Twitter Cross Site (XSS) Vulnerabilità – Watch Out!

da Klaus su Agosto 28, 2009

in Twitter

twitter_logoJames Slater, IT sviluppatore con una società britannica specializzata in search engine optimization, ha trovato una vulnerabilità di sicurezza nel social network, Twitter.

Il semplice atto di leggere tweets online su twitter.com potrebbe causare a qualcuno di rubare il vostro cookie di login e potenzialmente accedi al tuo account Twitter – o semplicemente di reindirizzare ad un sito di phishing, ecc.

Funziona con l'inserimento di codice javascript nella “API” campo quando si aggiunge tweets. Tutte le applicazioni 3rd party che si possono utilizzare per tweet con, avranno il loro nome sotto il tweet, così invece di dire “TweetDeck” ci sarà un pezzo di codice JavaScript che potrebbe fare un sacco di roba.

Il codice javascript si potrebbe semplicemente reindirizzare a un sito phishing, un sito dannoso, un sito porno o di qualsiasi sito al mondo per quella materia. Si potrebbe anche prendere il vostro cookie di login e lo trasmette a un sito che poi conservarlo per un uso successivo. Non sono sicuro su quanto essi saranno in grado di fare con il vostro cookie di login, ma si potrebbe probabilmente ottenere l'accesso al tuo account Twitter con esso – ma senza conoscere la password attuale.

Il codice dovrebbe essere in grado di eliminare tutti i messaggi Twitter o inviare un messaggio a tutti i tuoi seguaci.

James Slater già fatto Twitter a conoscenza del problema, ma finora Twitter a quanto pare non hanno fatto altro che fare in modo che non è possibile scrivere uno spazio nel “API di campo”. Dubito quanto sia efficace che è veramente. Si invita pertanto a seguire solo le persone che ti conoscono, e non solo perché si seguono.

Io in realtà anche provato il cookie rubare io stesso una volta. Ho trovato un forum fatta in casa che non era così sicura, ma ancora il forum più visitato in quel paese nella sua nicchia. Non ho fatto male a nessuno, naturalmente, ma sono riuscito a rubare il mio biscotto di login e salvarlo in un database su un sito esterno, semplicemente aggiungendo riscritto javascript in un post sul forum. E 'una questione di sfuggire ai controlli di sicurezza e di essere ancora in grado di iniettare javascript. Naturalmente ho fatto gli sviluppatori a conoscenza del problema e spero che lo fissa, quindi speriamo Twitter consente di risolvere anche questo, una volta per tutte.

In questo video, James Slater dimostra un po 'su come funziona:

Articoli correlati che potreste trovare interessante:

Commenti & Lascia un tuo commento

commenti

{ 6 commenti… leggere o sotto aggiungere un }

christie Agosto 28, 2009 a 22:15

Beh, questo è spaventoso! Spero proprio di Twitter lo risolverà in fretta! Penso che verificare di tanto in tanto per vedere che cosa i miei ultimi Tweets sono stati, per assicurarsi che essi sono cose davvero messo lì.

Rispondere

Klaus @ TechPatio Agosto 28, 2009 a 23:14

Non dovete preoccuparvi del vostro tweet proprio il tempo che li ha inviati utilizzando il web o qualsiasi applicazione di terze parti rispettabile :) Naturalmente c'è la possibilità che se si è stati vittima di questo exploit, che avrebbe potuto trasmettere qualcosa – ma non ho sentito di nessuno essere una vittima ancora, cui non c'è motivo di preoccuparsi direi :)

Rispondere

Christie Agosto 28, 2009 a 23:31

Oh sì volevo dire se l'accesso al mio account rubando il mio cookie di login. Non voglio che qualcuno rappresentare me e il tifo per l'Università (sic) della Georgia o qualcosa del genere! :D
.-Ultimo blog = Christie ..Il modo più semplice per mettere una immagine cliccabile intestazione il tema Thesis = -.

Rispondere

Estrema John Agosto 29, 2009 a 17:53

Se non è una cosa che è un'altra cosa, è la costante battaglia tra volere le cose per essere il più semplice possibile tutti pur avendo la massima sicurezza possibile.
.-Ultimo blog = Estrema Giovanni ..La Società Copycat = -.

Rispondere

Evan Kline Agosto 31, 2009 a 04:29

Mi chiedo se la proroga non script per Firefox avrebbe raggiunto questo? La cosa bella è che l'estensione è possibile disattivare lo script di blocco (che può essere un po 'prepotente) , e sarà ancora di bloccare gli attacchi incrociati site scripting.
.-Ultimo blog = Evan Kline ..Fottiti iPhone! Smettere di rubare Tutte le nostre proposte (Windows Mobile) Apps ... = -.

Rispondere

Klaus @ TechPatio Agosto 31, 2009 a 08:47

Suppongo che sarebbe, poi. Il plugin di Firefox dovrebbe essere in grado di vedere che un javascript sta cercando di reindirizzare l'utente a un altro dominio senza che l'utente che ne faccia richiesta prima. Ma ad essere onesti, con casi come questo, Penso che voglia solo le mie possibilità e sperare per il meglio. Come accennato altrove, Non ho ancora visto un singolo episodio di chiunque ottenere danneggiato in un modo o l'altro, con l'uso di questo script, quindi non vedo alcuna necessità che influenzare la mia esperienza di navigazione.

Tuttavia, questo è uno dei casi in cui non importa quanto dannatamente bravo con i computer si sono, perché se il sistema è configurato per fare ciò che è detto da javascript, ecc, allora probabilmente siete fregati lo stesso.

Rispondere

 

Lascia un tuo commento

CommentLuv badge

Post precedente:

Next post: