Newsgroup: it.comp.sicurezza.varie
Titolo: IE and URL Spoofing...

Hi
Questa e' una interessante 'feature' di Interent explorer. Questo buco o
baco e' la conseguenza di come IE mostra gli URL nell'address bar.
Un attacker potrebbe nascondere il vero URL attraverso l'uso del carattere
0x01 dopo '@'.
IE non mostra il resto dell'URL facendo apparire la pagina proveniente da un
domain diverso.
http://www.zapthedingbat.com/security/ex01/vun1.htm
Seeya
K

 0x01 dopo '@'.
non e' una novita' e la @ fa quella stessa funzione su tutti i browser..
che poi sia visibile o meno quel che c'e' dopo non e' poi cosi' rilevante
perche' (1) tutti buttano appena l'occhio e non stanno a leggere le url e
(2) si possono fare vari scherzi tra cui codificare la parte di url dopo @
per renderne piu' ardua la lettura.. anzi si puo' codificare pure la @! se
poi consideri che chiunque puo' registrare un dominio farlocco molto
simile all'originale per beccare gli errori di ortografia (il caso di
disney.com
 con un fake tipo 
disnei.com
 e' finito pure sui giornali) direi
proprio che questo e' l'ultimo dei problemi.
diciamo invece che il vero problema ce l'ha chi si fa fregare da queste
cose, viene diretto su home banking tarok e senza verificare certificati o
altro fa un bel login regalando i propri dati all'illustre chissacchi'.
comunque se questo convincesse qualcuno a buttare ie allora SI!! E' UNA
DEBOLEZZA GRAVE E OCCORRE PASSARE A MOZILLA (non cambia molto a riguardo
ma almeno si evitano altri veri problemi).
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip

 ma almeno si evitano altri veri problemi).
Questo e' in parte vero, considerando che ci sono ben 31 vulnerabilita' in
IE non ancora risolte. Tuttavia non sottovaluterei questo bug. Usato a
mestiere puo' creare serii problemi.
K
--
"La disumanità del computer sta nel fatto che, una volta programmato
e messo in funzione, si comporta in maniera perfettamente onesta" Isaac
Asimov

 anzi si puo' codificare pure la @! 
Non da RFC: la codifica deve avvenire sulla url, esclusi i delimitatori
di campo. Se il browser decodifica ed interpreta anche la chiocciola, si
tratta di un comportamento non conforme.
-- 
*                 HappyCactus - Linux User #209744                 *
*           27/11/2003 Rilaciata la prima relase di qixl!          *
*    
http://sourceforge.net/projects/qixl
 : una gui per iSiloXC    *
*  
www.google.com
 / 
groups.google.com
 : cercare prima di chiedere  *

 ma almeno si evitano altri veri problemi).
Heheh vero, io sto facendo opera di conversione, e molti che si ritrovano
senza preoccuparsi di problemi vari sono abbastanza soddisfatti :)
-- 
| /
| \Byte - Andrea Briganti - kbytesys(aaattt)
tiscali.it
CSLug member: 
http://cslug.linux.it
 - JID: 
kb...@jabber.linux.it
***Berlusconi: Il conflitto di interessi? Non esiste! (E' tutto mio)

 Addirittura questo vale anche su IE on OS X.
mi son spiegato male: e' la chiocciola che fa da sempre quella funzione
mentre il carattere che nasconde tutto su ie e' un'esclusiva ms di cui non
mi preoccuperei molto.
alla fine a me truffatore non frega niente se tu e altre 1000 persone vi
accorgete che una url e' taroccata perche' mi basta UN pollo per fare un
po' di soldi e andare in vacanza per un anno!


 
disney.com
 con un fake tipo 
disnei.com
 e' finito pure sui giornali)
C'e' anche goggle.
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 222WU/1.01yrs now on Athlon 2.2+ :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

0x01 dopo '@'.
Prima, non dopo. Anche perche' se no si vedrebbe il @.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

perche' (1) tutti buttano appena l'occhio e non stanno a leggere le url
Il problema e' che qui ti ritrovi su "
http://www.dominioregolare.com
", e
anche se leggi l'URL...
Uso possibile (per dire):
	- cracko un sito di e-commerce di questi cosi' alla buona
	  fatti con $POPULAR_BUGGED_SOFTWARE
	- sostituisco il link alla pagina di $FAMOUS_E_BANK cosi'
	  che ridiriga alla mia pagina
	- attuo un doppio spoofing nei confronti dell'utente, con
	  il trucco b@stardo, e della banca mediante slave script
	  messo li' ad hoc
	- faccio andare a buon fine la transazione ma, nel farlo,
	  mi copio i dati della carta di credito
Alla fine:
* La banca e' contattata da IP_di_DominioRegolare e non sospetta nulla
	- non si accorge di una leggera differenza nel REFERER
	  (pay_cart.php anziche' paycart.php)
	  (social engineering: paycart2003.php, paycart_ok.php)
	  [evitabile mediante modifiche piu' estese]
* Il cliente riceve la merce e l'addebito e non sospetta nulla
	* A meno che abbia qualche incredibile proxywall mai visto, in
	  grado di riconoscere la transazione commerciale, ed impedire
	  i collegamenti normali
* Il negozio di e-commerce non nota gli indizi:
	- il file paycart.php modificato 
	- la presenza di paycart_ok.php [evitabile, v. sopra]
	- traffico entrante e richieste anomale di paycart.php senza
	  il REFERER che ci si attenderebbe [evitabile] e/o senza la
	  giusta chiave di sessione
	! Ma esistono i proxy, anche anonimi
	! Ma normalmente l'unico che se ne puo' accorgere e' appunto
	  paycart.php, che a quel punto e' passato al nemico. A meno
	  di installare un modulo validatore regexp dentro Apache.
Poi, dopo due mesetti, il cliente riceve vari altri addebiti e, a quel
punto, quando e' troppo tardi, sente il frizzģo rivelatore al baugigi.
Gli utenti Linux (che non usano Explorer, quindi sono immuni) hanno la
possibilita' di stiacciare con infamia gli URL contenente %01%40 nelle
loro varie incarnazioni (almeno sei, credo - ma comunque io stiaccerei
qualsiasi cosa contenga non-ASCII [1])
Leonardo
[1] ma, se me la volete menare un'altra volta come con le ACL postfix,
    vi dģo fin d'ora che no, no! Il non-ASCII va benissssssimo, che ci
    mancherebbe altro! Io scherzavo, celiavo, sono stato frainteso!


qualsiasi cosa contenga non-ASCII [1])
E per chi usa Opera?

 Prima, non dopo. Anche perche' se no si vedrebbe il @.
Ops!, infatti.




Opera ti avverte che qualcuno fa lo scherzo del @ :-)
Leonardo


Leonardo
M'hai fatto venire le paranoie :)
Ciao