Συστατικά

Μια φωτογραφία που μπορεί να κλέψει τον λογαριασμό σας στο Facebook

Εισβολή σε λογαριασμό Facebook χωρίς τον κωδικό πρόσβασης (Session Hijacking+Cookie Stealing)

Εισβολή σε λογαριασμό Facebook χωρίς τον κωδικό πρόσβασης (Session Hijacking+Cookie Stealing)
Anonim

Στη διάσκεψη για την ασφάλεια των υπολογιστών Black Hat στο Λας Βέγκας την επόμενη εβδομάδα, οι ερευνητές θα παρουσιάσουν λογισμικό που έχουν αναπτύξει και θα μπορούσαν να κλέψουν διαδικτυακά διαπιστευτήρια από χρήστες δημοφιλούς ιστοτόπου όπως το Facebook, το eBay και το Google. Η επίθεση βασίζεται σε ένα νέο είδος υβριδικού αρχείου που μοιάζει με διαφορετικά πράγματα σε διαφορετικά προγράμματα. Με την τοποθέτηση αυτών των αρχείων σε ιστότοπους που επιτρέπουν στους χρήστες να φορτώνουν τις δικές τους εικόνες, οι ερευνητές μπορούν να παρακάμψουν τα συστήματα ασφαλείας και να αναλάβουν τους λογαριασμούς των surfers που χρησιμοποιούν αυτούς τους ιστότοπους.

"Έχουμε καταφέρει να βρούμε Java applet που για όλες τις προθέσεις και τους σκοπούς είναι μια εικόνα », δήλωσε ο John Heasman, αντιπρόεδρος της έρευνας στο NGS Software.

Ονομάζουν αυτό το είδος αρχείου ένα GIFAR, μια συστολή του GIF (μορφή ανταλλαγής γραφικών) και του JAR), οι δύο τύποι αρχείων που είναι αναμεμειγμένοι. Στο Black Hat, οι ερευνητές θα δείξουν στους συμμετέχοντες πώς να δημιουργήσουν το GIFAR παραλείποντας μερικές βασικές λεπτομέρειες για να αποτρέψουν την άμεση χρήση τους σε οποιαδήποτε εκτεταμένη επίθεση.

Στον διακομιστή Web, το αρχείο μοιάζει ακριβώς με ένα αρχείο.gif, Ωστόσο, το εικονικό μηχάνημα Java του προγράμματος περιήγησης θα το ανοίξει ως αρχείο αρχείου Java και στη συνέχεια θα το εκτελέσει ως μικροεφαρμογή. Αυτό δίνει στον επιτιθέμενο την ευκαιρία να εκτελέσει κώδικα Java στον περιηγητή του θύματος. Από την πλευρά της, ο περιηγητής αντιμετωπίζει αυτό το κακόβουλο applet σαν να γράφτηκε από τους προγραμματιστές του ιστότοπου.

Εδώ είναι πώς θα λειτουργήσει μια επίθεση: Οι κακοί θα δημιουργήσουν ένα προφίλ σε μία από αυτές τις δημοφιλείς τοποθεσίες Web - για παράδειγμα το Facebook - και να ανεβάσετε το GIFAR τους ως εικόνα στην περιοχή. Τότε θα έπαιρναν το θύμα να επισκεφτεί μια κακόβουλη ιστοσελίδα, η οποία θα έλεγε στον περιηγητή του θύματος να ανοίξει το GIFAR. Σε αυτό το σημείο, η μικροεφαρμογή θα τρέξει στο πρόγραμμα περιήγησης δίνοντας στους κακούς πρόσβαση στο λογαριασμό του θύματος στο Facebook

Η επίθεση θα μπορούσε να λειτουργήσει σε οποιονδήποτε ιστότοπο που επιτρέπει στους χρήστες να φορτώνουν αρχεία, πιθανώς ακόμη και σε τοποθεσίες Web που χρησιμοποιούνται για μεταφόρτωση οι κάρτες τραπεζικών καρτών ή ακόμα και το Amazon.com, λένε

Επειδή οι GIFAR ανοίγουν από την Java, μπορούν να ανοίξουν σε πολλούς τύπους browsers.

Υπάρχει όμως ένα catch. Το θύμα θα πρέπει να συνδεθεί στον ιστότοπο που φιλοξενεί την εικόνα για να λειτουργήσει η επίθεση. "Η επίθεση θα λειτουργήσει καλύτερα όπου και αν αφήσετε τον εαυτό σας συνδεδεμένο για μεγάλες χρονικές περιόδους", δήλωσε ο Heasman.

Υπάρχουν μερικοί τρόποι με τους οποίους η επίθεση GIFAR θα μπορούσε να αποτραπεί. Οι ιστότοποι θα μπορούσαν να βελτιώσουν τα εργαλεία φιλτραρίσματος τους έτσι ώστε να εντοπίζουν τα υβριδικά αρχεία. Εναλλακτικά, η Sun θα μπορούσε να σφίξει το περιβάλλον εκτέλεσης Java για να αποτρέψει κάτι τέτοιο. Οι ερευνητές αναμένουν ότι η Sun θα καταλήξει σε μια λύση που δεν θα διαρκέσει πολύ μετά τη συζήτηση του Black Hat.

Ωστόσο, οι ερευνητές λένε ότι ενώ μια λύση Java μπορεί να απενεργοποιήσει αυτό το διάνυσμα επίθεσης, το πρόβλημα του κακόβουλου περιεχομένου που τοποθετείται στις νόμιμες εφαρμογές Web είναι πολύ ευρύτερο και πιο ακανθώδες ζήτημα. "Θα υπάρξουν άλλοι τρόποι για να γίνει αυτό με άλλες τεχνολογίες", δήλωσε ο προγραμματιστής GIFAR Nathan McFeters, ερευνητής στο Advanced Security Center της Ernst & Young.

«Μακροπρόθεσμα, οι εφαρμογές Web θα πρέπει να πάρουν τον έλεγχο το περιεχόμενο ", δήλωσε ο McFeters. "Πρόκειται για ένα πρόβλημα εφαρμογής στο διαδίκτυο. Η επίθεση της Java που χρησιμοποιούμε επί του παρόντος είναι μόνο ένα διάνυσμα."

Αυτός και οι συνάδελφοι του Black Hat παρουσιαστές έχουν δικαίωμα να μιλήσουν Το Διαδίκτυο είναι Broken. να κάνουν κάποιες θεμελιώδεις αλλαγές στο λογισμικό τους, δήλωσε ο Jeremiah Grossman, επικεφαλής της τεχνολογίας με την White Hat Security. "Δεν είναι ότι το Διαδίκτυο είναι σπασμένο", είπε. "Η ασφάλεια του προγράμματος περιήγησης είναι σπασμένη. Η ασφάλεια του προγράμματος περιήγησης είναι πραγματικά ένα οξύμωρο."