Websecurity - Веб безпека

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://ntr.lutsk.ua - інфекція була виявлена 22.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт входить до переліку підозрілих.
• http://norrest.com.ua - інфекція була виявлена 20.12.2009. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://ura-inform.com - інфекція була виявлена 27.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 3 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://radioera.com.ua - інфекція була виявлена 27.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://ura.dn.ua - інфекція була виявлена 02.02.2010. Зараз сайт не входить до переліку підозрілих.

Зазначу, що сайти ntr.lutsk.ua та ранішезгаданий crazy-party.com.ua хостяться у провайдера Приват-онлайн, який є дочірньою компанією ПриватБанка. Тобто ПриватБанк окрім розробки власних дірявих сайтів та хронічного ігнорування проблем з їх безпекою, також хостить у себя діряві сайти, які взламують і розміщують на них шкідливе ПЗ. Ось такий “безпечний” у них підхід .

22.02.2010

Виявленні численні уразливості безпеки в Mozilla Firefox, Thunderbird і SeaMonkey.

Уразливі продукти: Mozilla Firefox 3.0, Firefox 3.5, Firefox 3.6, Thunderbird 3.0, SeaMonkey 2.0.

Численні пошкодження пам’яті, використання пам’яті після звільнення, міжсайтовий скриптінг.

• Mozilla Foundation Security Advisory 2010-01 (деталі)
• Mozilla Foundation Security Advisory 2010-02 (деталі)
• Mozilla Foundation Security Advisory 2010-03 (деталі)
• Mozilla Foundation Security Advisory 2010-04 (деталі)
• Mozilla Foundation Security Advisory 2010-05 (деталі)
• Mozilla Firefox Memory Corruption Vulnerability (деталі)

02.03.2010

Додаткова інформація.

• Mozilla Firefox showModalDialog Cross-Domain Scripting Vulnerability (деталі)

В даній добірці експлоіти в веб додатках:

• Joomla Component com_jfusion (Itemid) Blind SQL Injection Vuln (деталі)
• SimpleLoginSys 0.5 (Auth Bypass) SQL Injection Vulnerability (деталі)
• TT Web Site Manager 0.5 (Auth Bypass) SQL Injection Vulnerability (деталі)
• QuickDev 4 (download.php file) File Disclosure Vulnerability (деталі)
• Netpet CMS 1.9 (confirm.php language) Local File Inclusion Vulnerability (деталі)
• Ajax Short URL Script (Auth Bypass) SQL Injection Vulnerability (деталі)
• ProjectButler 1.5.0 (pda_projects.php offset) RFI Vulnerability (деталі)
• Amaya 11.2 W3C Editor/Browser (defer) Remote BOF Exploit (SEH) (деталі)
• AW BannerAd (Auth Bypass) SQL Injection Vulnerability (деталі)
• Netsurf 1.2 ‘width’ Remote Integer Overflow PoC Exploit (деталі)

Подібно до уразливостей на cpmstar.com, www.banner.kiev.ua, c8.net.ua, www.abn-ad.com та в банерних системах на движках phpAdsNew, OpenAds та OpenX, також є уразливості в багатьох інших банерних системах.

В рекламному брокері http://prospero.ru, який надає можливість медійної реклами (в тому числі й за допомогою флеш банерів), є тіж самі уразливості у флешках. На даному сайті я вже давно виявив Cross-Site Scripting уразливості. Які мають місце з 2005 року, як цей брокер розпочав роботу. Тобто весь цей час на сайті є XSS уразливості у всіх флеш банерах усіх рекламодавців.

XSS атака (strictly social XSS) можлива через параметр jump (при кліку на банер). Про подібну атаку я вже писав в статті XSS уразливості в 8 мільйонах флеш файлах.

XSS:

• alert(’XSS’)
• alert(document.cookie)
• цікавий

Раніше дана атака працювала в усіх браузерах. Зараз, як я перевірив, через некоректні налаштування на сервері, дана атака працює лише в IE (в інших браузерах флеш банер не відображується в браузері, його можна лише скачати з сайта).

Виявлена можливість витоку інформації в Google Chrome.

Уразливі версії: Google Chrome 3.0, Chrome 4.0.

Менеджер паролів може автоматично заповнити ім’я і пароль користувача при включенні об’єкта з зовнішнього джерела.

