Dotaz: XSS na Abclinuxu

[ehm]

Přílohy:

• abclinuxu_xss_anonymized.png (435060 bytů)
• abclinuxu_xss_anonymized.png (435060 bytů)

Na Abclinuxu někdo očividně objevil a využil XSS. Přikládám screenshot. Otevřete si zdrojový kód stránky a dejte CTRL+F "alert"...

Asi je dobrý nápad se odhlásit (a doufat, že to dropne session ID i na serveru). A pokud za tím stojí člověk, který si myslím, že za tím stojí, tak už fakt prosím provozovatele portálu, aby podal trestní oznámení. Osobně jsem už před několika týdny policii elektronickou formou upozornil na některé jeho komentáře, protože to už bylo těžce za hranou.

Odpovědi

[.]

Hlavně se z toho neposrat a dát si web dopořádku. Bylo načase

[ehm]

Zkusit odhalit chybu je jedna věc. Psát urážlivé příspěvky, spamovat, vyhrožovat zničením portálu a nakonec se pokusit exploitnout nějakou zranitelnost a tvářit se u toho, že nám všem vlastně děláš nějakou službu, je věc druhá.

Pokud si chceš napravit reputaci, nejlepší, co můžeš udělat, je omluvit se, začít se chovat normálně (nebo úplně zmizet) a doufat, že se na tohle co nejrychleji zapomene.

[Blaazen]

Já vidím v kategorii "Slovník" přidané heslo "debil" a v "Kdo je" položku "aa bb".

[ehm]

Ano. Ty skripty už asi někdo z adminů odstranil.

[ehm]

Tak to vypadá, že to odstranil dotyčný sám. Viz první revize toho hesla ve slovníku.

Dokud nebude ta chyba zazáplatována, je potřeba mít na Abclinuxu zablokovaný JavaScript. Používate-li Chrome, mohu doporučit No-Script Suite Lite. Obzvlášť to platí u adminů. Tam by krádež cookies mohla mít fatální následky.

Ještě dodávám, že ten skript se spouštěl i na titulní straně. Je to fakt velmi závažná bezpečnostní chyba.

[Filip Jirsák]

Dokud nebude ta chyba zazáplatována, je potřeba mít na Abclinuxu zablokovaný JavaScript.

Útočník by mohl maximálně tak jménem uživatele postnout z JavaScriptu nějaké příspěvky.

Tam by krádež cookies mohla mít fatální následky.

Akorát že přihlašovací cookies na Abíčku už mají nějakou dobu nastavený atribut HTTPonly.

Je to fakt velmi závažná bezpečnostní chyba.

Ani bych neřekl.

[ehm]

Útočník by mohl maximálně tak jménem uživatele postnout z JavaScriptu nějaké příspěvky.

Mazat nemůže?

Akorát že přihlašovací cookies na Abíčku už mají nějakou dobu nastavený atribut HTTPonly.

Aha, to jsem nevěděl (a dokonce jsem takový atribut ani neznal). To tedy krádež session snad vylučuje.

Ani bych neřekl.

Je to méně závažné než jsem si myslel (s ohledem na ten atribut HTTPonly), ale i byť jen možnost postovat pod cizím jménem mi docela závažná přijde.

[Filip Jirsák]

Mazat nemůže?

Může jenom to, co uživatel.

To tedy krádež session snad vylučuje.

Vylučuje, proto jsem před pár lety ten patch posílal, když si tu tenkrát někdo začal hrát s XSS.

byť jen možnost postovat pod cizím jménem mi docela závažná přijde

Může vložit skript, který se provede tam, kde se používá (v tomto případě) název hesla ze slovníku. Je to jeden společný skript pro všechny, pokud by chtěl něco vložit jménem konkrétního uživatele, musí si v tom skriptu zjistit, zda je to právě přihlášený uživatel, pak zvolit třeba nějaké časové rozmezí (aby se to za daného uživatele vložilo jen několikrát a ne pořád dokola), a vkládaný text opět musí být napevno součástí toho skriptu (může jich tam být víc, ale stále omezené množství). Navíc ten skript bude uložený v historii daného slovníkového hesla, stačí si pak z databáze vyjet všechna hesla vytvořená v poslední době, která obsahují <script.

