Некритическая уязвимость сайта.

[DDD]

Здравствуйте.



Пишу сюда впервые, хоть и на @дневниках нахожусь далеко не первый день - теперь появился повод - так что извините, если делаю что-то не так.



Дело в том, что я обнаружил небольшую уязвимость, позволяющую с достаточно большой долей вероятности получить доступ к чужому дневнику. Скорее это даже не уязвимость, а небольшая недоработка, которую забыли устранить.

В результате я написал две программы, построенных на одном принципе, но дающих разный результат и позволяющие получить пароль к дневнику - выбранному или случайному.



Описание этой уязвимости, а также обе программы вместе с исходными кодами я готов немедленно выслать Администрации сайта на е-мейл, просто не совсем уверен, к кому обратиться по этому поводу, поэтому обращаюсь здесь.



Также, раз уж пишу сюда, хотя и не знаю, известно ли это широкой @дневниковской общественности, имеется возможность зайти на этот сайт сразу под двумя (и даже более) логинами.

Эта информация может быть полезна для модераторов сообществ, которым приходится довольно часто перерегистрироваться на сайте. Кому интересно, вот мой уже довольно старый пост под названием "Хроники капитана Кука: как зайти на этот сайт сразу под двумя именами." (не сочтите за саморекламу).



Спасибо за внимание.



P.S. Описание уязвимости, а также упомянутые программы вышлю только Администрации.

Comments

[~Kitty~]

имеется возможность зайти на этот сайт сразу под двумя (и даже более) логинами. - далеко не всегнда и не на всех системах это получается. Многое зависит от настроек браузера и cookie

[DDD]

~Kitty~, не буду спорить. С дефолтными настройками этот способ работает, а менять уровень конфедициальности в браузере обычный пользователь вряд ли будет.

[~Kitty~]

D_D_D: я ничего не меняла изначально, но у меня не срабатывает такое... Раньше - срабатывало, а теперь - нет...

[DDD]

~Kitty~, а какие у тебя за браузеры?

[~Kitty~]

D_D_D: IE 6.0

[DDD]

~Kitty~, а второй-то какой?

[ArLe]

D_D_D, на главной странице есть ссылка "е-мейл администратору".

[нос]

Уважаемый D_D_D, администрация заинтригована и с нетерпением ждет вашего письма на E-mail или U-mail — слева в меню на всех служебных страницах (кроме самих дневников) есть ссылки для писем администрации.

[DDD]

ArLe, нос, дело в том, что я слышал, что письма на этот адрес часто не доходят. Ок, уже отправил.



Вы, я так понимаю, администраторы. Если Вас не затруднит, ответьте, пожалуйста на один вопрос: Когда же Вы спите???

:-)

[нос]

D_D_D, спим по очереди.

Специально для этого выбросили все кровати, кроме одной ))



Вы немного путаете, письма на инфо-дайри-ру доходят всегда.

[ArLe]

D_D_D, все доходит. На всякий случай напиши в заголовке, что это от тебя. Прямо сейчас можешь отправить.



у меня 3 часа дня :P

[DDD]

нос спим по очереди. Специально для этого выбросили все кровати, кроме одной



Правильно, не надо людей провоцировать:) Хотя тут небольшая уязвимость есть:) Разнополый персонал может попытаться спать парами;-)



Как же я Вас понимаю... Ибо сам админ с таким же примерно графиком.



ArLe, отправил вместе с предыдущим комментарием (01:55), тема "некритичекая уязвимость", письмо имеет вложение примерно 85 кб и подписано ЭЦП. Вы получили?



Так у Вас команда что... интернациональная?..

[DDD]

Кстати, пользуясь случаем, хотел бы обратиться к своим коллегам-программистам.

Народ уже давно просит нового оффлайнового клиента, а поскольку у Администрации и без этого сейчас проблем более чем предостаточно, почему бы не собраться группе программеров и на добровольных началах не написать нового @клиента?



Я когда-то пытался начать делать это сам, но потом забросил проект, также, как и когда-то забросил программу для сохранения на диск чужих дневников - сказалась нехватка времени даже на естественные потребности организма:) Да и проект получится довольно трудоемким, одному его по вечерам писать придется несколько месяцев, а групповая разработка - совсем другое дело.