• Chrome Password Manager Cross Origin Weakness (CVE-2010-0556) (деталі)

Окрім двох давно відомих класів Cross Site Scripting уразливостей - persistent та reflected (активний та пасивний) - є також третій клас XSS. Це Cross Site Scripting в DOM (DOM Based XSS). Про цей клас XSS (про всі три класи) я вже розповідав в своїй статті Подводные камни в интернет рекламе или чем опасен XSS, що була написана в грудні 2006 року і опублікована в лютому 2007 року в журналі Хакер Спец.

Даний клас уразливостей був виявлений Amit Klein. Свою статтю стосовно DOM Based XSS він вперше опублікував 04.07.2005. Ще з 2006 року я планув написати про цю статтю в себе на сайті і нарешті знайшов час для цього.

DOM Based Cross Site Scripting or XSS of the Third Kind

Також на www.securitylab.ru був опублікований переклад даної статті на російську мову.

Третий тип XSS: Межсайтовый скриптинг через DOM

Третій клас XSS відрізняється від перших двох класів і його особливості потрібно знати. До того ж XSS в DOM може бути як persistent, так і reflected. В даній статті детально описаний Cross Site Scripting в DOM клас уразливостей та проведене порявняння XSS в DOM зі звичайним XSS.

В даній добірці уразливості в веб додатках:

• CiscoWorks TFTP Directory Traversal Vulnerability (деталі)
• Blogolet XSS (деталі)
• UMI.CMS Hash based Captcha (деталі)
• UMI.CMS Multiple XSS (деталі)
• 1C Bitrix 8.0.5 Admin Console XSS (деталі)
• 1C Bitrix WAF multiple XSS (деталі)
• Sun Java Pack200 Decoding Inner Class Count Integer Overflow Vulnerability (деталі)
• Sun Java Web Start JPEG Header Parsing Integer Overflow Vulnerability (деталі)
• Sun Java Runtime Environment (JRE) Pack200 Decompression Integer Overflow Vulnerability (деталі)
• FlatPress 0.804-0.812.1 Local File Inclusion to Remote Command Execution (деталі)

В лютому місяці Microsoft випустила 13 патчів. Що значно більше ніж у січні.

У лютневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 13 бюлетеней по безпеці, що в цілому закривають 26 уразливостей. З них п’ять бюлетенів “критичні”, сім “важливі” і один “середньої важливості”. Дані патчі стосуються різних версій Windows та Office.

До речі, серед виправлених уразливостей є і 17-літня уразливість в ОС Windows, про яку стало відомо минулого місяця.

21.12.2009

У квітні, 24.04.2009, я виявив Abuse of Functionality та Insufficient Anti-automation уразливості в форумному движку vBulletin. Уразливості виявив на hackua.com, який використовує даний движок. Про що найближчим часом повідомлю розробникам.

Раніше я вже писав про уразливості в vbAnonymizer для vBulletin.

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам веб додатку.

26.02.2010

Abuse of Functionality:

Логіні користувачів є їх іменами на форумі, що дозволяє визначити логіни в системі.

Abuse of Functionality:

На сторінці http://site/register.php?do=register в полі Логін можна визначити логіни користувачів в системі. Дана уразливість дозволяє провести Login Enumeration атаку.

Insufficient Anti-automation:

Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів в системі. В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів системи.

Insufficient Anti-automation:

http://site/sendmessage.php?do=sendtofriend&t=1

http://site/sendmessage.php

http://site/register.php?do=register

Можливі відсутність капчі або наявність слабкої текстової капчі (коли потрібно ввести лише одну і ту саму фразу).

Уразливі vBulletin 3.8.0 та попередні версії (та наступні версії).

В даній добірці експлоіти в веб додатках:

• Orbis CMS 1.0 (AFD/ADF/ASU/SQL) Multiple Remote Vulnerabilities (деталі)
• justVisual 1.2 (fs_jVroot) Remote File Inclusion Vulnerabilities (деталі)
• Ultrize TimeSheet 1.2.2 readfile() Local File Disclosure Vulnerability (деталі)
• SAP Business One 2005-A License Manager Remote BOF Exploit (деталі)
• Arab Portal v2.x (forum.php qc) Remote SQL Injection Exploit (деталі)
• MAXcms 3.11.20b Multiple Remote File Inclusion Vulnerabilities (деталі)
• Mobilelib Gold v3 (Auth Bypass/SQL) Multiple Remote Vulnerabilities (деталі)
• aa33code 0.0.1 (LFI/Auth Bypass/DCD) Multiple Remote Vulnerabilites (деталі)
• PortalXP - Teacher Edition 1.2 Multiple SQL Injection Vulnerabilities (деталі)
• Netsurf 1.2 Remote Memory Leak Exploit (деталі)