Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

TLS újraegyeztetés a Twitteren

2009.11.16. 18:50 | buherator | 1 komment

Bár a napokban nyilvánosságra került TLS probléma súlyosságát senki sem vonta kétségbe, többen szkeptikusak voltak azzal kapcsolatban, hogy a sebezhetőséget éles rendszeren, széles körben ki tudnák használni. Anil Kurmus most megmutatta, hogy a protokollújraegyeztetésen alapuló támadás akár olyan nagy forgalmú oldalakon is kihasználható lehet, mint a Twitter. 

Kurmus először is megmutatta, hogy az a feltételezés, miszerint HTTPS protokoll használata esetén csak GET lekérdezéseket lehet manipulálni, nem igaz: a MitM támadás során ugyanis a beszúrható adat úgy prefixálhatja a valódi lekérdezést, hogy utóbbi végül az összefűzött POST lekérés body-jává válik, valahogy így:

POST /tamado_altal_hivott/script HTTP/1.0\r\n
tamado_altal_elnevezett_parameter=
POST /eretedi/lekerdezes ....

Ez pedig pont kapóra jön a Twitter esetében, ahol minden egyes csirippel a HTTP protokoll Authaorization fejlécében átvitelre kerül a küldő felhasználó  felhasználóneve és jelszava, ez pedig pont belefér 140 karakterbe, így gyakorlatilag a felhasználóval kiposztoltathatjuk a saját jelszavát. Mocskos kis trükk :)

Címkék: twitter tls tls regnegotiation

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

|Z| 2009.11.16. 21:19:54

Hirtelen Borat jut eszembe: Veri nájsz :)