Кому нужна безопасность?

22:32 / 28 августа, 2005

(c)oded by offtopic & Hash

Как все изменилось за последние несколько лет. В специализированных изданиях чуть ли не ежедневно рапортуют о повышении внимания к вопросам информационной безопасности. Различные аналитические агентства констатируют рост рынка средств защиты и прогнозируют дальнейшее увеличение инвестиций в этой отрасли. Проводятся семинары, круглые столы, выставки, на которых серьезно обсуждаются проблемы обеспечения безопасности государственных информационных ресурсов и корпоративных сетей. Воодушевленные этими новостями, авторы решили проверить, насколько серьезно относятся к безопасности собственных ресурсов различные компании.

В ходе исследования было решено бегло оценить защищенность ряда сайтов, владельцы которых имеют прямое отношение к компьютерной безопасности, и в случае обнаружения уязвимостей – связаться с хозяевами. В качестве цели Web-сайты были выбраны как показательные ресурс, по которому многие судят о состоянии дел в компании в целом. Кроме того, содержимое Web-сервера – общедоступная информация, и для поиска уязвимостей не требуется нарушать какие-либо законы.

Методика исследования

Специального отбора целей не проводилось. Авторы использовали те серверы, на которые их «заносило» в ходе повседневной деятельности. Для каждого сервера проводилось беглый поиск наиболее распространенных уязвимостей Web-приложений, таких как Cross-Site Scripting, SQL Injection, file-inclusion и подобных. Уязвимости операционной системы и программного обеспечения самого Web-сервера не анализировались. Если уязвимость обнаруживалась в первом приближении, авторы не предпринимали дополнительных действий по уточнению критичности проблемы, но связывались с владельцами системы.

В качестве средства связи использовалась электронная почта. Письмо отправлялось на адреса, указанные в разделе контактов сайта, а так же на адреса, рекомендованные в политике разглашения уязвимостей RFPolicy (http://www.wiretrip.net/rfp/policy.html), такие как secure@example.com, security@example.com, administrator@example.com, admin@example.com.

Письмо отправлялось от основных электронных адресов авторов, чтобы снизить вероятность фильтрации спам-фильтрами. В случае если ответ не поступал в течение недели, письмо посылалось повторно. Как скидка на русскую безалаберность.

Шаблон письма

ВНИМАНИЕ! Если вы не являетесь лицом, отвечающим за информационную безопасность сервера www.example.com, перешлите это сообщение компетентному специалисту!

Здравствуйте, на сервере www.example.com присутствуют уязвимости, использование которых может привести к его компрометации (дефейсу) или краже идентификационных данных пользователей.

Примеры уязвимостей:

<описание обнаруженных уязвимостей>

Рекомендуется устранить данные уязвимости.

Дополнительные уязвимости могут быть обнаружены с помощью бесплатного сканирования:

http://www.freescan.ru/

Информация предоставлена согласно политике RFPolicy

http://www.wiretrip.net/rfp/policy.html

Давайте рассмотрим обнаруженные уязвимости и реакцию на них владельцев ресурсов. Но прежде чем перейти к этому разделу…

Отказ от обязательств

Данная информация предоставляется на условиях "КАК ЕСТЬ", без предоставления каких-либо гарантий и прав. Используя данную информацию, Вы соглашаетесь с тем, что авторы не несут ответственности за использование Вами данной информации, и Вы принимаете на себя весь риск, связанный с использованием данной информации. Авторы не несут ответственности за использование данной информации третьими лицами.

Результаты

Сервер www.<имя домена 1>.ru

Уязвимости: множественные SQL Injections, использование которых может привести к получению полного контроля над операционной системой. Множественные Cross-Site Scripting.

Степень риска: высокая.

Первый контакт: 14.06.2005.