Websecurity - Веб безпека

В цьому році в Уанеті, зокрема в другому півріччі, дуже збільшилася хакерська активність в політичній сфері. Я вже писав про взломи сайтів політичних партій, політиків та кандидатів в президенти (сайтів Яценюка і Гриценка), що зачастішали на передодні президентських виборів. А вчора піддався нападу сайт Президента України.

Але не тільки політичними атаками обмежуються життя в Уанеті, і окрим них також проводяться атаки в економічній сфері. Зокрема я зафіксував серію DDoS атак на обмінники електронних валют.

В другому півріччі мною зафіковані наступні DDoS атаки на обмінники електронних валют:

• www.wmzua.com - 26.07.2009
• www.intexchange.com - 29.09.2009
• obmen.zt.ua - 02.11.2009

Атаки були проведені невідомими зловмисниками. Цілком імовірно, що атаки були замовлені конкурентами (що заздрять успішному бізнесу інших обмінників). Так що не тільки політикою живе Уанет, а й економікою теж.

Вчора прес-служба Секретаріату Президента України Віктора Ющенко повідомила, що працівники Секретаріату залишилися без зв’язку з Інтернетом. Він не працював в Секретаріаті із самого ранку, а служба технічної підтримки довго не могла знайти причини відсутності зв’язку.

Офіційне інтернет-представництво Президента України деякий час протягом дня також не було доступно (вірогідно через DDoS-атаку). Про що я вже згадував учора. Ранком представник Секретаріату затруднився назвати терміни поновлення роботи веб-ресурсу. А вдень сайт вже працював в звичайному режимі.

Зазначу, що два роки тому веб сайт Президента України Віктора Ющенко вже піддавався DDoS-атаці, ініційованою російською політичною організацією “Євразійський союз молоді”. Так що імовірність того, що на передодні президентських виборів сайт Президента “поклав” хтось зі сторони не виключається.

Окрім DDoS-атаки могли взагалі взломати ресурс. Показовою в цьому відношенні є ситуація із сайтом президента Латвії, чий сайт взломали на минулому тижні.

По матеріалам http://itua.info.

В даній добірці експлоіти в веб додатках:

• 2daybiz Custom T-shirt Design (SQL/XSS) Multiple Remote Vulns (деталі)
• Rama CMS <= 0.9.8 (download.php file) File Disclosure Vulnerability (деталі)
• my-Gesuad 0.9.14 (AB/SQL/XSS) Multiple Remote Vulnerabilities (деталі)
• my-colex 1.4.2 (AB/XSS/SQL) Multiple Remote Vulnerabilities (деталі)
• PHPenpals <= 1.1 (mail.php ID) Remote SQL Injection Exploit (деталі)
• DMXReady Registration Manager 1.1 Database Disclosure Vulnerability (деталі)
• Pluck 4.6.2 (langpref) Local File Inclusion Vulnerabilities (деталі)
• Flyspeck CMS 6.8 Remote LFI / Change Add Admin Exploit (деталі)
• Coppermine Photo Gallery <= 1.4.22 Multiple Remote Vulnerabilities (деталі)
• httpdx <= 0.5b Multiple Remote Denial of Service Vulnerabilities (деталі)
• Online Rental Property Script <= 5.0 (pid) SQL Injection Vulnerability (деталі)
• PHP Dir Submit (Auth Bypass) SQL Injection Vulnerability (деталі)
• Pc4Uploader 9.0 Remote Blind SQL Injection Vulnerability (деталі)
• OpenSSL <= 0.9.8k, 1.0.0-beta2 DTLS Remote Memory Exhaustion DoS (деталі)
• Cisco IOS FTP server remote exploit (деталі)

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• http://www.president.gov.ua (невідомими хакерами) - 25.11.2009 - DDoS атака на сайт Офiцiйного представництва Президента України
• http://obmen.zt.ua (невідомими хакерами) - 02.11.2009 - DDoS атака на obmen.zt.ua
• http://www.velusk.ucoz.ua (хакером jankiy3)
• http://www.horayetsky.lviv.ua (хакером MucaHit) - 15.11.2009, зараз сайт вже виправлений адмінами
• http://plutka.at.ua (хакером jankiy3) - 13.11.2009, зараз сайт вже виправлений адмінами

В даній добірці уразливості в веб додатках:

• Version-independent IOS shellcode (деталі)
• Step-by-step instructions for debugging Cisco IOS using gdb (деталі)
• Cisco IOS shellcode explanation - additional (деталі)
• glFusion <= 1.1.2 COM_applyFilter()/cookies remote blind sql injection exploit (деталі)
• Q2 Solutions ConnX - SQL Injection Vulnerability (деталі)
• OpenX 2.4.11, 2.6.5, 2.8.0 fix multiple vulnerabilities (деталі)
• OpenX 2.6.4 multiple vulnerabilities (деталі)
• OSCommerce Session Fixation Vulnerability (деталі)
• Remote access vulnerability using File Thingie v2.5.4 (деталі)
• Family Connections 1.8.2 Arbitrary File Upload (деталі)

У березні, 20.03.2009, я знайшов численні Cross-Site Scripting уразливості на проекті http://www.banner.kiev.ua (банерна мережа UBN). Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливості на forum.banner.kiev.ua.

