Linux за българи: Форуми

Добре дошли в най-безсмислената и както скоро ще се убедите, най-дразнещата тема в този форум и поради тази причина, силно вярвам, че скоро няма да съществува тук в този си вид.

Както сигурно вече добре знаете, Интернет не винаги е толкова забавно нещо. Из интернет дебнат зли дзверове и страшни опасности. Из интернет дебнат педофили, вируси и троянци....но момент, вие ползвате линукс, вие ползвате свестен браузър (да се чете != Internet Explorer).

Следователно на вас не ви пука особено. Имате право.

Вие сте интелигентни хора, не сте от онези малоумници, които посещават сайтове на съвсем случаен принцип и са членове на групата SMNP (security is not my problem).

За жалост ще се наложи с прескърбие да ви съобщя, че докато четохте този глупав пост, без вашето знание вие бяхте:

1) logout-нати от вашата Gmail поща.
2) logout-нати от youtube
3) logout-нати от vbox7.com
4) logout-нати от mail.bg
5) logout-нати news.bg, и без това там влизат само малоумници да пишат глупости.
6) logout-нати от клубовете на дир.бг, гледам че разни хора оттук пишат там, голяма загуба на време.

Много глупаво. Много дразнещо. Ха, прецаках ви по най-циганския начин.

И все пак, по-добре, отколкото някоя по-голяма простотия :)

Представете си че сте били достатъчно глупави да четете някой постинг като този, докато сте лог-нати в сайта за електронното ви банкиране например.

Щеше ли да е забавно? Не знам, вероятно да, вероятно не - всичко зависи от разработчиците му.

Очаквам всички мнения надолу да бъдат заслужени псувни. Мерси предварително и умната :)

(http://www.vbox7.com/logout/)
(http://www.youtube.com/index?action_logout=1)
(http://mail.google.com/mail/?logout)
(http://mail.bg/base/login.php?logout_reason=logout)
(http://ibox.bg/logout.php)
(http://clubs.dir.bg/logout.php?Cat=0)

nice 8)

Мда, а решението на подобен проблем е много лесно...

Мхм, това безспорно е най-малоумния вид уеб-уязвимост.

Аз нещо не загрях.....

Сега е времето тея дето са запалени по онези малоумните игри от типа на "кликнете тук за да спечеля космически кораб" да се появят и да е*ат мамата на темата! :D

Ахахахаха добре че ми го разгадаха какво прави това. За останалите които не са фенове на "илюзиите" цитирайте поста на gat3way в началото на темата и ще видите какво е скрито - покрито. :D

Няма да псуваме :)
Като не ми се чете кода докрая...

Ахахаха в началото не го бях схванал.......ама после заграях. Много яко.

Що разкривате великата тайна бе :)

Иначе типична CSRF простотия, при това от най-лесните. Злите хахори напоследък са се научили да правят същите номера за да променят DNS настройките на домашните рутери...резултатът е доста груб и доста криминален.

нищо не разбрах!

радвам се, поради което!

да ви пикам на хахорите..

 >:D >:D >:D

Явно понеже не ме logaut-на от гугъл не се вързх, но след това пуснах firebug-чето и видях малко скрити img тагове :D. Е това е гадно наистина, мисля че трябва да е незаконно.

Хм, верно, smf странно защо осира амперсандите. Нищо, оправих го - сега би трябвало да те логаут-ва от gmail :)

 :(
При мен не работи. Специално си заредих страницата на gmail, щото иначе ползвам вградения в браузъра мейл клиент, но зареждането на тази страница не доведе до нищо, дори и след неколкократни презареждания.
Иначе зареждането на
http://mail.google.com/mail/?logout
или
http://mail.google.com/?logout
в нов таб върши работата, ама не е това въпроса. Все едно да пратиш пистолет в плик с бележка "Ако обичате..."
Да не е нещо заради това, че операта е още алфа 4126.

Мда, а решението на подобен проблем е много лесно...

И какво е то? Браузър, който позволява един единствен прозорец и ОС, която позволява един единствен стартиран браузър?

Това не би било решение, в смисъл ако забравиш да се logout-неш и отвориш някаква друга страница, пак е възможно, защото сесията ти е активна и session cookie-то ти се пази, въпреки че го нямаш сайта отворен някъде.

Клиентът доста малко може да направи по въпроса. Примерно може да пипнат браузъра така че ако види IMG елемент, когато прави заявката до там накъдето е картинката, да се забрани изпращането на cookie-та до този сайт. Това обаче ще реши само този проблем с картинката във форума, ако някой си направи специална страничка и си поиграе с javascript или дори наблъска тези неща като src на iframes, тази мярка няма да сработи.

