O tym jak drobny błąd wykop.pl mógł zostać w niecnych celach wykorzystany

Serwisy do których treści dodają użytkownicy, mają nieco trudniej jeżeli chodzi o kwestie chronienia się przed różnymi atakami hackerskimi. Tym razem chciałbym Wam przedstawić podatność, na którą jeszcze kilka dni temu cierpiał wykop.pl, demonstrując przy okazji jak taki atak mógłby wyglądać.

[vvit0]

akcja defakto od 1:31 (⌐ ͡■ ͜ʖ ͡■)

[johnkashtan]

@noisy I mimo wszystko nie dostałeś osiągnięcia "łapacz błędów", a powinieneś ( ͡° ͜ʖ ͡°)
https://www.wykop.pl/osiagniecia/list/23/1/%C5%81apacz+B%C5%82%C4%99d%C3%B3w/

[nuka-cola]

O w morde 7 minut....tl;dr ?

[e.....y]

@nuka-cola: Nie masz w ciagu dnia wolnych 7 minut?

[kwasny]

@endomorficzny: nie będziesz mi życia układał

[kooolega]

@noisy
Czy polecasz jakieś książki, strony lub inne lektury na ten temat? Jako programista frontendowy chętnie bym poczytał coś o bezpieczeństwie aplikacji webowych. O podatności, o której piszesz też dopiero niedawno się dowiedziałem. Teraz będę czytał:

[herejon]

@976497: +1 Wołaj jak Ci @ITgeek odpisze, bo również jestem zainteresowany :)

[niebezpiecznik-pl]

@kooolega: web application hacker handbook. I zadnej innej na start :)

[Stemitor]

@niebezpiecznik-pl @ZaufanaTrzeciaStrona @sekurak Halo Halo!

[D.....a]

Nawet nie wiedziałem, że tak można, ale chyba najbardziej w tym wina przeglądarek, że bez ekstra zezwoleń pozwalają na takie przypisanie. To powinno być jak z ciasteczkami - nie pozwalają nigdy, pozwalaj tylko z tej samej domeny i pozwalaj zawsze.

[l.....2]

ostatnie co chciałem zobaczyć to wideło z gościem w kokosłuchawkach
Poczekam aż z3s.pl zrobi opracowanie tekstowe.
znaczy szanuję @noisy za wkład, etyczne zachowanie, ale nie jestem w stanie (d)ocenić merytoryki bo nie umiem oglądać wideotutków.

[Stemitor]

Prawdopodobnie nigdy w życiu bym czegoś takiego nie zauważył. A nawet jak to -
Przeładowanie strony? Pff Wydawało mi się. Z tego samego powodu też nie sprawdzał bym adresu no bo po co?

[C.....s]

Dobra, ale de facto to ciulowy ten atak. Równie dobrze mogę dodać znalezisko z linkiem do spreparowanej strony ssl-wykop.pl.... i czym to się niby różni? To w ogóle nie jest atak, a marny phishing.

[lErol]

Ten na pewno zarabia 15k.