Websecurity - Веб безпека

У жовтні, 18.10.2009, вийшла Invision Power Board 3.0.4. В даній версії виправлені помилки та покращена функціональність.

• IP.Board 3.0.4 (деталі)

Компанія ІBResource повідомляє про вихід російської версії IP.Board 3.0.4 (IPB). Ця версія включає виправлення багатьох помилок, а також невеликі поліпшення у функціональній частині. Додана підтримка візуального редактора в браузерах Chrome і Safari. Модулі галереї, блогів і файлового архіву також обновлені.

Зробив на сайті декілька оновлень.

В Посібнику з безпеки, в другому розділі “Паролі” додав новий пункт з інформацією про зберігання паролів.

Також сьогодні оновив тестування з веб безпеки, в якому ви можете перевірити рівень своїх знань з даної теми.

В даній версії додав 5 нових запитань по новому матеріалу з другого розділа Посібника з безпеки. Тепер у тесті 55 запитань на web security тематику, які базуються на семи розділах мого посібника.

В даній добірці уразливості в веб додатках:

• Multiple Vulnerabilities in Cisco PIX and Cisco ASA (деталі)
• flatnux Flatnux-2009-01-27 Remote File Include (деталі)
• metabbs 0.11 Change admin password vulnerability (деталі)
• phpslash <= 0.8.1.1 Remote Code Execution Exploit (деталі)
• rgboard v4 (07.07.27) Multiple Vulnerability (деталі)
• SMF 1.1.7 Persistent XSS (requires permision to edit censor) (деталі)
• Security Advisory for Bugzilla 3.2.1, 3.0.7, and 3.3.2 (деталі)
• Akamai Technologies Security Advisory 2008-0003 (Akamai Client Software) (деталі)
• Akamai Red Swoosh Cross-Site Request Forgery (деталі)
• PHP-Calendar SQL Credential Disclosure (деталі)

В жовтні місяці Microsoft випустила 13 патчів для 34 уразливостей. Що значно більше ніж у вересні.

У жовтневому “вівторку патчів” Microsoft випустила черговий пакет оновлень, до якого увійшло 13 бюлетенів, що включають виправлення 34 уразливостей. З яких 8 критичних та 5 важливих.

Критичні патчі виправляють уразливості в SMBv2, Windows Media Runtime, Windows Media Player, .NET і Silverlight, ActiveX-компонентах для MS Office, написаних за допомогою уразливої версії ATL, кумулятивні оновлення для IE і блокуючих прапорців ActiveX. Важливі патчі виправляють віддалене виконання коду в GDI+, службі FTP і службі індексування, підробку сертифіката в CryptoAPI, DoS у підсистемі Local Security Authority.

По матеріалам http://bugtraq.ru.

21.07.2009

У листопаді, 16.11.2008, я знайшов Abuse of Functionality та Cross-Site Scripting уразливості на проекті http://web20.a.ua. Про що найближчим часом сповіщу адміністрацію проекту.

Останній раз стосовно проектів A.UA я писав про уразливості на passport.a.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

26.10.2009

Abuse of Functionality:

http://web20.a.ua/registration

Через функцію перевірки логіна можливе визначення логінів на сайті.

XSS:

POST запит на сторінці http://web20.a.ua/registration

"><script>alert(document.cookie)</script>В полях: Пароль, Повторно введите пароль, Секретный вопрос, Секретный ответ.

Дані уразливості досі не виправлені.

В даній добірці експлоіти в веб додатках:

• WebFileExplorer 3.1 (Auth Bypass) SQL Injection Vulnerability (деталі)
• AdaptBB 1.0b Multiple Remote Vulnerabilities (деталі)
• net2ftp <= 0.97 Cross-Site Scripting/Request Forgery Vulnerabilities (деталі)
• My Dealer CMS 2.0 (Auth Bypass) SQL Injection Vulnerability (деталі)
• Absolute Form Processor XE-V 1.5 (Auth Bypass) SQL Injection Vuln (деталі)
• Dynamic Flash Forum 1.0 Beta Multiple Remote Vulnerabilities (деталі)
• FunkyASP AD System 1.1 Remote Shell Upload Vulnerability (деталі)
• w3bcms Gaestebuch 3.0.0 Blind SQL Injection Exploit (деталі)
• Redaxscript 0.2.0 (language) Local File Inclusion Vulnerability (деталі)
• moziloCMS 1.11 (LFI/PD/XSS) Multiple Remote Vulnerabilities (деталі)
• Chance-i DiViS DVR System Web-server Directory Traversal Vulnerability (деталі)
• Loggix Project 9.4.5 (refer_id) Blind SQL Injection Vulnerability (деталі)
• PHP-Agenda <= 2.2.5 Remote File Overwriting Vulnerabilities (деталі)
• Flatnuke <= 2.7.1 (level) Remote Privilege Escalation Exploit (деталі)
• ftpdmin 0.96 RNFR Remote Buffer Overflow Exploit (xp sp3/case study) (деталі)

