XSS + Session hijacking = Hack abclinuxu.cz (diskuse)

[qiRzT]

Já pořád říkám, že současný web je prohnilá záležitost a chtělo by to opravdu pořádnou revoluci...

[Lu-Tze]

Hmm, nic moc, na podobné téma tu psal třeba Michal Čihař. On teda chybu ohlásil, počkal až to bude opravené a pak o tom napsal. Trik "<<" tu už byl taky použitý - např. pro vkládání obrázků do komentářů, asi to neopravili dobře.

[azurIt]

chybu som nahlasil, pockal som kym sa opravila a potom som o tom pisal. tiez som pisal, ze sa jedna o rok staru chybu, cital si to vobec ? ;)

[Lu-Tze]

Ne, nečetl Ale právě proto jsem to formuloval tak, abys mi nemoh vyčítat, že ti něco vyčítám

[Stevko]

Ako na toto pozerám, tak ten vypnutý JavaScript asi nie je až taký zlý nápad. Ale potom zasa na mňa divne pozerajú ľudia, keď mi chcú ukázať nejakú stránku a ona nejako nefunguje. Veď nech si pozerajú.

[tired joe]

Kúsok po revolúcii jeden chlapík v banke upozorňoval na to, že ich bezpečnostný systém je deravý a že sa peniaze dajú ľahko ukradnúť elektronicky. Keď ho nikto nepočúval, ukážkovo previedol nejaké prachy, aby videli, že sa to naozaj dá. Vtedy sa mi zdalo nespravodlivé, že ho súd poslal do basy. Ale teraz to už chápem. :)

[Joseph]

trhni si nohou. mam noscript. ;) a kecy o tom ze sa web bez js neda pouzivat su bullshity.

[freshmouse]

Well.Done.

[andree]

lol

+1

[Petr Beran]

Pěkné, moc pěkné

[Robert Krátký]

Mám jediný dotaz: proč kvůli tomuto dalšímu zápisku zakládáš zcela nový blog?

[azurIt]

ak narazas na konto 'jaaa' + jeho blog, tak to mozes kludne cele zrusit. vytvoril som ho iba koli tej jednej sprave, pouzivat ho uz viac nebudem. toto je moje konto a teda som si na nom vytvoril moj blog.

[andree]

skoda komentarov... :)

[Robert Krátký]

Bezva. Jak jistě víš, tak smazat blog, pod kterým jsou komentáře, není možné. Kvůli tvému pokusu tedy bude na abclinuxu další opuštěný blog s jediným zápiskem. To by bylo tak těžké pro tvůj pokus použít ten samý blog, ve kterým jsi vydal tento zápisek?

[StefanV]

ze jmena bloku to bylo partné : test2

Jinak tohle je parádní blog, spíše to beru jako ukázkovou security kapitolu. V porovnání s blogy typu "Zkoušel jsem Gentoo, tak a tak...." je tohle alespoň něco pořádného.

Já bych v blocích psal samí blbosti, tak jsme s tím radči ani nezačal.

[Robert Krátký]

ze jmena bloku to bylo partné : test2

Co je patrné? Copak nemůže být testovací zápisek v normálním blogu? Je nutné kvůli tomu vytvářet nové konto a k němu nový blog a zasírat tak abclinuxu mrtvými účty?

[azurIt]

serie ta, ze som ziskal pristup prave na tvoje konto alebo co ? :)

[Robert Krátký]

Milý azurite, již včera jsme ti s Leošem oba poděkovali za upozornění na chybu. Ani včera ani dnes jsem ti nevyčítal, jakým způsobem jsi chybu demonstroval (ačkoliv si dokáži představit rozumnější postup - zvláště pokud by ti nešlo o zviditelnění, ale pouze o pomoc abíčku). Nevadí mi tedy, kam a jak jsi získal přístup.

Štve mě to, co jsem napsal, že mě štve - zbytečné a neuvážené zakládání nového účtu a blogu. Projev tedy trochu té inteligence, s jejíž pomocí jsi chybu odhalil, i tady v diskuzi a nesnaž se odvádět pozornost takto přihlouplým způsobem.

[azurIt]

neviem ktory z nas sa tu sprava prihluplo - proste musis sa na nieco stazovat, tak si najdes hocijaku blbost. ako uz napisal freshmouse, keby si chcel, tak to zmazat ide. na abicku su doslova stovky nepouzivanych kont a urce velka kopa nepouzivanych blogov. chces mi povedat, ze do majitela kazdeho jedneho z nich si tiez takto 'huboval' ako teraz do mna ? pochybujem o tom..

