Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Filterezés a Gmaillel

2008.11.25. 10:09 | buherator | 1 komment

Rambo már írt egy kis összefoglalót a külföldi blogszférát lázban tartó "problémáról", melynek segítségével több GoDaddy-s domian név fölött is sikerült átvenni az irányítást az illetékteleneknek. 

Frissítés: A Google cáfolta az alábbiakat, és bár elismerte, hogy a Gmail régebben sebezhető volt CSRF támadásokkal szemben, az érintettekk közreműködésével arra jutottak, hogy a szóban forgó domain-lopások hátterében egyszerű adathalász akciók állnak, melyek nem érintik a Gmail biztonságát. Argéi hiba részletei azért érdekesek lehetnek:

Én kezdetben úgy álltam hozzá a dologhoz, hogy nincs új a nap alatt: ez is már valami régóta ismert hiba új köntösbe öltöztetése lehet. Nem tévedtem nagyot, de azt hiszem érdemes tisztázni a támadás főbb elemeit:

A történet lényege, hogy néhány(?) gazfickó rászállt néhány GoDaddy-nél domainnel rendelkező, Gmail-t használó figurára, és a tudtuk nélkül beállítottak egy szűrőt a postafiókjukban, ami a GoDaddy leveleit továbbította a rosszfiúk e-mail címére, majd törölte a levelet, hogy ne maradjanak nyomok. 

A GeekCondition-ön megjelent részletes leírás szerint a speciális szűrők illetéktelen beállításához két paraméterre van szükségünk: A célpont egyedi felhasználói azonosítójára (UAID), és a munkamenet azonosítóra.

A munkamenet azonosítót nyílvávalóan valamilyen hagyományos süti-lopó módszerrel lehet megszerezni, ennek részleteibe most nem mennék bele. Az UAID megszerzésére szintén történhet ilyen módszerrel, de ha már domain lopásról van szó, érdemes megemlíteni, hogy a népszerű AdSense szolgáltatás követőkódja szintén tartalmazza ezt az azonosítót, igaz más formátumban, mint ahogy az a HTTP fejlécben utazik. 

Ezen adatok birtokában a meló egy egyszerű CSRF támadássá egyszerűsödik. A bajt az okozza, hogy a Gmail nem generál minden felhasználói akcióhoz külön tokent, helyette a fenti két, globálisan illetve egész munkamenetre érvényes azonosítóval védi a fiókokat. 

A Filterezésről bővebben itt olvashattok ;)

 

Címkék: gmail csrf

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

synapse 2008.11.25. 10:44:16

pokemberezes megvan? :)

synapse