Serviços do Google estão vulneráveis a Frame Injection
O Adrian ‘pagvac’ Pastor, da GNUCitizen, postou sua descoberta sobre a vulnerabilidade do google a ataques de Frame Injection.
O ataque consiste em passar, através da URL, um endereço de um site a ser renderizado para o usuário, mantendo na barra de endereços o endereço legítimo. Ou pelo menos parte dele.
Isso acontece por dois motivos:
1) O Google usa diversos subdomínios (images.google.com, mail.google.com), mas é perfeitamente possível, por exemplo, fazer uma busca por imagens usando o subdomínio dos e-mails.
2) Existe uma falha no tratamento dos valores das variáveis que são passadas como parâmetro na URL. Ou seja, ele não trata “como deveria” os valores informados na URL.
Dessa forma, o que o pagvac fez foi criar uma página idêntica à do GMail (porém, ele incluiu a palavra FAKE, pois essa é só uma prova de conceito), criar uma URL que acessa o serviço de busca de imagens do Google (que contém a falha) através do subdomínio do serviço de e-mail da gigante de Mountain View e informar como parâmetro o endereço da página que ele criou. O endereço é esse aqui, ó: http://mail.google.com/imgres?imgurl=http://SecureGoogleMail&imgrefurl=%68%74%74%70%3a%2f%2f%73%6e%69%70%75%72%6c%2e%63%6f%6d/482f3. E essa é a tela que você verá (ou veria, caso você leia este artigo depois de corrigirem a falha):
Repare o início da URL (mail.google.com). E o final, então? O usuário leigo, em especial, nem perceberia a farsa.
Dessa forma, um atacante poderia fazer uma página idêntica a essa, só que depois que você digitar seus dados, o espertinho teria acesso a eles.
O mais importante disso é o alerta que fica para (nós) os desenvolvedores: sempre é necessário tratar cada detalhe dos dados que vêm de fora, mesmo que seja “só” um parâmetro na URL.
Poderia avaliar este artigo, por favor? |
 (Nenhum voto) Loading ... |