63% web-сайтов содержат опасные уязвимости - Общий форум по информационной безопасности - Форумы Anti-Malware.ru Перейти к содержанию
AM_Bot

63% web-сайтов содержат опасные уязвимости

Автор AM_Bot, в Общий форум по информационной безопасности

Recommended Posts

AM_Bot    48

AM_Bot
Опубликовано

Компания WhiteHat Security опубликовала результаты исследования безопасности web-сайтов в сети, сообщает opennet.ru. В соответствии с представленным отчетом, программное обеспечение 63% исследованных сайтов различных компаний содержит по меньшей мере одну критическую или опасную уязвимость. При этом в среднем на один сайт приходится 7 неисправленных проблем безопасности, среди которых лидируют уязвимости, позволяющие осуществить межсайтовый скриптинг (подвержено 65% сайтов) и ошибки приводящие к утечке информации (47% сайтов).читать дальше

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

priv8v    960

priv8v
Опубликовано

1). Мутно все это. Вот если бы дали список сайтов (штук 100) и дали по ним процентную статистику...

Но тогда возникает вопрос - как создать такой список?

2). Нужно еще договорится что считать "критической уязвимостью". Банальные XSS могут ничего вообще не давать - если нет регистрации (допустим это просто бизнес-сайт или информационный), даже если есть - может не быть возможности писать или постить ссылки и т.д.

Если раскрытие путей, то еще лучше - что подразумевается? Ну нашли они admin.php - и что дальше?..

Все это очень относительно. И каждый случай требует персонального "разбора полетов".

3). Что они называют проблемами аутентификации - я вообще не понял))

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

p2u    824

p2u
Опубликовано

Конечно они преувеличивают как всегда, но дело всё-таки серьёзное. На Paypal.com и на E-bay, например:

http://nemesis.te-home.net/News/20090518_P...e_to_XSS__.html

NoScript в Firefox защищает (даже когда сайты 'доверенные'), а новая 'защита' от XSS в IE8 - нет...

Paul

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

Сергей Ильин    1538

Сергей Ильин
Опубликовано

Статистику собрать такую легче, чем кажется. Большинство сайтов юзают какие-то CMS, которые постоянно патчатся. Далее выписываем последние версии этих CMS и последние уязвимости там. Находим списки сайтов для каждой CMS и прогоняем специального робота на предмет есть уязвимость или нет там. На выходе имеем статистику, приведенную выше, примерно так.

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

p2u    824

p2u
Опубликовано

Хорошо бы всё-таки (для верной оценки реальной опасности) учитывать только те сайты, на которых нужна аутентификация (только там - действительно риск если мы ограничиваем данные до XSS-атак).

Paul

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты

priv8v    960

priv8v
Опубликовано

если брать на примере DLE и не учитывать сайты с посещением менее 300 уников, то 63% как пить дать не наберется.

:D

(если брать вот так как сказал Сергей Ильин - из пабла инфу о уязвимостях, закатывать их в бота и чекать список сайтов на их наличие)

Поделиться сообщением

Ссылка на сообщение
Поделиться на другие сайты
Перейти к списку тем Общий форум по информационной безопасности

  • Сообщения

    • santy
      uVS - Тестирование

      От santy · Опубликовано

      Привет. По 5.0 RC3 Это работает. (саму команду еще не проверил как работает). И в цепочку процесс укладывается, хотя цепочка достаточно запутана, но к сожалению, отслеживание командной строки не включилось по какой-то причине. Возможно потому что не был отключен антивирус MBAM.
       o В окне истории процессов и задач в контекстное меню процесса добавлен новый пункт: 
         "Распечатать в лог топ-10 процессов пересекающихся по времени с этим процессом"
         Это может быть полезно при поиске процесса модифицировавшего неявно запущенный им процесс. Функция есть в истории процессов и задач, но работает видимо только из активной системы.                           DESKTOP-867G3VL_2025-07-15_20-59-13_v5.0.RC3.v x64.7z
    • demkd
      uVS - Тестирование

      От demkd · Опубликовано

      Да, с этим файлом проблема, починю.
    • PR55.RP55
      Новые функции в Universal Virus Sniffer (uVS)

      От PR55.RP55 · Опубликовано

      В настройках добавить: Отправлять лог применения\выполнения скрипта на сервер\адресату. Уникальный идентификатор прописывается в скрипт при его генерации. т.е. Оператор не запрашивает результат выполнения скрипта у пользователя.    
    • Ego Dekker
      Актуальные версии антивируса 18-го поколения

      От Ego Dekker · Опубликовано

      Домашние антивирусы для Windows были обновлены до версии 18.2.14.
    • PR55.RP55
      uVS - Тестирование

      От PR55.RP55 · Опубликовано

      Как вылетал uVS при попытке скопировать файл в Zoo  так и вылетает. Есть системный дамп. https://disk.yandex.ru/d/6R97oQE3_nzfiA + Такая ошибка: https://disk.yandex.ru/i/Dr2xnpoU0CFYdg Тоже может быть использована.
×