Strona główna

Poczta.interia.pl podatna na atak CSRF

By sebastian - Posted on kwiecień 15th, 2008

Portal internetowy interia.pl udostępnia użytkownikom możliwość zakładania darmowej skrzynki pocztowej. Tak jak wielu dostawców takiej usługi oferuje także dostęp do skrzynki pocztowej poprzez przeglądarkę internetową (tzw. WebMail).

Na pierwszy rzut oka, wszystko wygląda na bezpieczne - możliwość logowania za pomocą SSL (tak, aby nikt nie wykradł naszego hasła). Większość nowych funkcjonalności jest wdrażana tak jak to robią światowi giganci. Gmail od Google oferuje podobną usługę z podobnym stopniem bezpieczeństwa, jednak nawet gigantom czasem podwinie się noga.

Poczta Interii jest podatna na atak typu CSRF, oczywiście jest to atak innego typu niż podany wyżej, ale za jego pomocą jesteśmy w stanie przechwycić wszystkie listy ze skrzynki odbiorczej atakowanej osoby.

Jak wygląda taki atak?

Wystarczy, że osoba jest zalogowana na swoją skrzynkę pocztową i otworzy w nowym oknie lub zakładce stronę ze złośliwym skryptem (może być to link w mailu). Po całkowitym wgraniu złośliwej strony, atakujący ma na swoim serwerze kopię maili ze skrzynki odbiorczej atakowanego.
Pod tym adresem jest zamieszczona prezentacja jak taki atak wygląda (atak był wykonany w dniu 15.04.2008, domena hacktube.com odwołuje się do lokalnego komputera). Do skutecznego ataku potrzebne jest jeszcze kilka czynników o których, dopóki luka nie będzie załatana nie wspomnę. Szacuję, że na atak jest podatnych około 30% użytkowników.

Stanowisko Interii

Informację o luce oraz kod pozwalający na przeprowadzenie ataku wysłałem Interii 1.04.2008. Data może nie jest zbyt odpowiednia na informację o luce, ale nie zostało to na szczęście potraktowane jako żart. Załączyłem też informację naprowadzające na sposób rozwiązania problemu. Dostałem odpowiedź 3.04.2008, że trwają pracę nad załataniem luki. Dzisiaj dwa tygodnie po wysłaniu informacji, luka nadal jest obecna. Mam nadzieję, że trochę szumu, pozwoli załatać tą lukę szybciej.

Dodaj nową odpowiedź

  • Adresy internetowe są automatycznie zamieniane w klikalne odnośniki.
  • Dozwolone znaczniki HTML: <a> <em> <strong> <cite> <code> <ul> <ol> <li> <dl> <dt> <dd> <h2> <h3> <h4>>
  • Znaki końca linii i akapitu dodawane są automatycznie.
  • You can enable syntax highlighting of source code with the following tags: <code>, <blockcode>, <codehtml>, <javascript>, <php>. Beside the tag style "<foo>" it is also possible to use "[foo]".

Więcej informacji na temat formatowania

CAPTCHA
Zabezpieczenie przed spamem (dla niezarejestrowanych użytkowników) występują tylko małe litery (bez cyfr)
  _                     _   
 (_ )                  ( )_ 
  | |    ___    _   _  | ,_)
  | |  /' _ `\ ( ) ( ) | |  
  | |  | ( ) | | \_/ | | |_ 
 (___) (_) (_) `\___/' `\__)
Enter the code depicted in ASCII art style.

Logowanie