Aplikacje internetowe

Bełdziowe spojrzenie na aplikacje internetowe

Phishing w Pasażu Wirtualnej Polski

Napisał Michał Ławicki 1 lipca 2007 • (6)

. grzech:

  • brak filtracji szukanego słowa

konsekwencja:

  • umożliwienie ataku XSS / CSRF – umożliwia to phishing

Jednym z serwisów wchodzących w skład portalu Wirtualna Polska jest Pasaż. Umożliwia on właścicielom sklepów internetowych prezentacje swoich produktów na łamach WP.

Kluczowym elementem Pasażu jest wyszukiwarka umożliwiająca odnalezienia w gąszczu produktów tego, którym jesteśmy zainteresowani. Wpisywane słowo kluczowe nie jest filtrowane dzięki czemu możliwe jest przeprowadzenie ataku XSS. Łącząc to z możliwością wyciągnięcie loginu ostatnio zalogowanego użytkownika do poczty WP (który znajduje się w cookies) możemy przeprowadzić atak phishingowy zdobywając od nieświadomego użytkownika hasło do jego poczty.

Wystarczy wyświetlić mu stronę prezentowaną na poniższym screenie. Atrakcyjne hasło reklamowe ma zachęcić go do wpisania swojego hasła, a co za tym idzie do przekazania go agresorowi.


Tagi: , , ,
Kategoria: Bezpieczeństwo, BugTraq


6 komentarzy

  1. towar napisał(a):
    2 lipca 2007 at 20:44

    Wystarczy wyświetlić mu stronę prezentowaną na poniższym screenie. Atrakcyjne hasło reklamowe ma zachęcić go do wpisania swojego hasła, a co za tym idzie do przekazania go agresorowi.

    To nie bedzie takie proste bo raczej link w stylu http://pasaz.wp.pl/szukaj.html?nazwa="><script>alert('ops... xss');</script>&cid=0&x=5&y=12&widocznosc=1&sort=&descriptions=1&pictures=1&podswietlenie=1&przeznaczenie=&producent=0
    nie wyglada zbyt przyjaznie ; ]
    ale sam fakt ze tworzac tak wielki serwis zapomniano o filtracji to rzeczywiscie grzech ;)

  2. Michał `Bełdzio` Ławicki napisał(a):
    2 lipca 2007 at 20:46

    Czemu trudne? wystarczy wstawić zaatakowaną stronę do ramki, a następnie przekazać "bezpieczny" adres ofierze :-)

  3. towar napisał(a):
    2 lipca 2007 at 20:52

    wow ;d
    no masz racje, nawet na mysl mi to nie przyszlo…
    banalnie proste ale jednak skuteczne ;]
    a ludzie mowia…
    "co mi takim marnym xss'em moga zrobic"

  4. Michał `Bełdzio` Ławicki napisał(a):
    2 lipca 2007 at 20:59

    he he właśnie piszę kolejną notkę, która odpowie na napisane przez Ciebie pytanie ;-)

  5. pink napisał(a):
    3 sierpnia 2007 at 00:28

    coś długo Ci to idzie :]

  6. Michał `Bełdzio` Ławicki napisał(a):
    3 sierpnia 2007 at 00:33

    Troszeczke ;-) praca, praca, praca ;-) mam już ją zaczętą więc w tym miesiącu powinna się pojawić ;-)

Dodaj komentarz