[Robert Krátký]

proste musis sa na nieco stazovat, tak si najdes hocijaku blbost.

a) Proč myslíš, že si musím stěžovat?

b) Nepovažuji to za blbost, proto o tom mluvím.

keby si chcel, tak to zmazat ide.

Ano, technicky to možné je, ale udělat to nemůžeme, protože bychom tím smazali komentáře dalších uživatelů.

na abicku su doslova stovky nepouzivanych kont a urce velka kopa nepouzivanych blogov.

A protože jich tu je spousta, tak jeden další už nevadí? Já bych raději, kdyby tu nebyly žádné nepoužívané účty a žádné nepoužívané blogy. Takže mi vadí každý další.

chces mi povedat, ze do majitela kazdeho jedneho z nich si tiez takto 'huboval' ako teraz do mna ? pochybujem o tom..

No vidíš, pleteš se. Kdykoliv jsem si všiml, že někdo založil zbytečně nový účet, tak jsem ho na to upozornil a zeptal se, co ho k tomu vedlo. Kdykoliv někdo napíše požadavek, abych nějaké dva účty sloučili a ten starší (ke kterému třeba zapomněl heslo) vymazali, tak se to snažíme udělat.

Takže jsem si nezasedl na tebe. Napsal bych to stejně komukoliv jinému - a nebylo by to poprvé.

[Michal Fecko]

ostatne zda sa mi ze si dost casto mrzuty pri reakciach v blogoch/diskusii a pod.. sekirujes, upozornujes, hundres - ako spravny admin (?!)

[Leoš Literák]

Ja bych rekl, ze je to obycejna lidska unava. Kdyz clovek vidi nejakou chybu ci problem podesate, zacne jej to stve a reaguje s tim, ze uz je to tu podesate. Jenze pro cloveka, co ji zrovna udelal, je to poprve a tak nechape tu podrazdenost. Docela hezky je to znazorneno v Ucastnicich zajezdu, kdy ridici mezi sebou diskutuji na tema ukradenych plastovych podsalku

Pak je tu jeste faktor nevdeku. Nekteri ctenari na chybu upozorni stylem "vy lumpove, nefunguje vam RSS, urcite to delate kvuli reklame". Nebo "pred hodinou jsem vam poslal upozorneni na chybu, ocekaval jsem okamzitou reakci a nic, zjevne je vam to uplne jedno". Pripadne "Proc nezabanujete trolla XY? Urcite to delate kvuli impresim reklame. Neplatite si ho nahodou, aby vam zvysoval navstevnost?". Pak to chce hodne trpelivosti, aby clovek nereagoval podrazdene.

[David Ježek]

jakobys mi to vzal z úst. jinak tento zápisek je pro mne spíš důkazem potřeby se nějak zviditelnit a to založení druhého konta je fakt kravina. naopak měly být obě veci v jednom blogu kvůli návaznosti. ale což. Roberte, navrhuju se vožrat (jenže já tu nic nemam )

[freshmouse]

Hmm, to je dost tzv. přisprostlá a rádobyostrá reakce... :-O

Je to takový problém, že někde v DB je pár řádků navíc? Nehledě na to: kdybyste CHTĚLI, aby to šlo smazat (i přes to, že tam jsou komentáře), tak by to šlo. To víme oba dva.

[Robert Krátký]

Je to takový problém, že někde v DB je pár řádků navíc?

Ne. Ale třeba v přehledu všech blogů to už tak jedno není.

kdybyste CHTĚLI, aby to šlo smazat (i přes to, že tam jsou komentáře), tak by to šlo. To víme oba dva.

No samozřejmě, že by to technicky šlo. Ale tím bychom smazali komentáře všech těch lidí, kteří na zápisek reagovali - a proto to nemůžeme udělat. To víme oba dva, že? Já nemám nic proti zápisku, odhalení chyby v abíčku, ani proti diskuzi pod tím (naopak to oceňuji a jsem rád, že na to azurit upozornil). Mně vadí jen to, že kvůli tomu byl zbytečně založen další účet a blog.