Z možných bezpečnostních chyb je tenhle typ chyby méně závažný. XSS chyb bude na Abíčku pravděpodobně o dost víc, v době, kdy Abíčko vzniklo, se takovéhle věci neřešily – tenkrát se to bralo, že si přece nebudeme škodit navzájem. Dneska by to určitě chtělo na Abíčko nasadit CSP, jenže to není jen otázka nastavení jednoho příznaku, protože Abíčko používá i dost inline skriptů.

Bohužel to jenom potvrzuje, že když se nechá „svoboda“ malým trollům, přitáhnou za nimi větší trollové a po nich ti, kteří už chtějí jenom škodit a nijak se s tím netají.

[ehm]

Může jenom to, co uživatel.

Přístup pro adminy je úplně oddělený, nebo...?

Je to jeden společný skript pro všechny, pokud by chtěl něco vložit jménem konkrétního uživatele, musí si v tom skriptu zjistit, zda je to právě přihlášený uživatel, pak zvolit třeba nějaké časové rozmezí (aby se to za daného uživatele vložilo jen několikrát a ne pořád dokola), a vkládaný text opět musí být napevno součástí toho skriptu (může jich tam být víc, ale stále omezené množství).

Spammerovi je to jedno (naopak by to možná ještě narval do cyklu).

Bohužel to jenom potvrzuje, že když se nechá „svoboda“ malým trollům, přitáhnou za nimi větší trollové a po nich ti, kteří už chtějí jenom škodit a nijak se s tím netají.

Nevím, jak to mám chápat. V komunitách, kde je nízká tolerance vůči trollům se objevuje méně záškodníků, protože od počátku vidí, že se daleko nedostanou? Z hlediska projevování se asi ano, ale nemyslím si, že by to někoho odradilo od hledání bezpečnostních chyb (naopak by to jejich hledání možná vyprovokovalo ještě víc). Ale nepřijde mi to podstatné.

[Filip Jirsák]

Přístup pro adminy je úplně oddělený, nebo...?

Bylo to myšleno tak, že vložený JavaScript může dělat jenom to, co může dělat přihlášený uživatel, u kterého ten skript běží. Admini si teď holt musí dávat pozor.

Nevím, jak to mám chápat. V komunitách, kde je nízká tolerance vůči trollům se objevuje méně záškodníků, protože od počátku vidí, že se daleko nedostanou?

Ano.

nemyslím si, že by to někoho odradilo od hledání bezpečnostních chyb (naopak by to jejich hledání možná vyprovokovalo ještě víc)

Tady nejde o hledání bezpečnostních chyb, ale o jejich zneužívání. Komunita lidí kolem portálu o těch chybách ví, některý z trollů občas něco z legrace zkusil, bylo to třeba nepříjemné, ale nikdy to nebylo dělané s cílem útočit nebo něco ničit. S úmyslem ničit toho začal zneužívat až petrfm. Za ty léta je vidět, jak se to postupně zhoršuje – nejprve jen napadání v konkrétních diskusích, pak opakované napadání konkrétních lidí, pak ruční tapetování diskusí a teď už skripty. A vždy to někdo obhajoval tím, že je to přece svoboda slova a to je to nejdůležitější a to zajišťuje svobodnou diskusi. No, tak teď už je snad každému jasné, že v diskusi je to úplně stejné, jako ve sportu – skutečnou diskusi nebo skutečné sportovní utkání nezajistí to, že se bude „hrát“ bez pravidel, ale právě naopak, funguje to jedině tehdy, pokud se pravidla dodržují.

[.]

Ani bych neřekl.

