Category Archives: Drošības caurumi

Telia mājaslapa uzurķēta

Vakar daudzi runāja par Telia.lv lapas uzlaušanu, kas izpaudās kā gandrīz neredzamu linku uz citiem resursiem ievietošanu šajā lapā: http://telia.lv/lv/par-mums/jaunumi.

Ekrānšāviņš no twitter:

http://twitter.com/#!/laacz/status/187426840640626688/photo/1

Šādus uzbrukumus ir diezgan grūti atklāt (tāds ir viņu mērķis) un tie galvenokārt kalpo, lai palielinātu citu lapu reitingu.

Kādu laiku atpakaļ bija iespēja apskatīt arī citu lapu, kurai līdzīgi tikai pievienots liels raksts un padarīts neredzams (iespējams, ka tā lapa jau tāda bija kādu gadu). Atklāju to nejauši, kad apskatīju lapas html.

Laikam ir atklāts jauns uzlaušanas virziens un šos meistarus laikam var nosaukt par pus melniem urķiem, jo viņu uzdevums nav nograut resursu, bet tikai palīdzēt citai lapai.

Tomēr konstatējot šādu gadījumu vajadzētu noteikti atklāt ievainojamības cēloni, jo nākamais urķis var nebūt tik „nevainīgs”.

Sīrijas prezidents lietojis paroli “12345″

Šādi gadījumi apliecina, ka ar paroles labās prakses publicēšanu vien nepietiek un prasības ir jāiestrādā pašā sistēmā, lai “lietotājiem” nebūtu iespējams tā kļūdīties.
mashable.com

Syrian President Bashar al-Assad has been under fire from world leaders to step down this week. He’s also under fire from hacktivist group Anonymous, who leaked hundreds of his office’s emails on Monday.

While Anonymous is infamous for its hacking know-how, it doesn’t take a genius computer programmer to guess one of the passwords commonly used by Assad’s office accounts: 12345. The string of consecutive numbers is the second-weakest password according to a 2011 study.

Anonymous broke into the mail server of the Syrian Ministry of Presidential Affairs, accessing some 78 inboxes of Assad’s staffers, according a report from Israeli daily Haaretz. The password 12345 was associated with several of the accounts.

Mansour Fadlallah Azzam, the minister of presidential affairs and Bouthaina Shaaban, Assad’s media adviser, were among the victims of the inbox hacks.

Haaretz obtained and published one email that included documents intended to prepare the Syrian leader for his December 2011 interview with Barbara Walters. In the interview, Assad claimed the Syrian government was not killing its people.

“We don’t kill our people,” Assad told ABC “No government in the world kills its people, unless it’s led by a crazy person.”

In the leaked email, Syrian spokesperson at the U.N. Sheherazad Jaafari advised Shabaan and Luna Chebel, a former Al Jazeera reporter and current Assad staffer, on what the Syrian president should say to manipulate Americans:

“It is hugely important and worth mentioning that ‘mistakes’ have been done in the beginning of the crises because we did not have a well-organized ‘police force.’ American psyche can be easily manipulated when they hear that there are ‘mistakes’ done and now we are ‘fixing it.’ It’s worth mentioning also what is happening now in Wall Street and the way the demonstrations are been suppressed by policemen, police dogs and beatings.

“The major points and dimensions that have been mentioned a lot in the American media are: The idea of violence has been one of the major subjects brought up in every article. They use the phrases ‘The Syrian government is killing its own people,’ ‘Tanks have been used in many cities,’ ‘Airplanes have been used to suppress the peaceful demonstrations,’ and ‘Security forces are criminals and bloody.’”

Jaafari’s email also advised that Assad should emphasize the openness of Facebook and YouTube to show the true situation in Syria. Press entry restrictions should be spun as a proactive measure not to have foreign journalists misrepresent the country.

What do you think of Anonymous’s vigilante role in international affairs? Is diplomacy the place for hacktivists? Let us know what you think in the comments.

Google wallet var patukšot tavu kabatu

Ielaist kļūdas savā programmatūrā (Google wallet) izdodas arī tādiem milžiem kā google. Tas apliecina, ka paļaties uz brendu (pieejamo speciālistu un testētāju armiju) nevar un produkts jāsāk lietot tikai pēc ilgāka laika, kad visas blusas ir publiski izķertas un jaunas nav vēl savairojušās.
cnet.com