[Milan Lajtoš]

A nebolo by lahsie zmenit autora toho blogpostu na azurita? Komentare ostanu, blogpost tiez, zbytocny blog a user sa mozu zmazat a vsetci budu spokojny.. ;o)

[azurIt]

okrem mna ;) keby som to tak chcel, tak to urobim hned

[Marián André]

Čím sa vlastne dostávame znovu k otázke: Prečo nový user a blog ?

[azurIt]

znovu ? uz sa pri nej niekde bolo ?

[Marián André]

Iste.

[azurIt]

aha, Robert tam hovoril o blogu, takze ma to nejak hned nenapadlo.

[Milan Lajtoš]

Preco to vlastne nechces? Ci len z trucu aby robertK mohol dalej penit? ;)

[Filip Jirsák]

Že bych si taky založil testovací účet? A testovací blog? Taky bych mohl začít přidávat nějaké testovací záznamy do FAQ nebo Hardwaru, pokládat testovací dotazy do poradny a psát testovací komentáře. Vždyť je to jenom pár bajtů v databázi…

Nejdete třeba taky o to, že se teď při každém vyhledávání uživatelů nebo blogů, pokud splní zadaná kritéria, dostane tenhle testovací blog na seznam výsledků? A tam už to není jen nějaký řádek v DB, tam už to obtěžuje nějakého konkrétního čtenáře, který v horším případě odkaz rozklikne aby teprve následně zjistil, že to byl vlastně jenom test. Spousta "hlušiny" je jedna z věcí, které mohou totálně zničit server postavený na komunitě budující obsah. Proto se zde v Poradně neponechávají dotazy mimo téma, ale jsou zamykány a následně (snad) odstraňovány. Myslím, že ze stejného důvodu se Robertovi nelíbí vytváření testovacích blogů.

[zalesak]

Ked raz zverejnite nejaky system = otvorite ho sirokej verejnosti, potom nechapem ako sa mozete stazovat na nieco taketo. bud si zavedte kontrolu a schvalovanie vytvarania blogov, alebo si povolte ich rusenie prip. deaktivovanie (nezmazu sa komentare ale blog sa nebude zobrazovat). Ak sa nieco da spravit, user to na 100% vyskusa, s tym treba pocitat pri programovani akehokolvek systemu... vazne nerozumiem o com to tu cele je.. stazujete sa azuritovi za to, ze ste si zle navrhli a implementovali system alebo o co presne ide?

[Luboš Doležel (Doli)]

Takže když si někdo bude stěžovat na drobné krádeže v ČR, tak je to taky nesmysl, protože je chybně navržen systém - každý by měl mít za zadkem policajta?

[StefanV]

Nemyslím, že tohle je dobré přirovnání. Hodilo by se spíše něco jako:

"Kdyby každý položil na ulici prázdnou krabici, neměl by je právě orgán k tomu pověřený sebrat a vyhodit?? I kdyby byly plné bordelu."

Za předpokladu ignorování ideálního stavu neexistence nežádoucích krabic

[zalesak]

Veci okolo kradeze osetruje trestny zakon, ked sa ti nepaci ako sa tu spravaju ludia, daj si do vseobecnych podmienok sposob pouzivania portalu a napis tam aj sankcie. Ak ti vznikla skoda zalozenim blogu, ktory porusil vseobecne podmienky (ak samozrejme nejake su) a sposobilo ti to skodu, ktoru dokazes vycislit, nic ti nebrani v tom aby si si narokoval nahradu skod sudnou cestou. Ked sme teda uz pri tom porovnavani s kradezami...

[Filip Jirsák]

Já tedy raději předpokládám, že uživatelé nebudou zbytečně vytvářet nové účty a blogy, a řeším věc domluvou. Teprve pokud to jinak nejde, přikročím k nějakému technickému omezení – ale každé takové technické omezení beru jako svým způsobem selhání. Systémy, které se snaží být naprosto dokonalé a vše řešit technicky naopak nesnáším, protože dokonalé nejsou ani náhodou a člověka akorát omezují nebo otravují. Navíc ona "ideální technická dokonalost" ve vztahu k lidem je pěkný nesmysl – lidi nejsou součástky do nějakého stroje, aby se všichni chovali předvídatelně a naprosto stejně.

