[KacperSzurek]

Czy kliknięcie w odnośnik może być niebezpieczne? #od0dopentestera
Parę tygodniu temu opisywałem podstawy ataku XSS.
Dzisiaj nadarzyła się okazja aby opisać tą podatność w oparciu o prawdziwy błąd w oprogramowaniu QNAP NAS.
Podatny kod mieści się w jednej linijce:

location.href = decodeURIComponent(location.href.replace(/(.*?\?r=)/,''));

W teorii miał przekierowywać użytkownika pod nowy adres znajdujący się w parametrze ?r=.
Czyli wchodząc na podatną stronę skrypt.html?r=[http://google.pl](http://google.pl) zostajemy automatycznie przeniesieni do wyszukiwarki.
Jest to wiec typowy przykład Open Redirection.
Tutaj, można go jednak wykorzystać do wykonania kodu #javascript.
Jak to możliwe?
W pasku adresu w przeglądarce oprócz domeny można również podać ciąg zaczynający się od słowa javascript a następnie kod #js.
Wystarczy więc przekonać użytkownika do wklejenia dziwnego tekstu do okna przeglądarki.
W praktyce bardzo ciężko jest przeprowadzić taki atak.
Dużo prościej jest, gdy użytkownik musi jedynie kliknąć w link albo odwiedzić złośliwą podstronę.

http://NAS:8080/nc/oauth/redirect.html?r=javascript:e val("nasz_złosliwy_kod")

W tym przypadku po kliknięciu w odnośnik, location.href przeniesie nas pod nowy adres zaczynający się od słowa javascript a to oznacza wykonanie danego kawałka kodu.
Podsumowując: jeżeli zalogowany administrator kliknie w link znajdujący się na złośliwej stronie, automatycznie zostanie utworzone nowe konto administratora w oprogramowaniu QNAP.
A to sprawia, że ktoś uzyskuje pełen dostęp do naszych danych znajdujących się na urządzeniu.
Ten błąd ma numer CVE-2019-7179 i jeżeli posiadasz któreś z urządzeń QNAP warto zaktualizować oprogramowanie do wersji QTS 4.4.0.0883.

Subskrybuj kanał na YouTube
Masz pytanie na temat bezpieczeństwa? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany dodaj się do Mirkolisty.

#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #swiat #gruparatowaniapoziomu #biznes

[KacperSzurek]

Wołam zainteresowanych (110) z listy od0dopentestera
Możesz zapisać/wypisać się klikając na nazwę listy.

! @KacperSzurek @Mashe @UrimTumim @porque @NERP @Smevios @Jakplus @Pioneer95 @ThatPart @szczeppan @Zielarz25 @press2210 @Dorrek @hiroszi @jerekp @Dyktus @bovver91 @Campell @ghostd @heow @Bakanany @arais_siara @Pies_Benek @HeinzDundersztyc @johnyboy @MojeTrzecieKonto @Deflaut @cytawek @dziki_bak

[KacperSzurek]

[KacperSzurek]