Websecurity - Веб безпека

Продовжуючи розпочату традицію, після попереднього відео про розміщення бекдору через phpMyAdmin, пропоную новий відео секюріті мануал. Цього разу відео про взлом Java додатків. Рекомендую подивитися всім хто цікавиться цією темою.

How to Hack Java JNLP Applications

В даному відео ролику демонструється методика взлому Java JNLP додатків (на прикладі Java-гри в шахи). Рекомендую подивитися дане відео для розуміння подібних атак.

Виявлена можливість витоку інформації в багатьох Web-серверах, яка в тому числі дозволяє обійти існуючі захисні фільтри веб додатків та WAF.

Уразливі продукти: Cherokee 0.99, Nginx Web Server 0.7, Nginx Web Server 0.8, Mongoose 2.8, WLMP 1.1.

Можливо одержати доступ до вмісту скриптів і/або обійти обмеження доступу використовуючи імена файлів у форматі 8.3 і пробільні символи наприкінці імені файлу.

• Multiple Vulnerabilities with 8.3 Filename Pseudonyms in Web Servers (деталі)
• mongoose Space Character Remote File Disclosure Vulnerability (деталі)

В даній добірці уразливості в веб додатках:

• HP OpenView Network Node Manager (OV NNM), Remote Denial of Service (DoS) (деталі)
• cour supreme ‘index.php’ SQL Injection & Local File Include Vulnerability (деталі)
• OSSIM 2.1 - Multiple security vulnerabilities (деталі)
• moziloCMS - Directory Traversal, Cross Site Scripting and Session Fixation Issues (деталі)
• GoodTech SSH Remote Buffer Overflow Exploit (деталі)
• Engeman - SQL Injection Vulnerability (vendor url erratum) (деталі)
• Netsurf multiple adv (деталі)
• New horde3 packages fix arbitrary code execution (деталі)
• Undersky CMS SQL injection (деталі)
• Blogolet PHP including (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://donbasket.com (хакером FuaDanger34) - 12.02.2010, зараз сайт вже виправлений адмінами
• http://joomla.in.dn.ua (хакерами Palyo34 і KroNicKq з 1923Turk-Grup)
• http://koboabe.com (хакером Underworld)
• http://kenly2009.pp.ua (хакером jankiy3_es3r_genclik)
• http://www.nrb-ukraine.com (хакером SALDIRAY) - 19.02.2010, зараз сайт не працює (закритий хостером)

23.09.2009

У січні, 31.01.2009, я знайшов Cross-Site Scripting уразливість на секюріті проекті http://www.nist.org. Про що найближчим часом сповіщу адміністрацію сайта.

Раніше я вже писав про уразливості на www.nist.org.

Детальна інформація про уразливості з’явиться пізніше.

24.02.2010

XSS:

На сторінці відправки новини на емайл (http://www.nist.org/email.php?news.1) можна провести XSS атаку через заголовок Referer. Зокрема, це можна зробити через флеш.

Referer: '><script>alert(document.cookie)</script>

Дана уразливість досі не виправлена.

В даній добірці експлоіти в веб додатках:

• Ultrize TimeSheet 1.2.2 Remote File Inclusion Vulnerability (деталі)
• TinyBrowser (TinyMCE Editor File browser) 1.41.6 Multiple Vulnerabilities (деталі)
• linkSpheric 0.74b6 (listID) Remote SQL Injection Vulnerability (деталі)
• PunBB Reputation.php Mod <= 2.0.4 Local File Inclusion Exploit (деталі)
• MUJE CMS 1.0.4.34 Local File Inclusion Vulnerabilities (деталі)
• Really Simple CMS 0.3a (pagecontent.php PT) Local File Inclusion Vulnerability (деталі)
• d.net CMS (LFI/SQLI) Multiple Remote Vulnerabilities (деталі)
• CMSphp 0.21 (LFI/XSS) Multiple Remote Vulnerabilities (деталі)
• dit.cms 1.3 (path/sitemap/relPath) Local File Inclusion Vulnerabilities (деталі)
• GoodTech SSH Remote Buffer Overflow Exploit (деталі)

У липні, 09.07.2009, я знайшов Abuse of Functionality та Insufficient Anti-automation уразливості в DataLife Engine (DLE). Уразливості виявив на одному сайті на даному движку.

Раніше я вже писав про уразливість в Переходи для DataLife Engine.

Abuse of Functionality:

http://site/index.php?do=register

На сторінці реєстрації функція “Проверить имя” дозволяє дізнатися логіни користувачів в системі. Дана уразливість призводить до витоку інформації про логіни в системі (Information Leakage).

Insufficient Anti-automation:

Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів в системі. Що може бути зроблено за допомогою брутфорсерів логінів, зокрема, моєї програми Brute force login identifier.

В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів системи.

Дані уразливості подібні до дірок в Invision Power Board та vBulletin.

Уразливі DataLife Engine 8.3 та попередні версії.

За повідомленням www.seti-ua.com, даний журнал 2 березня проводить конференцію про безпеку бізнесу на сучасному етапі. З інформацією про дану конференцію ви можете ознайомитися на сайті видання - Безопасность бизнеса на современном этапе.

Стосовно даної конференції зазначу, що дуже несерйозно проводити секюріті конференцію маючи дірявий сайт. При тому, що ще в минулому році я звертав увагу адміністрації www.seti-ua.com на уразливості на їхньому сайті. Та в останні декілька років я неодноразово повідомляв даній компанії про уразливості на багатьох їхніх сайтах.

Зокрема на www.computerworld.com.ua, www.shpil.com та інших сайтах видавництва Коміздат. При тому, що на сайтах Computer World і Шпіля вони вже виправли уразливості, а на www.seti-ua.com так досі і не спромоглися.

Про уразливості на сайтах організаторів конференцій і виставок я писав неодноразово, наприклад, про uaweb.in.ua, www.idc-cema.com та www.ictexpo.info. В тому числі й секюріті конференцій - компанія IDC зокрема проводить конференції на тему безпеки.

Після попереднього дослідження інфікованих сайтів, приведу нову інформацію про заражені сайти. З числа українських сайтів.

• http://pusha.com.ua - інфекція була виявлена 24.01.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 4 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://yarlu4ok.com.ua - інфекція була виявлена 16.01.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 6 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://hichkok.org.ua - інфекція була виявлена 16.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 6 разів протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://mircen.com.ua - інфекція була виявлена 05.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 2 рази протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.
• http://crazy-party.com.ua - інфекція була виявлена 03.02.2010. Частина цього сайта була внесена до переліку сайтів із підозрілою активністю 1 раз протягом останніх 90 днів. Зараз сайт не входить до переліку підозрілих.

В даній добірці уразливості в веб додатках:

• Multiple vulnerabilities in WiFi router COMTREND CT-536/HG-536+ (деталі)
• Joomla Hotel Booking System Component XSS/SQL Injection Multiple Vulnerability (деталі)
• Cisco Global Site Selector Appliances DNS Vulnerability (деталі)
• RADactive I-Load Multiple Vulnerabilities (деталі)
• HP OpenView Reporter and HP Reporter Running on Windows, Remote Denial of Service (DoS) (деталі)
• HP OpenView Performance Agent, HP Performance Agent, Remote Denial of Service (DoS) (деталі)
• Mambo 4.6.3 arbitrary file upload (деталі)
• rubrique ‘rubrique.php’ SQL Injection Vulnerability (деталі)
• Dawaween V 1.03 SQL Injection Exploit (деталі)
• Horde_Form_Type_image Arbitrary File Overwrite Vulnerability (деталі)