Websecurity - Веб безпека

Раніше я вже писав про уразливість в 3D Cloud для Joomla. Така ж уразливість є і в плагіні Tagcloud для DLE, що використовує tagcloud.swf розроблений автором WP-Cumulus. Про мільйони флешек tagcloud.swf вразливих до XSS атак я згадував у своїй статті XSS уразливості в 34 мільйонах флеш файлах.

У січні, 07.01.2010, я знайшов, а сьогодні додатково дослідив Cross-Site Scripting уразливість в плагіні Tagcloud для DataLife Engine. Про що найближчим часом повідомлю розробникам.

XSS:

http://site/engine/classes/tagcloud/tagcloud.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='javascript:alert(document.cookie)'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E

Код виконається при кліку. Це Strictly social XSS.

Також можна провести HTML Injection атаку, в тому числі на ті флешки, де заборонені (у флешках чи через WAF) javascript та vbscript URI в параметрі tagcloud.

HTML Injection:

http://site/engine/classes/tagcloud/tagcloud.swf?mode=tags&tagcloud=%3Ctags%3E%3Ca+href='http://websecurity.com.ua'+style='font-size:+40pt'%3EClick%20me%3C/a%3E%3C/tags%3E

Уразливі всі версії плагіна Tagcloud.

Пропоную вашій увазі добірку цікавих новин на тему безпеки.

За повідомленням www.ea-ua.info, Google планує співпрацювати з розвідкою США. Інтернет-гігант Google та агентство США, відповідальне за зовнішню електронну розвідку та безпеку американської частини Інтернет, згідно з повідомленням, близькі досягення угоди про співробітництво у справі посиленого захисту кібер-простору.

Як повідомляється, угода між Google та Агентством з питань національної безпеки передбачає співпрацю обох структур в розслідуванні китайських кібер-атак. Раніше я вже писав, що на початку року була проведена Операція Аврора спрямована проти Гугла та ряду інших американських компаній.

За повідомленням www.securitylab.ru, самі небезпечні хакерські угруповання сформувалися в Східній Європі. Ще в 2007 році журнал Information Week опублікував статтю про те, як працює “хакерська економіка”. Як зазначається в статті, особливо небезпечні хакерські угруповання сформувалися в Східній Європі, тобто в Бєларусі, Росії, Румунії та інших країнах регіону.

За повідомленням www.securitylab.ru, аддони для Firefox заражені троянськими програмами. Компанія Mozilla сьогодні випустила два екстрених бюлетені по інформаційній безпеці, де говориться про появу в каталозі аддонів для браузера Firefox, заражених троянськими програмами.

Зазначу, що ще в 2007 році я передбачив можливість розповсюдження інфікованих або зловмисних плагінів та аддонів для браузерів Мозіли через їхній офіційний сайт. Лише зараз Мозіла виявила подібний випадок, хоча цілком можливо, що подібні аддони з троянами могли бути й раніше.

Наприкінці грудня 2009 року - початку січня 2010 року відбулася хакерська атака, що отримала назву Операція Аврора (Operation Aurora). Дана атака проводилася проти Google та ряду інших американських компаній.

Ось декілька відео про Операцію Аврора:

McAfee Operation Aurora Overview

The Operation Aurora Internet Explorer exploit - live!

The «Aurora» IE Exploit in Action

В даних відео роликах розповідається про саму Операцію Аврора та демонструється використання експлоіта для Internet Explorer, що використовувався під час даної атаки.

В даній добірці уразливості в веб додатках:

• SUN / Oracle JVM Remote code execution (деталі)
• openjdk-6 vulnerabilities (деталі)
• Sun Java Updates for Multiple Vulnerabilities (деталі)
• Sun Java Web Start and Applet Multiple Sandbox Bypass Vulnerabilities (деталі)
• Sun Java AWT Library Sandbox Violation Vulnerability (деталі)
• Discloser 0.0.4-rc2 SQL Injection Vulnerability (деталі)
• SQL Injection in CS-Cart (деталі)
• Vulnerability in phpmyadmin (деталі)
• SlideShowPro Director File Disclosure Vulnerability (деталі)
• OpenCms (7.5.0) - Vulnerability: Cross-Site Scripting, Phishing Through Frames, Application Error (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.avtoplaza.ua (хакером DANYAR) - 28.01.2010, зараз сайт вже виправлений адмінами
• http://forum.jedi.com.ua (хакером ME) - 28.01.2010, зараз форум вже виправлений адмінами
• http://www.lvivua.com (Realold Mucked)
• http://www.crimeaapartment.com (хакером Juni-oR) - 28.01.2010, зараз сайт вже виправлений адмінами
• http://sport.webteka.com (хакером FormatXFormaT) - 02.02.2010, зараз сайт вже виправлений адмінами

25.08.2009

У січні, 05.01.2009, я знайшов Cross-Site Scripting уразливість на проекті http://www.darkreading.com (новинний сайт, що пише про безпеку). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливість з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

05.02.2010

XSS:

• alert(document.cookie)

Дана уразливість вже виправлена.