To já teda jo, ale ty tomu rozumíš, že?

[KOKOT7]

To mu ale zase nepojede ta nova CAPTCHA LOL

[ehm]

Captcha se týká jen neregistrovaných uživatelů.

[hmm]

Takže neregistrovaným nemusí vadit XSS útok zde na webu? Jo aha, to není komunita kolem abíčka, ti jsou vám u prdele, že?

[Luboš Doležel (Doli)]

Vypadá to, že tím trpí sekce Slovník a Software, a to jen v titulku objektu.

[marbu]

Hmm, taky se dívám, že html přílohy se zase posílají s content type text/html, jak už se tu kdysi dávno řešilo.

[Filip Jirsák]

Ano, to je výborný nápad, napovídat útočníkovi, co ještě může zneužít.

[KOKOT7]

Vy šulíni. Takže vy máte děravý web a vystavujete tak jeho návštěvníky riziku poškození nebo napadení jejich PC a místo abyste byli rádi že vás na to někdo upozorní, ještě budete remcat?

Vy si to fakt asi zasloužíte.

[Filip Jirsák]

Já dnes s Abíčkem nemám nic společného. Pokud by webový prohlížeč umožnil skrze webovou stránku poškodit nebo napadnout PC, je to chyba toho prohlížeče. Nevím, proč by někdo měl být rád za to, že ho někdo upozorní na něco, co už dávno ví. Jediné, na co tady upozorňujete, je to, že jste si přezdívku zvolil správně.

[hmm]

Takže pokrytci?

[Filip Jirsák]

V čem? Abíčko bylo původně komunitní portál. Zahrádkáři si taky mezi sebou věří a nemá každý svoji mrkev přivázanou řetězem, aby mu ji kolega od vedle neukradl. Akorát byla původní komunita uživatelů linuxu postupně nahrazena komunitou těch, kteří si myslí, že povoleno má být vše a odpovědnost nemá být žádná. Což je bohužel poněkud v rozporu s principem komunit nebo společenství, ale výsledky už jsou vidět dávno.

[Luboš Doležel (Doli)]

Tenhle XSS vám nepoškodí ani nenapadne PC víc než jakýkoliv jiný skript, co může někde být.

[marbu]

Vzhledem k tomu, že ten útočník už našel jinou lepší chybu, nemyslím si, že bych mu tím nějak extra pomohl. A když už tu to vlákno o XSS jednou máme, může ten můj komentář pomoct spíš někomu ze správců, kdo to bude chtít řešit. Navíc Luboš to už jednou opravil, a tak mi přijde, že opravit to znovu by mělo být jednodušší než to co se tu řeší dnes.

[Filip Jirsák]

Nikoli, útočník našel menší chybu, a teprve ta vaše nápověda by mu umožnila to pořádně využít. Nevím, jak by správcům mohlo pomoci upozornění na něco, o čem vědí. Ta chyba opravená nikdy nebyla.

[pete]

Tak to je vrchol ubohosti, pokud je to něčí zodpovědnost, tak těch, co o zranitelnosti léta věděli a nic s tím neudělali. Neházej to na druhé, zbabělče.

[Filip Jirsák]

Máte zabezpečený barák proti útoku tankem nebo třeba proti bombardování? Nebo spoléháte na to, že jsme ve střední Evropě a vyskytují se tu maximálně zloději, kteří překonají nějaký zámek, ale nesrovnají vám barák se zemí? Při zabezpečování jde vždy o to, co bude vyšší – zda náklady na zabezpečení nebo motivace útočníka. Nejlepší je to samozřejmě tam, kde si lidé mohou navzájem věřit a nemusí vyhazovat peníze na obranu.

Anonymně někoho označovat za zbabělce, to je vskutku statečný postoj.

