Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Szürkekalapos jelentés - 2012Q2

2012.07.18. 10:00 | buherator | 2 komment

Örömmel látom, hogy az elmúlt hónapokban sem tétlenkedtetek: április eleje óta 23 hibajelzést kaptam (illetve ennyinek volt magas biztonsági kockázata), ezek közül azonban csak 6 esetben sikerült javítania az üzemeltetőknek, 3 esetben a CERT Hungary járt el (az ő köreműködésüket külön köszönöm), a többiek nem reagáltak a megkeresésemre, 3 esetben még használható kontakt címet sem sikerült felkutatnom.

Minden esetre ezúton gratulálok endrének, kardhalnak, ~nyuszinak, Medvének és Deviance-nek, amiért sikerült hozzájárulniuk a magyar web biztonságosabbá tételéhez, a hajtás után felsoroltaknak pedig köszönöm, hogy megpróbálták, a dolog nem rajtuk múlott.

A második negyedéves termésben fajsúlyosabb darabok is akadnak, a továbbra kattintás csak saját felelősségre ajánlott.

Ventax a Honfoglalón talált egy perzisztens XSS lehetőséget, amiben van ugyan annyi hiba, hogy csak a spéci tárggyal ellátott üzenet megnyitásakor triggerelődik, egyébként látszik a turpisság a felületen. Ettől függetlenül biztos vagyok benne, hogy kellő fantáziával ki lehetne dolgozni értelmes támadási vektort:

honfoglalo_msgxss.jpg

GHost a Kiskegyedet böngészve futott bele egy tipikus SQL injectionbe, rövid guglizás után azonban kiderült, hogy az Axel Springer Network szinte összes oldala érintett lehet:

axel_google.jpg

A GHDB-re illene w3bb3r Google dorkja, amivel a com_fabrik Joomla! modulra lehet keresgélni. Ez a kiegészítő van olyan kedves, hogy megfelelő paraméterezéssel tetszőleges fájlfeltöltést engedélyez - igen, PHP-t is, további infókért tessék beletúrni a forrásba ;)

com_fabrik.png

~nyuszi nem volt szívbajos, a szokásos SQLi-k kihasználása után benézett a zolcertv.hu és a bcs.hu admin felületére is, alig győztem kitakarni a személyes adatokat:

zolcertv.png

bcshu.png

Ha egy hoszting szolgáltató weboldala bugos, felmerülhet a kérdés, hogy vajon a kedves ügyfelek szeparációja mennyire lehet erős - endre a farkasweb.hu-nál nem fog szolgáltatást vásárolni:

farkasweb.jpg

endre felfedezése az egymozdulat.hu, és a Dunaújvárosi Főiskola injectionje is:

egymozdulat.png

hok_duf_hu.png

Krasznay doktor illetve ptZool Twitteren is figyelmeztetett az infoter.eu hibáira, kevés eredménnyel:

infoter.jpg

kardhal küldte be a Csillagocska Alapítvány, a Newstart, a Gyémánt Ingatlan és a Felfedezések hibáit, ezekre sajnos láthatóan kevés időt fordítanak a tulajdonosok:

csillagocskaalapitvany.jpg

newstart.jpg

gyemantingatlan.png

felfedezsek.png

sm0kers bérelni akart valamit, de végül ingyen megkapta a berbeadom.hu adatbázisát:

berbeadom_dump.png

Címkék: incidens az olvasó ír

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Symbol Developer · http://www.symboltech.hu 2012.07.18. 11:10:49

Csak gratulálni tudok! Ha a mi oldalunk lenne ilyen, én nagy köszönetet mondanék a Buherásoknak, hogy időben észreveszik, nem egy kínai hekker(gép) tör be.

bcs.hu-t épp tegnap néztem, ezért is kacagtam nagyot (csak szakmailag, nem parasztságból), hogy ők is benne vannak a szórásban.

Csak így tovább!!!

mycroft 2012.07.18. 18:32:29

Én csak azt nem értem h GHost miért olvassa a Kiskegyedet....