Google Wallet users might be wise to start getting a little nervous.
Yesterday, researchers outlined a complicated way to crack the Google Wallet PIN used to make purchases with the smartphone-based payment system. Now there’s a new hack that could let a stranger gain access to the funds of Wallet users.
Described yesterday by blogging site The Smartphone Champ, the hack doesn’t require extra software, root access, or any particular skills in general.
Instead, all someone apparently has to do it clear the data for the Google Wallet app in the smartphone’s application settings menu. The app is then reset and will prompt the person to enter a new pin number the next time it launches. Since the Google Wallet information is linked to the device and not to the actual account, a person can then use the Google prepaid card already tied to the device to gain full access to the owner’s funds, explained The Smartphone Champ.
This latest Google Wallet hack follows an earlier hack reported by security blogging site Zvelo.
That one, however, required root access to the device, something that requires a certain amount of time, effort, and skill (or luck) to acquire. But the new hack can be performed by anyone within a matter of minutes.
Android blogging site Android and Me tested the hack and found that it worked on a Galaxy Nexus phone with the latest official version of Google Wallet.
In response to the hack, a Google spokesman sent CNET the following statement:
“We strongly encourage anyone who loses or wants to sell their phone to call Google Wallet support toll-free at 855-492-5538 to disable the prepaid card. We are currently working on an automated fix as well that will be available soon. We also advise all Wallet users to set up a screen lock as an additional layer of protection for their phone.”

Anonymous izķēmojuši CIP mājaslapu

Piefiksējam faktu no Forbes.ry.

Хакеры Anonymous в ночь на субботу (по московскому времени) взломали сайт Центрального разведывательного управления США (ЦРУ). На странице хакерской группировки @YourAnonNews в сервисе микроблогов Twitter они оставили сообщение «CIA Tango down», которое можно перевести на русский язык следующим образом: «ЦРУ ликвидировано» (выражение «Tango down» обычно используется спецслужбами для подтверждения факта устранения вражеского объекта). Ответственность за атаку на веб-ресурс ведомства взяла на себя хакерская группировка Anonymous. Какую именно цель преследовали хакеры Anonymous для атаки на сайт ЦРУ, они не уточнили.

Представитель ЦРУ подтвердила информацию о возникших после атаки хакерской группы Anonymous проблемах с веб-ресурсом разведуправления и сообщила, что к 09.00 мск сайт возобновил свою работу.

Как сообщает РИА «Новости», это уже не первая атака Anonymous на сайты американских государственных ведомств. В январе хакеры вывели из строя веб-ресурсы Минюста США и Федерального бюро расследований (ФБР), протестуя таким образом против закрытия «файлообменника» Megaupload и ареста его руководителей.

Хакерская группа Anonymous стала по-настоящему известной в конце 2010 года, когда ее представители предприняли серию DDoS-атак на сайты компаний и организаций, противодействовавших деятельности разоблачительного ресурса WikiLeaks. В числе атакованных – сайты PayPal, Visa и MasterСard. Позже целями группировки, объединившейся с хакерами из LulzSec, также становились сайты компаний Sony, Nintendo, PBS, сайт Сената США, правительственные сайты Бразилии, Мексики, Италии и ряд других ресурсов.

Apollo raksta, ka bija ievainojama probacija.lv mājaslapa

Jāpiefiksē vēsturei.
Cik sapratu, tad šīs publikācijas mērķis bija noreklamēt testētāju, kuri to darīja bez saskaņošanas. Diez vai tas nostrādā? Es personīgi šādiem tipiem neuzticētu testēšanu.
Principā par šādu rīcību prasītos notiesājošs spriedums.

http://www.apollo.lv/portal/news/articles/262237

Kā pārliecinājās aģentūra LETA, izmantojot minētās mājaslapas tehniskās nepilnības, ikvienam interneta lietotājam bija iespējams iegūt informāciju par dienestā strādājošo ierēdņu algām, kā arī viņu personīgos datus.

Izmantojot būtiskus pārkāpumus mājaslapas drošībā, «ir iespējams iegūt un manipulēt ar pilnīgi visu informāciju, kura atrodas uz servera, ieskaitot pašu serveri», norādīja «Influent».

Drošības testētāji esot informējuši par atrasto «caurumu» arī pašu VPD, bet atbildi no tā neesot sagaidījuši.

Adrese uz visiem publiski pieejamajiem VPD failiem, kas augšupielādēti uz servera, bija gluži vienkārša – «www.probacija.lv/upload».

Tomēr īsi pēc aģentūras LETA ziņas publicēšanas minētais «caurums» tika «aizlāpīts», līdz ar to dati publiskajā vidē vairs nav pieejami.

Vienā no neaizsargātajiem failiem drošības pārkāpumu testētāji esot atraduši dokumentu, kurā redzams, ka par mājaslapas izstrādi no valsts budžeta paprasīti vairāk nekā 1000 lati, lai gan izstrādātājiem samaksāts vien ap 300 latiem.