Учора я оприлюднив Cross-Site Scripting уразливість в Joomla, що я знайшов 03.09.2009. Яка має місце на сторінці с помилкою 404.

Дана уразливість вже виправлена в останніх версіях движка, але не всі власники сайтів оновили Joomla до останньої версії, тому в Інтернеті є чимало вразливих сайтів. Наведу вам приклади сайтів, де наявна дана Cross-Site Scripting уразливість. Це сайти http://www.corywebbmedia.com, http://www.howtojoomla.net та http://dwsc.net.

XSS:

http://www.corywebbmedia.com

• alert(document.cookie)
• цікавий
• html включення

http://www.howtojoomla.net

• alert(document.cookie)
• цікавий
• html включення

http://dwsc.net

• alert(document.cookie)
• цікавий
• html включення

Продовжу тему “Warning” Гугл хакінга (”Warning” Google hacking). Котрий є різновидом Гугл хакінга - використання пошукових систем (зокрема Гугла) для пошуку уразливостей на сайтах.

Дана методика передбачає використання Гугла (чи інших пошукових систем) з метою пошуку повідомлень на сайтах про помилки, і дозволяє знайти важливу інформацію стосовно даних сайтів. За допомогою спеціальних пошукових запитів (дорків) можна знайти Full path disclosure та Information leakage уразливості на різноманітних сайтах в Інтернеті.

Новий перелік “варнінг” пошукових запитів:

Warning: “filename cannot be empty”

Warning: constant

Warning: Unable to access

Warning: convert “function.convert”

Warning: “cannot read from”

Warning: copy

Warning: failed to open stream

Warning: curl “function.curl”

Warning: “No such file or directory”

Warning: current “function.current”

У цьому місяці, 6 жовтня, більше 10000 логінів і паролів користувачів поштової системи Windows Live Mail були опубліковані у вільному доступі в Інтернеті. Даний сервіс, що раніше називався Hotmail, належить Microsoft і є одним із самих популярних поштових сервісів у світі.

У корпорації підтвердили факт витоку даних і повідомили, що експерти компанії зараз розслідують ситуацію. Утім, експерти говорять, що витік даних тут малоймовірний, швидше за все, можна говорити про публікацію даних користувачів, що раніше потрапили на гачок фішерів чи авторів троянів, що крадуть інформацію.

“Ми можемо підтвердити, що опубліковані дані справжні і їх більша частина належить користувачам з Європи”, - говорять у Microsoft. Відомо, що реквізити витекли в користувачів, що використовували адреси в доменах hotmail.com, live.com і msn.com.

“Компанія розслідує ситуацію і робить всі необхідні кроки”, - говорять у Microsoft. Незалежні експерти рекомендують користувачам цієї системи змінити власні паролі для входу.

По матеріалам http://www.bezpeka.com.

В даній добірці уразливості в веб додатках:

• PowerDNS: Multiple vulnerabilities (деталі)
• Oblog XSS valnerability (деталі)
• BBSxp Xss vulnerability (деталі)
• PHP-Nuke 8.0 Downloads Blind Sql Injection (деталі)
• New no-ip packages fix arbitrary code execution (деталі)
• Amaya web editor XML and HTML parser vulnerabilities (деталі)
• New moin packages fix insufficient input sanitising (деталі)
• PerlSoft Guestbook v1.7b Bruteforcer + RCE! (деталі)
• Bugs Online v2.14 Sql Injection (деталі)
• XSS Attack using SMS to Optus/Huawei E960 HSDPA Router (деталі)