Kolejna luka bezpieczeństwa w Allegro
Jak wiadomo, po raz kolejny 'odkryto' lukę w serwisie aukcyjnym Allegro.
Podstawowa znajomość CSS'a wystarczyła, aby przekierować użytkownika na dowolnie spreparowaną stronę. Bug został częściowo załatany, zapowiadane są ograniczenia niektórych atrybutów CSS. Czy po zmianach Allegro będzie bezpieczne?
Dzisiaj odkryłem luke bezpieczeństwa w serwisie Allegro, która pozwala wstawić do opisu aukcji dowolny kod CSS, (X)HTML, JavaScript, ...
O pierwszej luce z wykorzystaniem CSS'a
(osoby znające sprawę mogą opuścić ten fragment)
# Pokaż fragment
Flash, JavaScript, ... - możesz robić co tylko chcesz
Przykład wykorzystania odkrytej przeze mnie luki, zademonstrowałem na tej aukcji: Przykładowa aukcja zawierająca wstawiony filmik z YouTube (kopia aukcji).
Aukcja jest całkowicie bezpieczna - nie zawiera zabronionych znaczników, poza tymi, które są niezbędne do wstawienia przykładowego obiektu Flash.
Możemy sobie tylko wyobrazić, co stałoby się w przypadku, w którym odkryta technika zostałaby wykorzystana w celu naruszenia bezpieczeństwa użytkowników Allegro ...
Z oczywistych względów nie podam publicznie sposobu który wykorzystałem.
Następna luka
Kolejna luka jaką udało mi się odnaleźć (wczoraj) jest podobna do tej, o której słyszeliśmy kilka dni temu. Dzięki niej możemy korzystać z niektórych zabronionych parametrów CSS: między innymi z ujemnych paddingów i marginesów.
Pozwala ona na ukrycie stałych elementów aukcji i zastąpieniu ich spreparowanymi.
Ta luka jest równie groźna jak poprzednia, jednak gdy mamy do dyspozycji nieograniczone możliwości JavaScriptu ...
Informacje dodatkowe ...
Kontaktować można się pod adresem: adriano/ at /7pl.pl
Chętnie odpowiem na wszystkie pytania - nie zdradzę jednak nikomu wykorzystanych technik.
Informacja o lukach w tej chwili została zgłoszona administracji Allegro - myślę, że dzięki współpracy uda się szybko wyeliminować istniejące zagrożenia.
O dalszych wydarzeniach będę informował na bieżąco ...
Komentarze 3255:
Ale wpadli :))
Ujemny padding? Od kiedy to takie cuda działają?
> Unlike margin properties, values for padding values cannot be negative.
Poza tym — moim zdaniem lepiej było wysłać maila do administracji allegro i *po załataniu dziur* ewentualnie pochwalić się znaleziskiem…
> *po załataniu dziur* ewentualnie pochwalić się znaleziskiem…
Nie wiesz, ze na maile o dziurach administracja Allegro leje ciurkiem parabolicznym? Upublicznienie takich informacji to jedyny sposob na tych leni.
Nic tak nie motywuje jak świadomość, że wiadomość o dziurze może w dowolnym momencie pojawić się na jakiejś stronie :) Taki doping specyficzny :)
Opublikowanie tego wpisu nie jest niebezpieczne. "Proof of concept" nie pokazuje sposobu dodania tych elementów. Ten <object /> tam po prostu jest...
Ciekawe, w ktorym miejscu zapomnieli wlaczyc filtrowania.. ;]
IMHO nie ma najmniejszej potrzeby blokowania ŻADNYCH stylów CSS i ŻADNYCH ujemnych właściwości przy aktualnym zabezpieczeniu poprzez overflow:hidden i position:relative. Poza tym banalnie proste jest zabezpieczenie aukcji przed wstawieniem kodu JS, czy obiektów Flash. Czy tam naprawdę pracują tacy niekompetentni ludzie?