VPD pārstāvis Imants Mozers aģentūrai LETA sacīja, ka, uzzinot par šo situāciju, dienests sācis to vērtēt. «Tiklīdz būs zināmi notikušā apstākļi un plašāks skaidrojums, arī mēs sniegsim informāciju,» norādīja Mozers, piebilstot, ka pagaidām nav saprotams, kā šāda veida dati varējuši būt pieejami publiskā vidē.

VPD mājaslapa esot izstrādāta 2004.gadā. Arī intranets dienestam izstrādāts sen, bet Mozers nemācēja pateikt konkrētu gadu.

VPD mājaslapa ir izvietota uz SIA «Lattelecom» serveriem.

Mozers piebilda, – viņa rīcībā nav informācijas, ka drošības testētāji iepriekš būtu ziņojuši VPD par atrasto «caurumu» dienesta mājaslapā.

Aizejoša darbinieka risks

Gucci uzņēmums uz savas ādas izbaudīja IT darbinieka atriebību, kuru viņš realizēja vēl strādājot izveidojot VPN pieslēgumu.
Ar rakstu var iepzīties te.
Daudzi uzņēmumi paļaujas uz darbinieku godprātu un kā var redzēt velti.
Ārējo pieslēgumu kontrolē ir ļoti būtiska.

Vadipats.lv tehniskais downtime

Serveri mēdz nokrist un, ja risinājums nav izveidots “High availability”, tad gadās šādi.
Uz e-pastu saņēmu paziņojumu:

Labdien,

www.vadipats.lv 2011.gada 07.aprīlī plkst.13:00 pilnvērtīgi atsāk darbību. Continue reading

Tautas skaitīšana, EDS, CSDD un ņemšanās ap perosnas kodu

Līdz šim aizņemtības dēļ nebija laiks iedziļināties problēmā, ar kuru slimo visa LV jau veselu nedēļu.
Principā šeit ir jāizdala divas problēmas- valsts iestāžu (un arī dažu privātu) izpratne par to, kas ir drošs autentifikācijas rīks un personas datu pieejamība (lietojamība).

1. gadījumā interesants ir viedoklis, ka privātie dokumenti ir jāsargā pašiem (lai nenoplūst pases kopijas, personas kodi, utml) un to salīdzināšana ar bankas kodu karti.

Diez vai viņi meklējot sev attaisnojumu padomāja no šāda skata punkta- personas apliecinošie dokumenti ir jāuzrāda, jākopē un jādod trešajām pusēm (slēdzot visādus līgumus vai iesniedzot dokumentus valsts iestādēm), turp pretim bankas kodu karti nevienam neviens neprasa.

Apšaubu arī otru argumentu- banku kodu kartes ir tik pat pieejamas internetā, kā personas kodi. Ja tā būtu, tad daļai cilvēku jau sen būtu iztukšoti konti. Principā smieklīgi.

Vispār nesaprotu cik šauri cilvēkam ir jādomā, lai izdarītu secinājumu, ka pasē pieejamie dati tiek uzskatīti par drošu autentifikācijas rīku.. .
Kaut kā neticas, ka neviens auditors nepievērsa tam uzmanību (vairākās iestādēs ir savi IT auditori, drošības speciālisti, gan veiktas ārējās novērtēšanas).
Šādas lietas gribot negribot liek apšaubīt šo cilvēku atbilstību ieņemamam amatam.

2. variantā bija vēl labāk- vienīgais, kas VID darbiniekiem ienāca prāta ir atslēgt EDS sasaisti ar pārējām sistēmām un pompozi paziņot- Tagad Jums visiem būs divreiz vairāk darba, būs jāvada gan personas kodi, gan vārdi, uzvārdi, adreses ar roku.

Tas viss atgādina drīzāk nedomāšanu vai klasisko domāšanu balts/melns.

Es piedāvātu labāk izvērtēt kāda informācija tad īsti ir jāatspoguļo tajās EDS anketās par trešajām pusēm. Manuprāt pietiktu ar personas kodu (kuru ievada pats aizpildītājs) un tad, lai no saistošām sistēmām izvada tikai vārdu un uzvārdu (lai salīdzinātu vai ievadīts pareizi). Pārējo informāciju paturot pieejamu tikai VID darbiniekiem. Tādā veidā būtu atvieglota datu ievade un nevajadzīgi nebūtu jāatspoguļo informācija.

