Živě.cz hacknuto pomocí XSS

Živě.cz hacknuto pomocí XSSCituji autora:

Podařilo se mi získat uživatelská hesla k administračnímu rozhraní webzinu Živě.cz, které slouží ke správě článku, diskusí, anket a dalších věcí. K celému útoku jsem použil pouze XSS zranitelností nacházejících se na dvou místech.

Stručné shrnutí:Útočníkovi se podařilo pomocí XSS (Cross-site scripting) zjistit uživatelská jména pro administrátorské rozhraní. Hesla k účtům byla uložena v plaintextu, takže mohl zjistit přihlašovací informace jakéhokoliv oprávněného uživatele.
Nakonec vložil na titulní stranu Živě.cz článek s postupem, jak popsané informace získal.Obrázek titulní stránky s článkem:
[zivesc2.png] Aktualizace 9:30: ze serveru Žive.cz byl odstraněn obsah a zůstává pouze titulek
Aktualizace 12:00: ze serveru Žive.cz byl příspěvek odstraněn úplně
Aktualizace 19:37: reakce redakce ŽivěLink na zdroj byl odstraněn na žádost Shai Magal (JaFi)

Zdroj: Blog autora hacku

Jsou zobrazeny jen nové komentáře. Zobrazit všechny

Předmět	Autor	Datum
Živě má vážne problémy s bezpečnosťou už dlhšiu dobu. Jedna chyba byla již odstraněna, ak opravia tú… nový los 28.01.2007 11:21	los	28.01.2007 11:21
Aktualizace 12:00: ze serveru Žive.cz byl příspěvek odstraněn úplně no celkom este odstraneny nebol… nový IgorK 28.01.2007 12:53	IgorK	28.01.2007 12:53
Áno, vďaka ďalšej chybe systému na Živě sa dá ďalej diskutovať, a to nielen v textovej verzii: f.asp nový los 28.01.2007 13:05	los	28.01.2007 13:05
tazko povedat, ci je toto zrovna chyba. mozno maju moznost oddelene mazat clanok, diskusiu alebo kom… nový IgorK 28.01.2007 13:26	IgorK	28.01.2007 13:26
Jasné, this behavior is by design :-D. nový los 28.01.2007 13:35	los	28.01.2007 13:35
tak. s tymto sa clovek stretava casto. :-p //edit: ja som len zvedavy, ako sa oficialne ku tomu whit… nový IgorK 28.01.2007 13:42	IgorK	28.01.2007 13:42
toto je tiez dobre: AR.asp bohvie kto ma v tom prsty, ci redakcia zive alebo nejaky novy admin. tu… nový IgorK 28.01.2007 14:27	IgorK	28.01.2007 14:27
Čo som si čítal práve komentáre k hacku Živě, tak jeden som musel odpísať, lebo tak som sa pobavil a… nový Len tak 28.01.2007 14:22	Len tak	28.01.2007 14:22
Hesla k účtům byla uložena v plaintextu Zabit ich je malo. Este dobre ze som tam pouzil len moje na… nový MM.. 29.01.2007 02:17	MM..	29.01.2007 02:17
poslali mi zprávu z: registrace z cpress.cz poslední lední brtník 29.01.2007 23:31	lední brtník	29.01.2007 23:31

Živě má vážne problémy s bezpečnosťou už dlhšiu dobu. Jedna chyba byla již odstraněna, ak opravia túto, tak to bude o niečo málo lepšie. Stopercentné to však ešte nebude.

Navyše im tam nefunguje už ani normálne vkladanie príspevkov. Snáď sa to zlepší prechodom na nový systém, ktorý údajne plánujú už dosť dlho.

Aktualizace 12:00: ze serveru Žive.cz byl příspěvek odstraněn úplně

no celkom este odstraneny nebol, funguje este diskusia v textovej verzii: http://www.zive.cz/!textove_diskuse/F.asp?ARI=13299 5&CAI=2097&HID=19

Áno, vďaka ďalšej chybe systému na Živě sa dá ďalej diskutovať, a to nielen v textovej verzii: f.asp

tazko povedat, ci je toto zrovna chyba. mozno maju moznost oddelene mazat clanok, diskusiu alebo komplet diskusiu aj s clankom kvoli nejakej spatnej vazbe. a prislusny redaktor vyuzil len prvu moznost. aj ked je to len moj predpoklad, toto ako chybu moc nepovazujem.

Jasné, this behavior is by design .

tak. s tymto sa clovek stretava casto.
//edit: ja som len zvedavy, ako sa oficialne ku tomu white hack-u zive postavi.

toto je tiez dobre: AR.asp
bohvie kto ma v tom prsty, ci redakcia zive alebo nejaky novy admin.

tu je textova zaloha. to je ozaj vsetko.

Schopný FTP klient se bez plánování neobejde
28. 01. 2007, Vlastimil Waic formát pro tisk
Další aktuality:
Nejúžasnější kabria všech dob, dnes
Konkurz: Živě.cz hledá externí redaktory, dnes
Ptejte se: Jana Ježka na Kerio WinRoute Firewall, dnes

Čo som si čítal práve komentáre k hacku Živě, tak jeden som musel odpísať, lebo tak som sa pobavil ako nik :

<user> Mam novej job
<muhehe> jakej?
<user> delam admina
<muhehe> a kolik ti platej
<user> zatim nic, voni vo tom este nevedej

Hesla k účtům byla uložena v plaintextu

Zabit ich je malo. Este dobre ze som tam pouzil len moje naj-"weak" heslo. Ako mozu taki amateri vobec si dovolit pisat nieco o pocitacoch Tak potom vyzeraju aj vsetky tie casopisy. Kopa kydov od bandy amaterov.

Ako sa da na zive zrusit konto?

poslali mi zprávu z: registrace z cpress.cz

Zpět na aktuality Přidat komentář k aktualitě Nahoru