://parktrade.com.ua (хакером DaNG3R)

Продовжуючи розпочату традицію, після попереднього відео про підбір паролів до FTP, пропоную новий відео секюріті мануал. Цього разу відео про захоплення Linux-сервера через SQL Injection. Рекомендую подивитися всім хто цікавиться цією темою.

Rooting a linux box via MySQL Injection

В даному відео ролику демонструється використання SQL Injection уразливості на сайті, що використовує MySQL, для захоплення сервера на Linux. Раніше я вже наводив відео про захоплення сервера на Windows XP через SQL Injection, а в даному випадку атакується Linux-сервер.

Для цього на сервер через SQL ін’єкцію заливається аплоадер, через який заливається шел і експлоіт (для підняття прав на сервері до root). Після чого додається новий акаунт адміністратора в систему та через PuTTY під’єднується до сервера. Рекомендую подивитися дане відео для розуміння SQL Injection атак.

В даній добірці уразливості в веб додатках:

• Motorola Wimax Modem CPEi300 Multiple Vulnerabilities (деталі)
• Wowd search client multiple variable xss (деталі)
• Oracle Containers For Java Directory Traversal (OC4J) Oracle Application Server 10g (10.1.3.1.0) Oracle HTTP Server (деталі)
• Advisory: Oracle EBusiness Suite Sensitive Information Disclosure Vulnerability (деталі)
• Oracle Secure Backup Administration Server login.php Command Injection Vulnerability (деталі)
• Oracle Database 10g R2 Summary Advisor Arbitrary File Rewrite Vulnerability (деталі)
• Oracle Secure Backup Administration Server login.php Command Injection Vulnerability (деталі)
• Vulnerabilities in Mura CMS (деталі)
• com_jumi / jumi 2.0.5 for joomla 1.5 backdoored (деталі)
• CubeCart 4 Session Management Bypass (деталі)

У березні, 17.03.2010, я знайшов Insufficient Anti-automation та Denial of Service уразливості в системі MiniManager for Project MANGOS. Про що найближчим часом сповіщу розробників.

Уразливості наявні в скрипті капчі CaptchaSecurityImages.php, що використовується в даній системі. Про уразливості в CaptchaSecurityImages я вже розповідав.

Insufficient Anti-automation:

http://site/libs/captcha/CaptchaSecurityImages.php?width=150&height=100&characters=2

Можливий обхід капчі як через напівавтоматизований або автоматизований (з використанням OCR) методи, що були згадані раніше, так і з використанням метода session reusing with constant captcha bypass method, описаного в проекті MoBiC.

DoS:

http://site/libs/captcha/CaptchaSecurityImages.php?width=1000&height=9000

Вказавши великі значення width і height можна створити велике навантаження на сервер.

Уразливі MiniManager for Project MANGOS 0.15 та попередні версії.

А також вразливі наступні системи: Land of Legends Manager (LoL Manager), який зроблений на основі MiniManager for Project MANGOS та WoWCrackz MaNGOS, який зроблений на основі MiniManager for Project MANGOS.

Як я вже давно планував, розповім про мою систему Web VDS. В 2008 році я розробив Web Virus Detection System - систему виявлення вірусів на веб сайтах. Над системою я працював декілька місяців і довів її розробку до рівня бета версії. Вже на той час вона мала чимало можливостей і могла з деякою ефективнісю знаходити віруси на сторінках веб сайтів (хоча ефективність треба було покращувати і було багато планів по розробці системи).

В якості фінансового спонсора, для початку, а в подальшому і компанії, що прикладе свої ресурси для розробки і просування системи, виступала Head Technology. Тобто це мав бути наш спільний проект. Хоча спочатку ідея зацікавила компанію і план робіт був затверджений, але коли я довів розробку до стадії бета версії, Head Technology передумали приймати участь в даному проекті й, відповідно, не стали його фінансувати. Тому я доробив деякий функціонал системи і заморозив проект.

Мабуть вони Гугла злякалися, з яким потрібно було конкурувати . Або були інші причини (в тому числі ті, що вони мені назвали). Але проект був закритий, так і стартувавши. На той момент конкурентів в нас було не багато - в 2008 році лише два пошуковці Google та Yahoo надавали подібну інформацію і невелика кількість компаній займалися даною сферою. Зазначу, що на відміну від Гугла та інших сервісів, які демонструють стан зараженості веб сайтів, що лише заявляють інфікований сайт чи ні, моя Web VDS окрім остаточного висновку, також видавала оцінку зараженості (Infected score).

Цікаві події в даній сфері почали розгортатися в 2009 році. З кінця травня 2009 року Яндекс має подібний функціонал в своєму пошуковці - він вирішив не відставати від Гугла і Яху. А пізніше й інші компанії почали виходити на цей ринок (про що я розповів згодом).

Зазначу, що Яндекс, як і інші пошуковці, були одними з потенційних клієнтів для моєї системи (в мене було багато потенційних клієнтів, кого може зацікавити подібний функціонал). Тому, якщо б в 2008 році Web VDS була повністю розроблена, то можна було б Яндексу запропонувати наші послуги . А так Head Technology впустила дану нагоду, як й інші нагоди в цій сфері, що мали місце в останні роки (тому що зараз дана тема стала дуже актуальною).

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://gazeta.ua - інфекція була виявлена 27.12.2009. Зараз сайт не входить до переліку підозрілих.
• http://nightclubbing.com.ua - інфекція була виявлена 27.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://crisis-coming.org.ua - інфекція була виявлена 22.03.2010. Зараз сайт входить до переліку підозрілих.
• http://private-school.sumy.ua - інфекція була виявлена 23.03.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://mixon.ua - інфекція була виявлена 20.03.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 38 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.

В даній добірці експлоіти в веб додатках:

• ZTE ZXDSL 831 II Modem Arbitrary Configuration Access Vulnerability (деталі)
• Best Dating Script Arbitrary Shell Upload Vulnerability (деталі)
• CBAuthority - ClickBank Affiliate Management SQL Injection Vulnerability (деталі)
• PHP Email Manager (remove.php ID) SQL Injection Vulnerability (деталі)
• Ultimate Fade-in slideshow 1.51 Shell Upload Vulnerability (деталі)
• ProSysInfo TFTP Server TFTPDWIN 0.4.2 Remote BOF Exploit (деталі)
• phpfreeBB 1.0 Remote BLIND SQL Injection Vulnerability (деталі)
• asaher pro 1.0.4 Remote Database Backup Vulnerability (деталі)
• Ed Charkow’s Supercharged Linking Blind SQL Injection Exploit (деталі)
• RunCms v.2M1 /modules/forum/post.php - ‘forum’ remote semi-blind SQL Injection Exploit (деталі)

У березні, 17.03.2010, я знайшов Insufficient Anti-automation та Denial of Service уразливості в системі ArcManager. Про що найближчим часом сповіщу розробників.

Уразливості наявні в скрипті капчі CaptchaSecurityImages.php, що використовується в даній системі. Про уразливості в CaptchaSecurityImages я вже розповідав.

Insufficient Anti-automation:

http://site/libs/captcha/CaptchaSecurityImages.php?width=150&height=100&characters=2

Можливий обхід капчі як через напівавтоматизований або автоматизований (з використанням OCR) методи, що були згадані раніше, так і з використанням метода session reusing with constant captcha bypass method, описаного в проекті MoBiC.

DoS:

http://site/libs/captcha/CaptchaSecurityImages.php?width=1000&height=9000

Вказавши великі значення width і height можна створити велике навантаження на сервер.

Уразливі всі версії ArcManager.

Виявлені численні уразливості безпеки в Apache mod_security.

Уразливі версії: Apache mod_security 2.5.

Можливі DoS та обхід захисту.

Зазначу, що обхід захисту - це звичайна справа для WAF (ще з 2006 року я регулярно обхожу WAF, в тому числі ModSecurity), тому не обов’язкого про це писати окремі advisory. А от DoS уразливість - це вже цікаво.

• Vulnerabilities in Apache mod_security (деталі)

Українській хакер Dementor за останній час взломам декілька сайтів, в тому числі в Уанеті. Про що повідомив в себе на форумі й виклав скріншоти взломів.

Серед взломаних сайтів два україньских та два російських:

• www.chilli.net.ua
• finnews.ru
• orichi.info
• shai.dp.ua

Він явно вирішив створити конкуренцію турецьким та азербайджанським хакерам , що активно взламують сайти в Уанеті. Як я вже зазначав раніше, в останні роки найбільше взламують сайти в Уанеті саме турки, і в 2010 році ця тенденція продовжується.