[KOKOT7]

Koukam ze vas to hazi na root, asi vas konkurence taky miluje

[KOKOT7]

Maji vas tam za nymandy. Uz i holky z mimibazaru se vam smejou, ze tu mate XSS

[Filip Jirsák]

Nikoli. Komunita kolem Abíčka ví o tom, že Abíčko má různé bezpečnostní chyby. To vám se smějou, protože neumíte nic jiného, než bořit – a ještě si vybíráte jako cíl útoku něco, co si přátelé udělali jen tak pro sebe, takže neměli potřebu to zabezpečovat.

[sad]

Aha, takže tohle je pomsta za to TO. Nicméně podávat TO jen kvůli komentářům, to je také docela zvláštní.

Tak tahle captcha je strašná!!!!!

Inspirujte se radši ulozto.cz

[k3dAR]

jsou komentare a klmentarem petrfm za posledni rok pripagoval komunisticky/totalitni rezim, mel rasisticke,xenofobmi,urazlive komentate, nadaval jak tisic dlazdicu, podnecoval k nenavisti.., kdyz ale se zacal psychycky hroutit a zaclob sen to stupnova?? ze to zlehcujes je tvuj problem...

[sad]

Snad to TO podával někdo gramotnější...

[sad]

Tohle psal falešný sad.

[k3dAR]

moje (ne)gramotnost nema nic spolecneho s preklepama na virtualni klavesnici v telefonu a ne, ja TO nepodaval...

[pc2005]

Ten XSS se dá brát jako pokus o krádež přihlašovacích údajů. V případě že by to byl adminský login, tak i třeba hesla a maily uživatelů apod.

[ehm]

Nicméně podávat TO jen kvůli komentářům, to je také docela zvláštní.

Změna v jeho chování byla natolik divná, že jsem měl podstatnou obavu o to, jak se projevuje v normálním životě (mj. s ohledem na to, že asi má děti). Já nemůžu rozlišit, jestli tu prostě jen píše sračky, nebo je nebezpečný sobě a/nebo okolí. Nedělám si iluze, že by mu za těch pár komentářů hrozil nějaký vážný postih (a ani bych z toho neměl žádný užitek). Teď už je zjevné, že nějaké duševní problémy má a můj odhad byl správný.

Mimochodem, o legitimní podání TO se tak úplně nejednalo. Upozornil jsem policii e-mailem a ta dodnes neodpověděla – ale to už není moje starost. Já udělal to, co mi přišlo, že jsem udělat měl, a dál už je to na nich. Pokud se domnívají, že to není třeba řešit, tak v pořádku. Už se nebudu muset cítit spoluzodpovědný v případě, že mu rupne v bedně úplně a začne se chovat agresivně, nebo co já vím.

[tsLnox]

Teď mě to redirectlo na ahaonline a v sekci Kdo je jsou natřískaný iframy s aha.cz nebo čím.

[robotekemil]

Nevíš kdo je tam dal a jak je možné, že tam jdou dát?

[Luboš Doležel (Doli)]

Tohle je totální minový pole. Ve zkratce jde o to, že skoro nikde ve zdrojácích Ábíčka se neescapují uživatelem zadané vstupy při jejich výpisu v šabloně, i když je to ve Freemarkeru otázka přidání ?html za proměnnou.

Všude se spoléhá na kontroly při vkládání (typu String.indexOf('<') != -1) a ty někde chybí. A pak jsou tam zrádnosti jako že Misc.filterDangerousCharacters() filtruje všelijaký nebezpečný rozsahy unicode, ale rozhodně neřeší <, takže při kontrole člověk mylně předpokládá, že to dělá něco jiného..

[Filip Jirsák]

Poslední verze Freemarkeru to má dokonce opačně, výchozí je escapování a musí se mu explicitně říct, co escapovat nemá. Pro Abíčko to bohužel není řešení, protože v uživatelských datech je i markup, akorát někde není ošetřený.

Přemýšlím, co je teď pro Abíčko lepší – zda teď nechat petrfm, aby všechny ty XSS našel, nebo ke všem vloženým skriptům doplnit vypsání nonce a zapnout CSP.