В даній добірці експлоіти в веб додатках:

• PHP Live! 3.2.1/2 (x) Remote Blind SQL Injection Vulnerability (деталі)
• VS PANEL 7.5.5 (results.php Cat_ID) SQL Injection Vulnerability (деталі)
• WebVision 2.1 (news.php n) Remote SQL Injection Exploit (деталі)
• Joomla Component Jobline <= 1.3.1 Blind SQL Injection Vulnerability (деталі)
• Good/Bad Vote (XSS/LFI) Multiple Remote Vulnerabilities (деталі)
• Ger Versluis 2000 5.5 24 SITE_fiche.php SQL Injection Vulnerability (деталі)
• Battle Blog 1.25 Auth Bypass SQL Injection / HTML Injection Vulns (деталі)
• GBook 1.6 (mes_id) Remote SQL Injection Vulnerability (деталі)
• RadNICS Gold v5 Multiple Remote Vulnerabilities (деталі)
• BLIND SQLi exploit Open Biller 0.1 (деталі)

Виявленні численні уразливості в Microsoft Internet Explorer.

Уразливі продукти: Microsoft Internet Explorer 6, 6 SP1, 7 і 8 на Windows 2000 Server, Windows 2000 Professional, Windows XP, Windows 2003 Server, Windows Vista, Windows 2008 Server, Windows 7.

Численні пошкодження пам’яті, виконання коду.

• Microsoft Internet Explorer HTML Layout Engine Uninitialized Memory Vulnerability (деталі)
• Microsoft Internet Explorer IFrame Attributes Circular Reference Dangling Pointer Vulnerability (деталі)
• Microsoft Internet Explorer CSS Race Condition Code Execution Vulnerability (деталі)
• Microsoft Internet Explorer XHTML DOM Manipulation Memory Corruption Vulnerability (деталі)
• Microsoft Security Bulletin MS09-072 - Critical Cumulative Security Update for Internet Explorer (976325) (деталі)

Продовжу своє дослідження безпеки e-commerce сайтів в Уанеті.

Веб сайти, що займаються електронною комерцією (e-commerce), повинні дбати про свою безпеку. Бо вони заробляють гроші на своїй онлайн діяльності і будь-які проблеми з безпекою на їх сайтах можуть їм коштувати фінансових втрат.

Але нажаль e-commerce сайти в Уанеті достатньо діряві, бо власники цих сайтів за безпекою особливо не слідкують.

В себе в новинах я писав про уразливості на наступних аукціонах та сайтах банків:

• www.agrobank.com.ua
• www.privatbank.ua
• www.bank.gov.ua
• www.blog.privatbank.ua
• www.privatbank.ua
• aval.rotabanner.com
• www.agrocombank.kiev.ua
• auction.ua
• auction.ua та партнерські сайти
• auction.meta.ua, auction.ua та партнерські сайти
• ПриватБанк
• Секюріті інциденти в ПриватБанку
• www.danielbank.kiev.ua

Стосовно атак на сайти онлайн магазинів та платіжних систем, я вже писав про DDoS атаки на обмінники електронних валют (www.wmzua.com, www.intexchange.com і obmen.zt.ua) та писав про DDoS атаку на сайт системи LiqPAY.

А також згадував про взломані сайти онлайн магазинів в Уанеті:

• shop-e.com.ua
• shop.briefcases.com.ua
• www.horayetsky.lviv.ua
• www.hackeruman.com.ua
• inet-mag.com.ua

Та згадував про інфіковані комерційні сайти:

• vip-com.lviv.ua
• samex.com.ua
• www.shop.aviris.com.ua

Так що українським e-commerce сайтам є куди покращувати свою безпеку.

В даній добірці уразливості в веб додатках:

• iPhone Configuration Web Utility 1.0 for Windows Directory Traversal (деталі)
• DOMPDF Arbitrary File Read <= 0.5.1 (деталі)
• IXXO Cart! Standalone and Joomla Component SQL Injection (деталі)
• Remote File Inclusion in aiocp (деталі)
• Microsoft SQL Server 2000 sp_replwritetovarbin limited memory overwrite vulnerability (деталі)
• Microsoft SQL Server 2005 sp_replwritetovarbin memory overwrite (деталі)
• Blink Blog System Authentication Bypass (деталі)
• XOOPS Multiple Cross-Site Scripting Vulnerabilities - Security Advisory (деталі)
• fetchmail security announcement fetchmail-SA-2009-01 (CVE-2009-2666) (деталі)
• New fetchmail packages fix SSL certificate verification weakness (деталі)