Internetā pieejamie cepieni par šo tēmu- Tautas skaitīšana, CSDD, EDS.

www.zz.lv un XSS

Mājās drusku pabakstoties atklājās, ka Zemgales ziņas mājas lapas meklēšanas funkcionalitātē ir XSS ievainojamība. Pieņemu, ka tāda pati problēma ir visās AS Dienas reģionālo avīžu mājas lapās.
Pilnībā atvēzēties liedz tas, ka tiek atfiltrēts „=” simbols.
Par XSS var palasīt:

http://hakipedia.com/index.php/Cross_Site_Scripting
http://www.owasp.org/index.php/Cross-site_Scripting_(XSS)
http://ha.ckers.org/xss.html
http://www.martani.net/2009/08/xss-steal-passwords-using-javascript.html

www.atlaizuklubs.lv SQL kļūda

Šorīt apmeklējot www.atlaizuklubs.lv atklājās medusmaize- SQL kļūdas paziņojums no kuras var izsecināt daļu no datubāzes uzbūves.
Pēc visa spriežot uz servera aptrūkās vieta.
Konkrētā gadījumā izskatās pēc divām klasiskām kļūdām:
1. Nav atslēgta kļūdu izvadīšana (nepieciešama izstrādes posmā, bet ne produkcijas serveros).
2. Un nebija uzstādīts servera disk space monitorings (alerts).

Ar igtrade.lv noticis nesmukums

Klejojot par internetu un meklējot ceļojumus iegāju igtrade.lv lapā. No google.com piedāvātā linka izskatās, ka kādreiz bija joomla, bet tagad…
Piefiksēšu vēsturei. Continue reading

Uzlauzsts Jelgavnieki.lv

Pieminēsim vēsturei- Uzlauzts Jelgavnieki.lv un nomainīts mysql parole, kā rezultātā portāls nebija pieejams lasītājiem.

Raksts un raksta kopija. Continue reading

Uzlauzta Vienotības mājaslapa

Ir.lv ir raksts:

Sestdienas vakarā uzlauzta politisko partiju apvienības “Vienotība” mājaslapa. Kā pēc plkst.19 pārliecinājās aģentūra LETA, atverot vietni, lapas apmeklētājs pēc īsa mirkļa tika aizvests uz partiju apvienības “Par labu Latviju” (PLL) mājaslapu.

“Vienotība” arī tviterī ierakstījusi: “Mums ir uzlauzta mājaslapa, bet jau labojam. Šobrīd viss liecina par PLL roku darbu.”

Sestdienas vakarā “Vienotības” mājaslapa vispār nav redzama un saites “www.vienotiba.lv” apmeklētājs tiek informēts, ka viņam nav pieejas minētajam serverim.

Savukārt apvienības PLL preses sekretārs Edgars Vaikulis aģentūrai LETA noliedza apvienības saistību ar uzbrukumu “Vienotības” vietnei. Vaikulis paudis, ka, visticamāk, šāda rīcība ir provokācija.

Pirmdienas rītā gan viss bija mierīgi, bet vēsturei piefiksēsim.

Pods izsmiets vai vēsture atkārtojas

Tiko uzrakstīju post par boot izsmiešanu un gribas palasīt ko citu.

Un te seko nākamais pārsteigums- pods izsmiets.

Nu ko vēsture atkārtojas..

Pods jau vienreiz tika nonests un cik atceros toreiz autoram bija paša radīts brīnums, bez rezerves kopijām. Tagad Pods griežas(zās) uz wordpress- vai bija mācība un ir rezerves kopija uzzināsim visai drīz.

Man pašam arī pāris mēnešus atpakaļ bija nonests wordpress izmantojot wordpress ievainojamību. Kas par iemeslu bija iekš pods.lv būs interesanti noskaidrot un cerams autors neturēs sveci zem pūra. Varbūt nebija atjaunota pēdējā versija, varbūt kaut kas cits.

Iekš LV ik pa laikam kāda lapa tiek nonesta, taču neesmu dzirdējis ne par vienu sekmīgi pabeigtu izmeklēšanu un notiesājošu spriedumu. Gaidu precedentu, lai tīņi urķi nobītos un beigtu bojāt citiem garastāvokli.

Uzstādīts arī interesants redirekts uz www.kuce.lv, kas liek domāt, ka vainīgais mitinās iekš LV

No sava Hackera neaizbēgsi :) .

Boot bīstama lapa vai arī boot ticis izsmiets

Atnākot mājās pēc vakara wake brauciena izdomāju palasīt, kas jauns noticis pasaulē.
Viss sākas ar google reader atvēršanu un tur mani sagaida brīdinājums- boot ir kaitīga lapa.

Palika interesanti..
Lasu tālāk iekš boot, ka ļaundari ir izmantojuši kādu openx ievainojamību un mājaslapā ievietojuši ļaundabīgu kodu, bet tagad viss ir ticis sakopts.

Būtu interesanti, ja Boot būtu nopublicējis kā viss tas notika un kādā veidā un ko ļaundari tieši ievietojuši un no kādām adresēm. Būtu labs un pamācošs rakstiņš.

Zelta teiciens sevi attaisno- No sava Hackera neizbēksi, tāpēc taisām rezerves kopijas :)