Проснифанные запросы нынешнего @клиента, а также ответы на эти запросы сервера @дневников у меня есть, кому нужно, могу выслать. Одно "но" - Администрации необходимо будет ввести хеширование в скрипт, обслуживающий @клиента и сообщить алгоритм хеширования группе разработчиков. Думаю, тут можно ничего не придумывать, а воспользоваться стандартной Win32Api, имеющей достаточную для таких целей криптостойкость.

[Re@nimator]

D_D_D, изначальная идея было создать клиент силами наших штатных программистов и выложить "официальную" версию. После чего открыть исходники, и пусть группы программеров и одиночные программеры делают свои варианты.

Но мы задумались, спасибо)

[баянолог]

D_D_D необходимо будет ввести хеширование в скрипт



*подавился* нахрена?



Win32Api с этого момента поподробнее, пжалста. что именно вы предлагаете.



я вот, к примеру, тоже вынашиваю планы по написанию нового клиента. с интересом выслушаю ваши предложения.

[DDD]

Re@nimator После чего открыть исходники, и пусть группы программеров и одиночные программеры делают свои варианты.



На мой взгляд, открывать исходники на всеобщее обозрение можно лишь будучи уверенными в достаточной надежности скрипта, обслуживающего @клиента. Хотя, кому надо, может просто проанализировать трафик сниффером, как это сделал я.



Кроме того, @дневники может завалить всевозможными клиентскими клонами, имеющими в плюсе некоторые дополнительные заманчивые и полезные функции, достаточные для привлечения большого количества пользователей, но и так же имеющие минус в виде троянов, засаженных в этих самописных клиентов недобросовестными авторами.



И файрвол в данном случае не спасет, потому что легко сделать так, чтобы затрояненный @клиент отправлял логин и пароль жертвы на у-мейл автора, что не будет выходить за рамки правила, назначенного файрволу для @клиента. В этом случае автор может даже не утруждать себя никакими нововведениями, за исключением затроянивания, а просто написать в спецификации, что это "самый быстрый и защищенный клиент" - все равно пока не попробуешь, не узнаешь, а попробуешь - прощай логин и пароль.



Условие обязательного открытия исходного кода каждой неофициальной самостоятельной версии дело не спасет, потому что не все обладают достаточными знаниями, чтобы скомпилировать из него исполняемый файл, да и достаточно трудно искать трояна в горах чужого кода, даже если хорошо разбираешься в языке.

[DDD]

баянолог необходимо будет ввести хеширование в скрипт

*подавился* нахрена?



Я раскрою необходимость этого только с согласия Администрации. Поверьте на слово, хеширование необходимо.



Win32Api с этого момента поподробнее, пжалста. что именно вы предлагаете.



Я не очень силен в Api, и по памяти не могу точно сказать, какая библиотека выполняет хеширование, если хотите, дома посмотрю, но знаю точно, что такая библиотека в стандартную поставку Windows на ядре NT входит. В крайнем случае, можно будет написать алгоритм самому.



я вот, к примеру, тоже вынашиваю планы по написанию нового клиента.



Если предложения по сотрудничеству - первый вопрос, на каком языке Вы пишете? Я на VB 6.0 (просьба "крутых программеров" оставить басик в покое, какая разница, на чем пишешь, лишь бы работало), немного знаю С++ и Delphi.



Если предложения по улучшению функциональности @клиента, то это, скорее, не ко мне, а к пользователям:-))

[Re@nimator]

D_D_D, чем дальше - тем логичнее) Задумались еще больше...

Осталось найти "группу разработчиков"?

[баянолог]

Я раскрою необходимость этого только с согласия Администрации

Администрация ну пожалуйста, дайте своё согласие!



Поверьте на слово, хеширование необходимо. Обоснуйте.



если хотите, дома посмотрю не хочу. впрочем, хочу. вам это будет очень полезно. по крайней мере, поймете для чего нужно хеширование.



акая разница, на чем пишешь, лишь бы работало поверьте, разница все же есть =)

[DDD]

Re@nimator Осталось найти "группу разработчиков"?



За разработчиками, я думаю, дело не станет, если разрешите им About смастерить на свое усмотрение:))



баянолог, я попрошу Вас не провоцировать меня на грубость и воздержаться от своих язвительных замечаний. Если интересуетесь API, то загляните на MSDN.com, где можно почерпнуть интересующую Вас информацию в первозданном виде. Мне пока достаточно имеющихся у меня скромных знаний, которые я пополняю по мере необходимости. Также, если мой пост/комментарий задел Ваше самолюбие, хочу уточнить, что на лавры профессионального программера я не претендую и пишу на том языке, который для меня удобен и который изучал несколько лет.

