Newsgroup: it.lavoro.informatica
Titolo: Virus via OWA

Qualche giorno fa, al lavoro, mi chiedono di indagare su un utente che ha 
apparentemente inviato un'e-mail con allegato un trojan. "Nulla di strano", 
penso, avrà beccato il solito virus auto-propagante.
Ma la faccenda si fa via via più strana: l'utente si è collegato al mail 
server Exchange tramite interfaccia web (Outlook Web Access), quindi non può 
essere stato un virus sul suo computer. E dai log del web server, risulta 
aver svolto una regolare sessione di OWA, ed in particolare risulta aver 
composto manualmente il messaggio incriminato.
Sembrerebbe quindi un'azione dolosa... ma poi le cose si fanno ancora più 
strane: altri utenti hanno composto ed inviato, sempre tramite OWA, messaggi 
analoghi, con lo stesso titolo e lo stesso allegato. Inoltre, analizzando 
meglio i log, risulta che i messaggi sono stati composti nell'arco di pochi 
secondi; chiunque conosca OWA, sa bene quanto sia pesante... e come per 
comporre un messaggio ci possano volere spesso anche alcuni minuti.
Alla fine, trovo questo: 
http://www.microsoft.com/technet/security/Bulletin/MS08-039.mspx
.
Ebbene sì, signori, ecco a voi l'ultima frontiera: ti invio una mail con un 
po' di JavaScript, tu la apri da OWA col tuo bravo browser, quella prende il 
controllo della sessione e *si mette ad inviare mail a nome tuo*.
Delizioso, semplicemente delizioso.
Massimo

 Delizioso, semplicemente delizioso.
Scusa, ma tu di solito che lavoro fai?
Giusto per capire se era una trollata oppure semplice mancanza di
esperienza/conoscenza (quella che hai descritto è una banalissima
vulnerabilità XSS, 
http://en.wikipedia.org/wiki/Cross-site_scripting
;)
--
ale
http://ale.riolo.co.uk

;)
So perfettamente di cosa si tratta a livello tecnico, grazie ;-)
La cosa interessante è che qualcuno l'abbia usata per creare un virus che si 
autopropaga via webmail, creando messaggi che sembrano a tutti gli effetti 
composti a mano dall'utente connesso; ora il buco in questione è stato 
patchato, quindi lo specifico problema non si pone più, ma mi pare che siamo 
decisamente un passo avanti rispetto ai "soliti" worm per Outlook/Express.
Massimo


appero'....questa si che e' una novità!!!
ciao
fm 

 tuo*.
ultima frontiera? scusa ma finora avete vissuto in una vlan senza accesso 
ad internet?

 accesso ad internet?
Non stiamo parlando solo di far eseguire qualcosa sul compuer dell'utente, 
come in qualsiasi CSS. Stiamo parlando di un attacco specificamente mirato 
ad Outlook Web Access: lo script che parte sul tuo browser è in grado di 
interagire con OWA, usandolo per inviare mail, facendo automaticamente le 
query HTTP che il tuo browser farebbe se tu stessi componendo un'e-mail.
Per fare un paragone, è come se tramite un buco CSS su Ebay uno script dal 
tuo browser si mettesse a comprare e vendere oggetti a nome tuo; e poi ti ci 
voglio, a dimostrare a quelli di Ebay che è stato uno script e non tu.
Non è il CSS in sé che mi ha colpito, quanto l'interazione con la web 
application "bucata".
Massimo

 application "bucata".
Microsoft non mi stupisce più da anni.

puoi mettere allegati.
Scusa?
Anche con OWA devi seguire dei passaggi ben precisi per comporre un 
messaggio, inserirci un'allegato ed inviarlo... non è che fai un POST e hai 
risolto, eh.
È questa la parte che ho trovato interessante: qualcuno si è preso la briga 
di reverse-engineerizzare (parolone...) OWA per simulare le query giuste per 
comporre ed inviare messaggi con allegati tramite uno script.
Massimo

 comporre ed inviare messaggi con allegati tramite uno script.
Ti ripeto che sono certo che le query HTTP almeno da ebay vengono
monitorate da appositi strumenti che ne controllano la sintassi, pensa
solo a "bot" che potrebbero invalidare le aste. Il reverse engineering
è possibile ma molto più sgamabile. Con OWA sei tu contro il sysadmin,
che magari in quel momento dorme....
Ciao.


oggetti httprequest e parsing della pagina, nulla di complicato

 oggetti httprequest e parsing della pagina, nulla di complicato
Certo su OWA non ci vuole molto, giochi con Webscarab o qualche atro
tool e ci puoi pure arrivare. Ma su ebay, ammesso che ci riesci  (e
non ci riesci proprio facile facile...) arrivi a un punto che non puoi
automatzzare le cose così semplicemente e il parsing della pagina ti
porta a nulla. Peraltro il tuo tentativo, può essere monitorato.
Ripeto: fallo il cross site scripting su Paypal e sui siti delle
banche...