Artykuły dotyczące tematu: dziura

dodany: 10.07.2013 | tagi: , , ,

Jak Facebook pomagał spamerom

0

Można powiedzieć, że Facebooku systematycznie odnajduje poważne błędy, które istnieją dłuższy okres. Tym razem opisywany problem dotyczy adresu e-mail potencjalnie wszystkich użytkowników serwisu.

Podczas procesu rejestracji użytkownik musi podać swój adres e-mail, na który zostaje później przesłana wiadomość z linkiem aktywującym konto. Właśnie ten adres można wydobyć, o ile znamy ID użytkownika. Pomóc nam może w tym zaproszenie od jakiegoś użytkownika.

Spobność tą odkrył Stephen Sclafani, który przeglądał swoje stare zaproszenia:

Przykładowe zaproszenie do Facebooka (źródło http://stephensclafani.com)

Przykładowe zaproszenie do Facebooka (źródło http://stephensclafani.com).

Jeśli klikniemy w link zawarty na końcu zaproszenia, zostaniemy przekierowani na stronę logowania serwisu:

Ekran logowania do FB z zaproszenia (źródło http://stephensclafani.com)

Ekran logowania do FB z zaproszenia (źródło http://stephensclafani.com).

Jak zapewne część z Was już się domyśla programiści Facebooka „dali ciała” właśnie w linku. Scalfani zauważył, że zawiera on dwa parametry: re oraz mid.

Przykładowy link wygląda następująco:

Modyfikacja pierwszego parametru nie zmienia niczego, natomiast drugiego już tak:

Ów numer jest dokładnie zaszyty pomiędzy dwoma literami G zaszytymi w ciągu, czyli w powyższym wypadku jest to 5af3107aba69. Jest on zapisany w systemie szesnastkowym.

Jeśli do linka z zaproszenia podstawimy dowolnie wybrany przez nas numer ID , to wyświetli się adres e-mail powiązany z profilem o podanym ID.

Taki mechanizm „zabezpieczeń” pozwalał w łatwy sposób na zdobycie dowolnego adresu e-mail, z czego napewno byli zadowoleni spamerzy. Na szczęście luka ta została już dawno naprawiona. Scalfani zgłosił problem administratorm Facebooka 22 marca tego roku i błąd został naprawiony w ciągu doby. W nagrodę za otrzymał 3500 dolarów amerykańskich.

Ciekawe, czy Facebook byłby tak samo skłonny zapłacić odszkodawanie za możliwość ujawnienia adresu e-mail pontecjalnym ofiarom luki. Zapewne nawet symboliczny dolar wygenerowałby większą kwotę niż powyższa nagroda.

dodany: 06.03.2013 | tagi: , ,

D-Link łata dziury po cichu, ale nie w przypadku Polski

0

D-Link postanowił załatać dziurę sprzed 4 miesięcy. Owa luka dotyczy modelu routera DIR-645. Co ciekawe, producent nie raczył się nawet tym pochwalić, bo i po co się przyznawać do rażących błędów. Zamiast tego, w oficjalnych zmianach podał ulepszenie obsługi protokołu IP w wersji 6 oraz kompatybilność z systemem iOS 6. Lukę tą odkryto już w listopadzie ubiegłego roku.

Faktycznie D-Link załatał dość poważną dziurę, która polegała na przechowywaniu hasła w czystej postaci tekstowej! Tę niedogodność oferuje oprogramowanie sprzętowe w wersji starszej niż 1.03. Aby się o tym przekonać wystarczy wydać następujące polecenie:

W miarę spokojnie mogą spać użytkownicy tego modelu, którzy nie włączyli zarządzania dostępnego bezpośrednio z Internetu – w tym wypadku zostaje jedynie niebezpieczeństwo, iż ktoś podłączony do lokalnej sieci mógłby podejrzeć hasło.

Niestety producent dla polskiej edycji zatrzymał się na roku 2011, oferując wersję 1.01B06, która dysponuje ową niegodnością. Wersja pozbawiona tego problemu ma oznaczenie 1.03 – niestety, jest dostępna tylko dla modeli na rynek USA, co nie zmienia faktu, iż Polska jest tradycyjnie  lekceważona; w Wielkiej Brytanii producent oferuje nowszą wersje firmware’u 1.02 b11, która pochodzi z 2012 roku.

Ciekawe, kiedy D-Link raczy naprawić błędy w modelach DIR-300/600 (zobacz newsa).