Oglądałeś obrazki z imgur? Możesz mieć duży problem…

Odkryto dziwne zachowanie popularnego hostingu obrazków imgur.com. Podczas ładowania niektórych plików graficznych, oprócz obrazków użytkownikom serwowane były dodatkowe skrypty, które powodowały ciekawe anomalie.

[k.....u]

Zaraz się dowiem że samo posiadanie przeglądarki jest niebezpieczne.

[F.....n]

@kurokaeru: Też nie lubię Chrome

[P.....y]

Nie mam nic do ukrycia xD

[HalEmmerich]

@PiewcaPrawdy: Ekshibicjonizm jest karalny.

[ProGruntowy]

@ketrish: Sam sobie weź

[Lemartez]

NoScript :)

[j.....e]

@Lemartez:

[pharo]

Śledziłem incydent od początku jego ujawnienia na 4chanie oraz proces "reverse-engineering" i sprawa jest troszeczkę podkoloryzowana. Pod jakim względem? Rzeczywiście był szkodliwy kod w obrazkach z imgura, który otwierał dwa iframy jeden do skryptu js z 4cdns (dla porównania oryginalny serwer 4chana to 4cdn), a drugi do pliku swf z 8chana (trippy pikachu ^^), później ładował kod do localStorage (wcześniej ustawiał localStorage.axni na 3 lub 4) i wykonywał, później sposób się jeszcze

[AdireQ]

@pharo: Czyli te "periodyczne" wykonywanie skryptu z localstorage polega na tym że skrypt wykonuje się gdy zakażona przeglądarka ponownie odwiedza 8chana? Wychodzi na to że 8chan nadal ma lukę bo pozwala na upload plików flash na główną domenę przez co nie działa Same-origin policy. 4chan trzyma pliki użytkowników na całkiem osobnej domenie "i.4cdn.org" więc nic co pochodzi z plików użytkowników nie ma prawa wykonać się w domenie "4chan.org".

Z drugiej

[pharo]

@AdireQ: w tym localStorage właściwie to nie był sam kod, tylko mały HTML z tagiem script, który ładował plik js zamiast listy ulubionych boardów (tu).

[mnlf]

Zaraz ale imgur daje bezpośrednie linki do obrazków, bez żadnego kodu strony i skryptów.
Oglądanie obrazków niczym nie grozi.

Może chodziło o przeglądanie ich strony?

[l-da]

imgur jakimś sposobem gapi się co wrzucasz i od razu kasuje pornografię, nie to, że sprawdzałem, to kolega, naprawdę no

[PijanyDrwal]

@l-da: bzdura. Hostuję tam swoj fapfolder i żyje.

[l-da]

@PijanyDrwal: Bo może masz jakiś softcore, a ja to znaczy kolega ma gołe, zrośnięte karły i mandryle.

[Stivo75]

Czytam wypowiedzi ekspertów od stron z js i bez js. Strasznie niski poziom wiedzy, niby coś kumaja, ale dalej nie widzą różnicy pomiędzy skryptami wykonywanymi na komputerze i na serwerze. "Wyłączamy JavaScript" , "strony z js to gówno" itd... Zaskakujący sposób prezentowania własnej niewiedzy.

[shocik]

U mnie zawsze ta strona ładowała sie bardzo powoli i zwieszała przeglądarkę. Dziwiłem się dlaczego to badziewie jest takie popularne.

[Arveit]

@Dreszczyk

Mocno polecamy wyłączenie JavaScriptu i Flasha dla domeny imgur. Warto też wyczyścić localstorage przeglądarki

Jak to zrobić w Chrome'ie? Wszystkie swoje grafiki hostuję na imgurze :/

[D.....k]

@Arveit:

JavaScript :
Kliknij menu Chrome w prawym górnym rogu przeglądarki
Wybierz Ustawienia
Kliknij przycisk Pokaż

[D.....k]

@Arveit: W takim razie dodajesz wyjątek.

[M.....i]

@Dreszczyk: http://imgur.com/blog/2015/09/22/imgur-vulnerability-patched/?forcedesktop=1