[баянолог]

D_D_D что на лавры профессионального программера я не претендую

вобщем-то и правильно делаете. кстати, и на лавры специалиста по защите информации тоже не претендуйте. это очень смешно выглядит.



мне пока достаточно имеющихся у меня скромных знаний

угу. вот поэтому и изучал несколько лет.



и пожалуйста, поменьше пафоса. это тоже очень смешно выглядит.

[DDD]

баянолог, я не собираюсь подтверждать перед Вами квалификацию в своих способностях как в программировании, так и в администрировании/защите информации, равно как и состязаться с Вами в остроумии, засоряя пост.



угу. вот поэтому и изучал несколько лет.



Это мое личное дело, программирование - мое хобби и лишь небольшая часть основной работы. И я бы воздержался от заявлений, что какой-то современный визуальный язык программирования можно досконально изучить за короткое время (именно хорошо изучить, а не нахвататься верхов в виде синтаксиса и основных операторов). Если Вы считаете себя профессиональным программером, то и флаг в руки, вот и займитесь написанием @клиента, мы посмотрим, что из этого получится, а х@ями меряться я здесь не собираюсь.



и пожалуйста, поменьше пафоса. это тоже очень смешно выглядит.



Не нравится - не читайте. Отныне я буду отвечать только на конструктивные предложения и вопросы Администрации.

[Tzota]

1) >>Если Вы считаете себя профессиональным программером, то и флаг в руки, вот и займитесь написанием @клиента, мы посмотрим, что из этого получится



2) >>когда-то забросил программу для сохранения на диск чужих дневников - сказалась нехватка времени даже на естественные потребности организма Да и проект получится довольно трудоемким, одному его по вечерам писать придется несколько месяцев, а групповая разработка - совсем другое дело.



Отец, если ты 40-минутную программу с 1 http соединением и парой регэкспов собирался писать несколько месяцев, то сколько у тебя займёт написание клиента?

[баянолог]

D_D_D в том то и дело, что нравится =) я просто чуть не ссусь под себя.

кстати, зачем закрыл дневник от меня, а? ,) ведь час назад всё было открыто. или "обидели барсучонка, написали в норку"?



я не собираюсь подтверждать перед Вами квалификацию в своих способностях как в программировании

а и не надо. осла выдают уши, а не генетическая экспертиза с последующей выдачей бумажки



сли Вы считаете себя профессиональным программером, то и флаг в руки, вот и займитесь написанием @клиента, мы посмотрим, что из этого получится

на слабо берете, товарищ начальник? ,)))



равно как и состязаться с Вами в остроумии, засоряя пост

а на мой взгляд все вполне адекватно - на смешной пост смешные комменты.



rtfm ,)

[нос]

D_D_D, мы получили ваше письмо, большое спасибо. В принципе, вы автоматизировали процесс подбора паролей. Теперь юзерам, которые продолжают регистрировать в качестве пароля слишком легкие комбинации, жить в дневниках станет хуже. Хуже станет и тем, кто общается с ними, но не знает, что они идиоты настолько, потому как вы сможете выдать себя за любого идиота, у которого был легкий пароль.



Мы подумаем как поступить, и скорее всего, по доброте душевной опять возьмем на себя функцию защиты слабоумных.



В любом случае большое спасибо вам за помощь!

[Anabioz]

Tzota и баянолог, что это с вами? На пустом месте-то?

[DDD]

Tzota, под выражением "писать несколько месяцев" подразумевалось как раз написание клиента, Вы невнимательно прочитали комментарий. Под написанием программы я имею ввиду также стадии тестирования и отладки, работа с тестерами тоже отнимает опередленное время. Замечу еще раз, что программирую я не по служебной необходимости исключительно в свободное от работы время, которого у меня и так не фонтан сколько.



Честно говоря, вообще уже сильно пожалел о том, что связался с этим делом. Здесь, судя по всему, имеется весьма внушительный штат программистов, занимающихся безопасностью сайта, вот пусть и разбираются.



Только это не совсем честно по отношению к рядовым пользователям, дневники которых реально взламывают.



Комментирование этого поста я закрыл.