[pc2005]

Přemýšlím, co je teď pro Abíčko lepší – zda teď nechat petrfm, aby všechny ty XSS našel, nebo ke všem vloženým skriptům doplnit vypsání nonce a zapnout CSP.

Povolit v komentářích pouze "ook" a "eek" :-P

Jinak vážně: pokud to není nikde ošetřený, tak se to náhodnýma pokusama nenajde všechno. Nebo by to trvalo tak dlouho, že by tu už nikdo nezbyl.

[Filip Jirsák]

Pokud si to dobře pamatuju, naopak to na spoustě míst ošetřený je (protože např. v komentářích by lidé „škodili“ ne proto, že by chtěli útočit, ale prostě by omylem něco napsali špatně), ale na méně používaných místech to ošetřené není, protože tenkrát nikdo nepočítal s tím, že by na Abíčko někdo záměrně útočil. A překvapivě to vydrželo hodně dlouho, premiéru si teď odbyl až petrfm. Dříve to občas někdo zkusil, ale nikdy takhle se záměrem vyloženě portálu systematicky škodit. Navíc těch míst, odkud může uživatel vkládat obsah, zase není tolik. A pokud to zůstane někde na nějaké zastrčen stránce, není to takový problém – problém je hlavně ten obsah, který se generuje na hlavní stránku.

[Bedňa]

Ja to už nejaký čas riešim tak, že užívateľ môže vložiť úplne všetko a až samotné vykresľovanie stránky prevedie kontrolu. Takže sa to deje na jednom mieste a to sa už ustrážiť dá. Tak aj keď niekto nájde chybu, raz to oparvíš a máš to všade. No autori článkov, blogov a komentárov sa nemusia o nič starať a môžu pastovať priamo skripty.

Jo a ktomu čo si písal, že pred časom tu niekto XSS skúšal, ale ja som to robil ako White hat :) Teda len som na to upozornil.

[robotekemil]

Tak jako já. Nikdy jsem toho nezneužil.

[Filip Jirsák]

To je lež. Některé vaše vložené iframy nebo přesměrování jsou vidět v historii příslušných stránek.

[Filip Jirsák]

Jo a ktomu čo si písal, že pred časom tu niekto XSS skúšal, ale ja som to robil ako White hat :) Teda len som na to upozornil.

Vždyť jsem také psal „zkoušel“ a ne „škodil“. Akorát by mi jako upozornění přišlo vhodnější oznámit to správcům a ne napsat to do veřejné diskuse a doufat, že si toho někdo všimne. I když je pravda, že kdyby to nebylo ve veřejné diskusi, nenarazil bych na to a nepřipravil tu opravu, která alespoň znemožnila čtení cookies z JavaScriptu.

[Bedňa]

Tak sám vidíš, že to zabralo :) Nejak som to napísal, v kontexte diskusie a nenapdalo ma to proste dať napr. Dolimu, pretože to je asi posledný človek, ktorý to tu udržuje.

[miho]

Na xxs zde na abclinuxu https://tinyurl.com/hfb3en4 a na diit https://tinyurl.com/zodzopt

jsem upozornil redakce již v dubnu minulého roku. Byl jsem poslán do prdele (ne doslova ale de facto ano) tak jsem to jen zveřejnil na svém twitteru a dál neřešil.

[pc2005]

To se vezme rovnou HTML v URL? o_O

[Luboš Doležel (Doli)]

To URL se dostane do exception message a ta se v šabloně se dále neescapuje, takže se dostane v nezměněné podobě do HTML kódu stránky. Opraveno.

[robotekemil]

Necháváš si za ty opravy platit, nebo to děláš zdarma?

[pc2005]

Jo takhle. Tak dík za opravu .

[robotekemil]

Webové aplikace nebudou tvůj šálek kávy, viď?

[ehm]

alert=1

[robotekemil]

LOL