Od kedy som začal písať tento blog prešlo len 5 mesiacov. V začiatkoch som sa nevedel rozhodnúť, aký rozsah tém by som rád pokrýval, no dnes to už viem presne. Rozhodol som sa skúsiť vzdelať lokálnych vývojárov a administrátorov v otázkach bezpečnosti a moje Full Disclosure články by tomu mali dopomôcť.

Ten prvý o portáli T-Station vyšiel len pred niekoľkými dňami, no tvorcovia portálu zareagovali celkom promptne a chybu odstránili. Bohužiaľ, to bolo tak všetko. Ďalšie chyby, ktoré som nereportoval odstránené nie sú, aj keď sa nachádzajú na miestach, ktoré doslova bijú do očí. Možno sa aj ja dočkám doby, keď jedinou odpoveďou na môj email upozorňujúci na chybu nebude len stručné poďakovanie, ale záplava otázok, ktorými sa budú chcieť autori projektu dozvedieť viac o ošetrení prípadných zraniteľností, poprípade nás nikto nenapadne slovami:

Pokud by jste znal tochnoligi Lotus Notes, vedel by jste, ze se v zadnem pripade nejedna o bezpecnostni chybu, pouze kosmetickou na strane uzivatele.
Zdroj: forum@synopsi

Nateraz verím, že sa situácia zlepší a tak prinášam ďalšie úplne odhalenie zraniteľnosti, tentokrát v systéme blogov na portáli sme.sk. Napriek tomu, že som zraniteľnosť nahlásil pánovi Kotovi a dokonca keď sa po dvoch dňoch neozval aj cez formulár na stránkach sme, dodnes sa nič nezmenilo a zraniteľnosť stále funguje. Či sa jedná o ignoráciu problému, alebo sa jednoducho dva emaily stratili neviem, každopádne snáď odhalenú zraniteľnosť odstránia v čo najkratšom čase.

Systém správ

Opätovne sa chyba nachádza v systéme správ (v administrácii blogu), tak ako pri portáli T-Station, tentokrát sú však možnosti infikácie ďaleko väčšie, pretože systém zobrazuje správu hneď v úvode po prihlásení a to bez orezania znakov, teda sa správa načítava v plnej dĺžke! Pre hackera vysnený prípad. Správy sa posielajú na nick, ktorý nie je problém získať jednoduchým robotom, chýba však adresár, ktorý by celý proces značne uľahčil. Napriek tomu je získanie nickov veľmi jednoduchá záležitosť, keďže prihlasovacie meno je vždy časťou url blogera (príklad http://michalsvab.blog.sme.sk). Urobiť si zoznam bloggerov by potencionálnemu hackerovi trvalo maximálne niekoľko minút, mne to trvalo asi minútu aj s odladením.

Skript dávam k dispozícii ako určitý POC. Je napísaný v mojom obľúbenom jazyku python. Netvrdím, že sa nedal napísať aj inak, lepšie, ale to čo som chcel ukázať robí dostatočne a jeho syntax je vážne veľmi jednoduchá, takže mu porozumie aj začiatočník.

Exploit

Na vytvorenie exploitu nepotrebujete vedieť nič ďalšie. Tentokrát som pre demonštráciu zvolil možnosť zmeniť si farebnú schému administrácie blogu. Vizuálny efekt je skutočne to najlepšie riešenie a nemôže prakticky nikomu ublížiť. Rozmýšľal som aj nad inými možnosťami, no autori systému si dali, na moje veľmi príjemne prekvapenie, záležať na ochrane zmeny hesla vyžiadaním si pôvodného. Pre získanie, či zmenu hesla, by musel útočník využiť trošku sociálneho inžinierstva. Scénar by bol asi nasledovný. Útočník pošle obeti správu obsahujúci červa (opätovne som pri teórii vytvoriť samovoľne šíriaceho sa červa). Tá sa prihlási do systému a systém pri načítavaní úvodnej stránky spustí útočníkov kód. Ten zobrazí výstražné okno, že pri prihlásení došlo k chybe, čo nie je užívateľova chyba a nech sa opätovne prihlási. Celý dizajn sa prekryje dizajnom prihlasovacieho formuláru, pričom užívateľ bude vyzvaný k opätovnému prihláseniu. Ten tak v dobrej vôli urobí a kód si zapíše do cookies hodnotu, aby vedel, že sa nemá opätovne inicializovať, pričom heslo obete spolu s nickom pošle útočníkovi ako správu. Takto by sa hacker mohol veľmi jednoducho dostať k prihlasovacím údajom všetkých užívateľov bez toho, aby nadobudli pocit, že ich niekto okráda. Veľmi zaujímavé by bolo však získanie hesla napríklad Tomáša Bellu, ktorého heslo bude pravdepodobne zhodné aj s inými časťami portálu sme, možno rovnaké aj k emailom, či kontu na google.

Toto je však len teória, ja som vo svojom výskume nezašiel tak ďaleko. Ako ilustráciu som vytvoril kód, ktorý po inicializácii zmení vybranú farbu pozadia. Je to asi najlepšia demonštrácia zraniteľnosti, akú vám môžem poskytnúť a preto som k celému exploitu urobil aj doprovodné video. Jeho kvalita je v online prehliadači dosť mizerná, nie je možné rozoznať text, ktorý vkladám do formulárových polí. Ak máte záujem video vidieť v plnej kvalite, môžete si ho po registrácii stiahnuť priamo z portálu vimeo (na spodku stránky vpravo, 18 MB)

A tu je konečne kód celého exploitu.
<script>
var x = new XMLHttpRequest();
x.open('GET','http://blog.sme.sk/oper/set_param.asp?t=cs&h=6',true);
x.send(null);
</script>

Zaiste ste si vo videu všimli perličku na koniec. Áno, aj formulár pre poslanie správy je zraniteľný na XSS, ale to už snáď prekvapivé nie je.
http://blog.sme.sk/oper/blog_msg.asp?to="><script>alert(1)</script>