Обаче въпросните сайтове могат да направят много неща. Могат просто да направят преди да изпълнят операцията (в случая логаут-ването), една проверка на referer-a и ако идва от друг сайт, това да не се изпълни. А може примерно да се изгенерира един случаен ключ и вместо да се изпълни операцията, да се иска потвърждение....ако се POST-не същият ключ (който си е в един input type=hidden..), тогава операцията е успешна. Тъй като ключа е случаен, аз няма как да го знам, следователно няма как да приготвя злата картинка така че да ви логаут-не там.

Обаче въпросните сайтове могат да направят много неща. Могат просто да направят преди да изпълнят операцията (в случая логаут-ването), една проверка на referer-a и ако идва от друг сайт, това да не се изпълни. А може примерно да се изгенерира един случаен ключ и вместо да се изпълни операцията, да се иска потвърждение....ако се POST-не същият ключ (който си е в един input type=hidden..), тогава операцията е успешна. Тъй като ключа е случаен, аз няма как да го знам, следователно няма как да приготвя злата картинка така че да ви логаут-не там.

Колкото по-сложно(защитено) правиш логаута толкова по-голяма е вероятността той да пропадне.
От гледна точна на сигурността по-добре някой да те логаутне отколкото като искаш да излезеш да не можеш и да останеш логнат. Нали се сещаш при втория случай колко повече поразии ногат да се направят.

Така че нещата винаги имат две страни.
Навремето се носеха легенди как един луксозен Мерцедес със страшна защита се отварял със запален вестник под колата. От една страна страшна защита да не се отвори, ама от друга - ако си вътре и има пожар - тъпо е да изгориш.

Между другото изнамерих опцията на firefox-a дето решава конкретния проблем:

about:config -> network.cookie.cookieBehavior

По дефолт е 0, когато го направиш 1, тогава този номер не сработва.

Тъпо :)

... по-добре някой да те логаутне ...

Ако направи това - добре. Но с малко повече труд и въображение, вероятно ще може да направи и друго, не така безобидно действие.

По начина по който сътворих тая тъпотия тука имаш много ограничения. Примерно можеш само GET заявки да ползваш, не POST. Това до голяма степен те ограничава. Ако примерно искаш да "попълниш" една формичка на някакъв сайт и да я submit-неш без знанието на "жертвата", то трябва да се надяваш, че въпросният сайт може да приема същите параметри и от GET заявка и тя да сработва...например ако е PHP приложение, да се ползват register_globals и параметъра да се взема по съответния глупав начин. А това е доста малко вероятно.

От друга страна, ако имаш свободата да твориш, можеш да си направиш сам страничка, която създава "скрита" форма и я submit-ва с javascript до сайта-цел. Тогава обаче трябва жертвата там да може да ти отвори страничката. Ако бях с престъпно мислене, бих направил една страничка със смешни снимки и да почна да я разпращам по ICQ например, хората имат навика да отварят такива неща без да мислят много-много....а в момента в който отворят сайта, вече е късно.

По-добре "безобидните" неща да са по-малко защитени, отколкото "защитата" им да отваря вратички за "не така безобидните".

То ясно, че най-добре всичко да е защитено и сигурно, ама както казват старите хора - колкото е по-сложно едно нещо(да кажем пералня), толкова по-вероятно е да се счупи.

Ах този лош човек ... как не те беше срам да ме разлогнеш от клубовете на дир-а ...  ;D

Но в случая да ... това е проблем, дори смятам че е проблем на форума за дето не санитайзва това което би трябвало да е картинка. От друга страна може да се помисли и малко по темата с браузърите, как точно да реагират на нещо което твърди че е картинка но миме-типа му не съвпада.

По начина по който сътворих тая тъпотия тука имаш много ограничения. Примерно можеш само GET заявки да ползваш, не POST. Това до голяма степен те ограничава. Ако примерно искаш да "попълниш" една формичка на някакъв сайт и да я submit-неш без знанието на "жертвата", то трябва да се надяваш, че въпросният сайт може да приема същите параметри и от GET заявка и тя да сработва...например ако е PHP приложение, да се ползват register_globals и параметъра да се взема по съответния глупав начин. А това е доста малко вероятно.

Или да ползват $_REQUEST ;)

Но в случая да ... това е проблем, дори смятам че е проблем на форума за дето не санитайзва това което би трябвало да е картинка.

Не мисля, че е толкова проблем на форума, колкото на съответните сайтове позволяващи такава атака.

Мне, това не може да е проблем на форума. В смисъл, дори да се направи такава проверка (по разширение или дори по MIME тип на обекта) тя не е надеждна - примерно не се знае дали днес това сочи към картинка, а утре редиректва където не трябва. Така че проблемът си е предимно на въпросните сайтове. И на потребителите им разбира се.

Староооо... и почти толкова банално. И тва ли в milw0rm го видя -.-

Мне, в уикипедия :)