Pokud někdo přeťápne tu pomyslnou měkkou hranici, je namístě jej na to upozornit – právě to upozornění je ten způsob hlídání (místo technického zákazu). Nebo by snad bylo rozumné potajmu pozorovat, jak lidé překračují nějakou hranici stále víc, a pak najednou implementovat nějaké technické omezení? To mi daleko lepší připadá na věc upozornit – třeba to dotyčný neudělal schválně, upozorní to i ostatní, a žádné technické omezení nebude potřeba. A až někdo bude mít jednou pádný důvod založit si novou identitu, nebude mu v tom bránit žádné technické omezení.

[zalesak]

nj.. preco teda odstranovat chybu, ktoru popisuje tento clanok.. proste to vyrieste "domluvou" a nechajte to tak :) vyuzit ju je takisto neziaduce spravanie ako zalozit "testovaci blog"...

[Filip Jirsák]

Protože chyba zmiňovaná v blogu je trochu závažnější. A navíc, ona minimálně rok „domluvou“ řešena byla, ta chyba přece opravena nebyla – ale teď se ukázalo, že už se mezi blogujícími abclinuxáky nedá spoléhat na to, že tu chybu nezneužijí, případně pokud na ni někdo narazí, tak ji opraví a pošle patch. Víc už k té chybě psát nebudu, asi by to nebylo rozumné…

[azurIt]

chybu som nasiel nezavisle na tom, co bolo v bugzille (to som sa dozvedel az nakoniec od Leosa). okrem toho, ako on sam povedal, neuvedomil si jej mozne nasledky (a vlastne preto jej nevenoval az taku pozornost, aku si 'zasluzila').

[Filip Jirsák]

neuvedomil si jej mozne nasledky (a vlastne preto jej nevenoval az taku pozornost, aku si 'zasluzila').

Což je mimochodem hezký praktický příklad toho, proč raději než si s chybou nejdřív „pohrát“ je lepší nalezenou chybu rovnou oznámit adminovi nebo autorovi, který si asi snáz dovede dát dohromady možné následky. A to teď nemyslím jen tento konkrétní případ, ale obecně.

[azurIt]

hadam naopak, nie ? ;) je to pekny priklad toho, preco sa s tym najskor pohrat a ukazat, ze sa naozaj jedna o problem - chyba bola znama uz rok ale Leos v nej bezpecnostne riziko nevidel cize ju neopravil.

[Filip Jirsák]

Vy jste napsal, že jste si neuvědomil možné důsledky – pochopil jsem to jako možné důsledky té chyby. Kdyby k té chybě kdokoli připojil poznámku nebo komukoli z adminů nebo programátorů Abíčka řekl, že je možné té chyby zneužít ke vkládání vlastních javascriptů, určitě by to dotyčný za bezpečnostní riziko považoval a odpovídajícím způsobem by jednal.

[azurIt]

napisal som '...okrem toho, ako on sam povedal, neuvedomil si jej mozne nasledky...' a hovoril som o Leosovi. alebo to nebolo jasne ? a prosim ta nevykaj mi (kedze to ani nevies: 'Vy jste napsal ').

[Filip Jirsák]

Aha, omlouvám se, četl jsem ako som sam povedal… V tom vykání nebyl žádný špatný úmysl, jsem zvyklý lidem, které neznám, vykat, a to i na internetu. Vím, jsem v tom poněkud mimo hlavní proud…

[azurIt]

:) nic sa samozrejme nestalo

[Leoš Literák]

Uz jsme tu parkrat meli bezpecnostni problem a dosud mi lide soukrome poslali popis problemu, ja jsem si jej doma na lokale zreprodukoval a opravil. Jsi prvni, kdo chybu zneuzil na realnych uzivatelich. To je ten rozdil v tvem pristupu.

[azurIt]

raz niekto taky musel prist ;)

[frEon]

jenze komentare pod neexistujicim blogem postradaji nejak smysl, ze

[azurIt]

ked zmazes obsah blogu (na co pravo mas), dostanes to iste. takze v tomto smere by nebola ziadna zmena.

[Robo]

Toto je jedna z pricin preco sa radsej nikde neregistrujem :)

[Robo]

a samozrejme pouzivam NoScript, ale iba doma cez FF

[Joseph]

a druha pricina? a noscript ocenujem. je to spravna sek u riti vychytavka. teda spolu s rozumom usera.

[Robo]

tych pricin bude viac, napr. si nemusis pamatat hesla, tiez som lenivy sa zaregistrovat, mensia moznost dostavat spam ... co ma zatial napada.

[jnc]

napr. si nemusis pamatat hesla

To nemusíš ani tak ;)