Zabezpieczenie które zostało użyte aktualnie w systemie allegro (overflow:hidden + position:relative) o dziwo pojawiło się niedługo po dyskusji w komentarzach wykop.pl na temat tejże dziury. Śmiem twierdzić, że ludzie tam pracujący potrafią jedynie dobrze szukać, bo na webdeveloperce się nie znają.
@Dawid - jesli chodzi o pozycjonowanie CSS, to nadal da sie czesciowo ominac zabezpieczenie.
Co masz na myśli mówiąc "częściowo"? Przyjmijmy, że nie rozmawiamy tutaj o tym jak zhackować Allegro, tylko o możliwościach CSS :) Więc jak ominiesz to zabezpieczenie? Z takiego bloku po prostu nie da się wyjść poza jego granice...
Wystaw tą dziurę na wslabi.com. To ich jeszcze bardziej zmotywuje. Albo na Allegro - ale ten numer by już chyba nie przeszedł ;-)
Super.
Piszesz że może to załatają.
Spoko - tylko kiedy? Dałeś właśnie dowód własnej rozwagi. Piszesz: 'co by było gdyby:// ta technoligia" wpadła w ręce złych ludzi' - ale wszędzie się czyta że allegro.pl olewa takie dziury. No i co powiesz? Ta technologia jednak wpadnie w ręce złych ludzi.
Swoją drogą.. dlaczego zmienia mi literki w nicku przy dodawaniu komentów na tym Twoim blogasku? He? Żeby było ładnie? Postanowienie: "zbiorę społeczność'' dam im trochę do poczytania ale ubiorę ich jednakowo" (?) Link też ciekawie zmieniany. LOL :P
@Ughost
Też mnie dziwi to uppercase pierwszej literki.
Ta zmieniona literka aż tak Wam przeszkadza? ;)
Co do Allegro: luka nadal istnieje, do tej pory nikt z allegro nie zapytał się o żadne szczegóły ...
Może nie mają zamiaru tego naprawiać?
"Ta zmieniona literka aż tak Wam przeszkadza? ;) "
Nie tyle przeszkadza, co wywołuje mieszane uczucia. Mi się to kojarzy z autotekstem z Outlooka. Ile razy zamiast "attached" pisał mi "attache", bo mu się wydawało, że tak będzie lepiej. Że nie wspomnę o koledze, który zatytułował maila "Dear Denis", a poprawiło mu na "Dear Penis" - nie zauważył, wysłał, no i był wstyd ;-)
Uppercase pierwszej i downcase reszty:/ Porażka.
Tak - przeszkadza i denerwuje, bo zwykłęm z tego że u w nazwie mojego niku jest małe, bo pochodzi od innego słowa, a G jest duże, bo to pierwsza litera słowa Ghost. Razem: uGhost.
Wolności Panie Adminie!! :P
A wybrałeś powód zgłoszenia: Sprawy techniczne › Zgłoszenie dotyczące zabezpieczeń serwisu ? Czy jakiś inny? Bo ten powód został stworzony zaraz po jednej z "dziur" i miał przyspieszyć reakcję. Z tego co wiem, reagują szybko, o ile wybierze się właściwy powód zgłoszenia.
No to: http://wslabi.com/wabisabilabi /initPublishedBid.do za hacking.pl
@Dawid - chodzilo o fixed, o ktorym napisal na swojej stronie Krejd. Przy przesuwaniu suwaka przegladarki widzisz niby caly czas to samo, ale w przypadku rolowania myszą - warstwa przewija sie normalnie (i tylko pasek przegladarki caly czas jest w jednym miejscu).
Opisywane luki nadal działają ...
Rzucili coś zielonych za znalezienie dziury?
Ależ oczywiście. Drupinaście setek malakarów. Przeliczając na polską walutę będzie to około... hmm... zero złotych i zero groszy? :P
Dodaj komentarz: