Comments on: Atak na Blip.pl (przejęcie konta dowolnego użytkownika)

By: » A trzeciego dnia zmartwychwstał… -- Niebezpiecznik.pl --

» A trzeciego dnia zmartwychwstał… -- Niebezpiecznik.pl -- — Thu, 01 Jul 2010 13:21:14 +0000

[...] pomoc zaoferował Unknow z Uw-Team.org (którego znacie m.in. z kapitalnych artykułów o atakach na Blip i analizie złośliwych aplikacji na Facebooku). Bez pomocy Unknowa dziś najprawdopodobniej [...]

By: » Magazyn (In)Secure, numer 26 -- Niebezpiecznik.pl --

» Magazyn (In)Secure, numer 26 -- Niebezpiecznik.pl -- — Mon, 21 Jun 2010 18:53:44 +0000

[...] pod kątem znajdowania podatności (tu warto wspomnieć o opublikowanym niedawno na Niebezpieczniku ataku na Blipa, który wpisuje się w tą [...]

By: Staszek

Staszek — Fri, 18 Jun 2010 19:21:47 +0000

@Gynvael Coldwind: Czyli wystarczy, ze user otworzy strone na moim serwerze, i na tej stronie bedzie flash, ktory sie polaczy z blipem, i blip zwroci flashowi zalogowana strone?! Kto to wymyslil, przeciez to masakra… Bez sensu to jest, flash powinien byc jak najbardziej uruchamiany w jakims sandboxie, myslalem, ze mniej wiecej tak wlasnie jest…

By: Gynvael Coldwind

Gynvael Coldwind — Fri, 18 Jun 2010 07:12:05 +0000

@Staszek
To jest normalny CSRF, czyli flash jest umieszczony na serwerze www kontrolowanym przez atakującego, a atakujący musi jakoś przekonać usera żeby tam wszedł (np. wysyłając jakiegoś socjotechnicznego mejla/privmsg typu “to ty na tych fotkach? http://ev.il/fotki.jpg“)

By: Staszek

Staszek — Fri, 18 Jun 2010 06:22:46 +0000

@Unknow: Ale zaraz, zaraz, gdzie ten flash musi byc umieszczony? Jak go ta osoba odpala? Ma byc zamieszczony na blipie? Czy chocby na naszej stronie? I dlaczego zaladowanie strony blipa z flasha laduje ja zalogowana? Ja tutaj ciagle nie widze jak mozna wyciagnac od kogos ten token.

By: Paweł Goleń

Paweł Goleń — Fri, 18 Jun 2010 05:33:05 +0000

Tu warto zwrócić uwagę na jeszcze jedną rzecz. Po przejęciu sesji nie można zmienić lub usunąć konta, bo do tego potrzebne jest hasło użytkownika. Dość naturalną drogą na rozwiązanie tego “problemu” jest wykorzystanie funkcji przypominania/resetowania hasła. W tym celu dobrze byłoby zmienić adres e-mail związany z kontem. Tu akurat zmianę taką można zainicjować bez podawania hasła. Jesteśmy w domu? Prawie :) Choć pojawia się komunikat “Na podany adres e-mail wysłana została wiadomość weryfikująca zmianę”, to wiadomość jest w rzeczywistości wysyłana na adres e-mail obecnie aktywny, a nie ten podany przy zmianie. Ot taka ciekawostka :)

By: Blip.pl podany na ataki | Netgeeks

Blip.pl podany na ataki | Netgeeks — Thu, 17 Jun 2010 23:32:11 +0000

[...] proces przejęcia konta dokładnie opisano w notce pt. “Atak na Blip.pl (przejęcie konta dowolnego użytkownika)“. Dziura na szczęście została naprawiona przed opublikowaniem notki, także generalnie nie [...]

By: a5x4

a5x4 — Thu, 17 Jun 2010 20:42:27 +0000

Ciekawie może być jak się ‘scriptkidy’ dorwią do crossdomain.xml na paru stronach…

By: Piotr Sarnacki

Piotr Sarnacki — Thu, 17 Jun 2010 20:35:36 +0000

Małe sprostowanie. authenticity_token jest domyślną metodą na ochronę przed CSRF w Ruby on Rails i nie jest niezmienny dla użytkownika. Jest stały tylko w obrębie sesji.

By: Unknow

Unknow — Thu, 17 Jun 2010 20:31:23 +0000

@Staszek: trik polega na tym, że flasha musi uruchomić osoba którą chcesz zaatakować. Nie możesz tego zrobić Ty. Jeśli uruchomi to ofiara ataku, to flash wczytuje dokładnie taką wersję strony głównej blipa, jaką widzi ta osoba – a więc z tokenem i jej loginem, które następnie są przesyłane do pliku PHP.

By: Staszek

Staszek — Thu, 17 Jun 2010 20:26:39 +0000

Hej,
nadal nie rozumiem jednej rzeczy: jak tym flashem wyciągnięty jest ten token? Powiedzmy, że mamy login użytkownika, i zupełnie nie rozumiem skąd mamy kod strony po zalogowaniu tego usera (bo tam jest zawarty ten token, tak?)?

By: Mariusz Kedziora

Mariusz Kedziora — Thu, 17 Jun 2010 19:32:24 +0000

@Tomasz: Zwlaszcza jak zajrzysz w nie :) Na przyklad zumi.pl czy viva-tv.pl :). Choc jest wiele dobrze ustawionych :)

By: nvh

nvh — Thu, 17 Jun 2010 16:46:34 +0000

Mały OT: czy jest jakaś różnica w funkcjonalności pomiędzy HttpFox a TamperData?

By: Unknow

Unknow — Thu, 17 Jun 2010 15:20:29 +0000

@shaql: moim celem było zaatakowanie DOWOLNEGO usera, a nie modyfikacja danych w mojej przeglądarce. Z tego powodu formularz (lub ‘coś’ na jego miejsce – np. CURL) był konieczny.

By: Tomasz

Tomasz — Thu, 17 Jun 2010 14:30:53 +0000

inurl:crossdomain.xml

Ciekawe rzeczy się ukazują. :)