У флеш баннерах на banner.kiev.ua є XSS уразливість. Якщо вони зроблені згідно з рекомендаціями УБН (попередніми рекомендаціями), то можлива XSS атака (strictly social XSS) через параметр url (при кліку на банер). Про подібну атаку я вже писав в записі XSS уразливості в 215000 флеш файлах.

XSS (флешка з target = “_blank”):

• alert(’XSS’)
• alert(document.cookie)
• цікавий

Зазначу, що флешки з target = “_blank” (в getURL) не дозволяють дістатися до cookies. А також вони не працють в IE6 (в деяких випадках при роботі з JS). Якщо target заданий не “_blank” (або зовсім не вказаний), то тоді флешки дають можливість дістатися до кукісів в усіх браузерах (та нормально працють в IE6). В УБН згідно з рекомендаціями (попередніми) target задається “_blank”, але якщо хтось не задав його, то можна буде дістатися і до кукісів.

XSS (флешка з target = “_top”):

• alert(’XSS’)
• alert(document.cookie)
• цікавий

В системі УБН зараз біля 150000 банерів, частина з яких - це флеш банери, що мають дану XSS уразливість.

Продовжуючи розпочату традицію, після попереднього відео про те, як зробити файл таким, що не виявляється антивірусами, пропоную новий відео секюріті мануал. Цього разу відео про хак голосового VLAN. Рекомендую подивитися всім хто цікавиться цією темою.

Anonymous Voice Vlan Hack

В даному відео ролику демонструється методика проведення хака анонімного голосового VLAN. Методика показана на прикладі обладнання Cisco. Рекомендую подивитися дане відео для розуміння методів атаки на VLAN.

16.02.2009

У березні, 31.03.2008, я знайшов SQL DB Structure Extraction та SQL Injection уразливості в системі Abton (це українська CMS). Як раз коли виявив уразливості на uareferat.com, де використовується даний движок. Також про ще одну SQL Injection в даному движку мені нещодавно повідомив Alex (в коментарях).

Детальна інформація про уразливості з’явиться пізніше. Спочатку повідомлю розробникам системи.

24.11.2009

SQL DB Structure Extraction:

http://site/rus/details/13220/

http://site/rus/referaty/’/

http://site/rus/’/

http://site/rus/referaty/1/-1/

http://site/abton/

На сайті на даному движку є багато подібних уразливостей, що призводять до витоку структури БД.

SQL Injection:

http://site/rus/details/’+benchmark(10000,md5(now()))+’/

http://site/rus/referaty/1′+benchmark(10000,md5(now()))-’1/

http://site/rus/’+benchmark(10000,md5(now()))+’/

Дані уразливості вже виправлені розробниками. Але в системі є чимало нових уразливостей.

В даній добірці експлоіти в веб додатках:

• Java SE Runtime Environment - JRE 6 Update 13 Multiple Vulnerabilities (деталі)
• EasyPHP 3.0 Arbitrary Modify Configuration File Vulnerability (деталі)
• Family Connections CMS <= 1.9 (member) SQL Injection Exploit (деталі)
• Password Protector SD 1.3.1 Insecure Cookie Handling Vulnerability (деталі)
• TinyButStrong 3.4.0 (script) Local File Disclosure Vulnerability (деталі)
• MaxCMS 2.0 (m_username) Arbitrary Create Admin Exploit (деталі)
• Mlffat 2.1 (Auth Bypass / Cookie) SQL Injection Vulnerability (деталі)
• My Game Script 2.0 (Auth Bypass) SQL Injection Vulnerability (деталі)
• Ascad Networks 5 Products Insecure Cookie Handling Vulnerability (деталі)
• MRCGIGUY Top Sites 1.0.0 Insecure Cookie Handling Vuln (деталі)
• MRCGIGUY SimpLISTic SQL 2.0.0 Insecure Cookie Handling Vuln (деталі)
• Harland Scripts 11 Products Remote Command Execution Exploit (деталі)
• Joomla Component ArtForms 2.1 b7 Remote File Inclusion Vulnerabilities (деталі)
• D-Link Products Captcha Bypass Vulnerability (деталі)
• Family Connection <= 1.8.2 - Remote Command Execution (деталі)

Визначення сервера (fingerprinting), що використовується на конкретному сайті - це важлива задача в контексті безпеки (це відноситься як до веб серверів, так й іншого серверного ПЗ). І спеціальні методи ідентифікації потрібні у випадку, коли сервер не повертає банер (зі своєю назвою), або повертає підроблений банер, щоб ввести в оману дослідників чи зловмисників які визначають серверне ПЗ.

В своєму записі Tomcat SSL Fingerprinting RSnake розповів про виявлений ним метод визначення сервера Tomcat. Це популярний контейнер сервлетів, розроблений Apache.

Суть метода зводиться до того, щоб послати запит “GET / HTTP/1.0″ до SSL/TLS порта сервера. На це сервер відповість специфічним повідомленням про помилку, що дозволить ідентифікувати сервер.

З часом я оприлюдню власний метод визначення веб серверів, що я розробив ще в 2006 році.