Степени уязвимости сайтов

Предыдущие сообщения
14 января 2013
#1 kanaris uid#1 Все виды узявимостей веб-сайтов можно условно поделить на пятибальную шкалу.
Степень Что относится Что можно натворить на уязвимом сайте
Критическая уязвимость
  • Когда на сервере можно выполнить произвольный php-код;
  • Когда на сервер можно залить произвольный файл с произвольным расширением в папку, в которой поддерживаются выполнение php-скриптов
Подвержены функции eval, include, функции управления файлами; при условии, если входящие параметры недостаточно фильтруются.
Практически полный контроль над сайтом.
  • Можно вставить любой код в веб-страницы
  • Слить всю базу данных, все файлы
  • уничтожить сайт
После атаки сайт восстановить реально, если регулярно делаются резервные копии. Но слив базы компенсировать нельзя (он сразу пойдет по рукам спамеров, брутильщиков акков, и т.д.). Существуют способы, как минимизировать вред, при такой атаке сайта.
Опасная уязвимость SQL-иньекции.
По сложности - примерно также, как собирать кораблик в бутылке. Надо все прощупывать изнутри.
  • можно извлечь из базы хеш пароля администратора, и при успешном подборе залогиниться как администратор.
  • можно создать аккаунт администратора, и залогиниться под ним
  • вытекающее из двух пунктов выше: получение доступа к админ-панели, через нее залить шелл-скрипт (если админка позволяет), обычно можно установить как "модуль". Если такое получилось, см. последствия "Критической уязвимости".
  • можно внедрить произвольный html-код на некоторые (или все) страницы сайта
  • можно частично/полностью слить базу данных
  • можно удалить все записи из базы данных
Средняя уязвимость
  • Активная XSS. При помощи нее возможно встроить произвольный HTML-код (в т.ч. и JavaScript) на существующую веб-страницу, на некоторые или на все страницы.
  • Ее можно организовать при помощи SQL-инъекции.
  • Проснифать cookies пользователей, в т.ч. администратора, и зайти на сайт под из-под привилегированного аккаунта. Однако, если сессия привязывается к ip-адресу, ничего не получится. Если такое получилось, см. последствия "Опасной уязвимости".
  • Встроить iframe с вирусным сайтом (связкой), и заражать посетителей сайта, которые зайдут на зараженные страницы.
Так себе уязвимость Пассивная XSS. При помощи нее можно сфабриковать специальный URL в пределах сайта, при заходе на который срабатывает произвольный HTML/JavaScript-код. Проснифать куки пользователей, также как при активной XSS. Однако сложность заключается во впаривании ссылки нужному человеку (администратору). Администратор сайта может заметить и пофиксить баг, поэтому маловероятно. Можно использовать "сокращалку" ссылок (типа bit.ly), впарить ее админу, и тогда его перебросит на уязвимый УРЛ. Тогда он заметит уже ПОСЛЕ того, как перешел по нему. Злоумышленнику нужно действовать быстро, пока админ не разобрался и не пофиксил баг.
Не уязвимость Возможность вставлять на сайт картинки с произвольных серверов. Сейчас такая возможность существует на большинстве форумов. Также эта "уязвимость" есть в веб-интерфейсе почтовика mail.ru.
  • вызвать форму http-авторизации. Некоторые пользователи могут подумать, что они разлогинились на сайте, и могут ввести свой логин/пароль в эту форму.
    Наглядно
    Адрес картинки: http://hackersoft.ru/files/img_auth/auth_jpg_test....
    Не хочу тут вставлять, а то авторизация выскакивает. Смысл такой: вставляешь ее где-нить на форуме, и выскакивает форма ввода пароля.
  • узнать ip-адреса и браузеры всех посетителей страницы, на которой установлена картинка. Такие картинки называются "снифферами".
  • выполнить произвольный JavaScript-код (работает только на некоторых мастдайных браузерах, типа IE6, которыми ни один нормальный человек сейчас не пользуется)
Как видите, любую уязвимость можно раскрутить до стадии "критической", все зависит от ламерности движка, админов, пользователей и т.д.
Если вдруг вы нашли уязвимость на каком-то сайте, то правильно оценить вы ее сможете только при условии полного понимания устройства веба, и если знаете, что делаете.
18:33:45 8
#2 1kasma1 uid#1581
вызвать форму http-авторизации. Некоторые пользователи могут подумать, что они разлогинились на сайте, и могут ввести свой логин/пароль в эту форму.
А по подробней можно?
18:39:34 0
#3 kanaris uid#1 http://forum.hackersoft.ru/showthread.php?t=7604 18:45:06 1
#4 Flash_X uid#496 Genius
вызвать форму http-авторизации. Некоторые пользователи могут подумать, что они разлогинились на сайте, и могут ввести свой логин/пароль в эту форму.
уже не ведутся...
18:56:11 0
#5 kanaris uid#1 Обновил первый пост, нажмите F5 (добавил наглядно с картинкой авторизации) 19:00:24 0
#6 Flash_X uid#496 Geniusя ж говорю, не ведутся. ча прошаренные все стали... 19:05:10 0
#7 kanaris uid#1 Ну не все ж такие прошаренные, как ты. Вот 1kasma1 например не знал. А что про простых юзеров говорить... 19:06:25 0
#8 Flash_X uid#496 Geniusну я думаю у многих есть ADSL модемы, и они понимают что такое базовая авторизация 19:08:36 0
#9 1kasma1 uid#1581 Да я знал, не так понял просто.. Почти тоже самое что и сниффер.
Легче уже куки пиздануть или стиллер кинуть.
На счет того что "многие не ведутся" я согласен. Но школоты я много развел так..
Пойду ка я махинацию проверну, прибыльную..
19:12:08 0
#10 Flash_X uid#496 Genius
Да я знал, не так понял просто..
На счет того что "многие не ведутся" я согласен. Но школоты я много развел так..
19:24:47 1
#11 optima uid#3563 флеш... до слёз бля 19:38:51 0
Следующие сообщения
*Ник: Проверка уникальности... Если вы уже зарегистрированы, авторизуйтесь.
*Сообщение:
  Загрузка...