Hacking Friendster, Parte IEDITOR DA NOTA: Tenho postado estes hacks na esperança de divulgação de falhas de segurança e forçando as redes para fechá-las. Por favor, não me mande e-mail, mensagens de myspace, friendster ou mensagens me pedindo para gastar o meu tempo livre que ajuda você duplicar este hack. Ambos Myspace e Friendster ter modificado seus locais suficiente para que estes hacks não funcionam mais.
Além disso, este artigo continha muito mais do que informações suficientes para duplicar estes hacks (quando trabalhavam), e ainda contém informações suficientes para construir hacks semelhantes hoje. Se você não entender como fazer hacks semelhantes, considere fazer sua própria investigação. Se você quer minha ajuda CGI aprendizagem e DHTML /JavaScript, estou disponível como um contratante independente e instrutor a uma taxa de US $ 60 /hr.
Se você entrar em contato comigo pedindo ajuda em roubar informações pessoais de outras pessoas que irá encaminhar seu e-mail para pessoa contato abuso da rede social relevante, e recomendar que eles desativar seus account.This é o primeiro de uma série de artigos que expõem falhas de segurança na vida social redes. Os dois hacks aqui descritas são cross-site scripting perfil attacks.My Friendster tem um link para a minha página inicial.
E a minha página inicial tem um iframe incorporado nela, que usa uma seqüência de get a chamar de "Encaminhar este perfil para outro usuário" função de friendster.In outras palavras, carregando minha página, o navegador carrega uma página que envia um e-mail para mim , através do serviço Friendster. Este e-mail contém: o seu primeiro e último nome, o e-mail que você usou para se inscrever para Friendster, Friendster seu user-id, e um link que eu possa usar para se inscrever para o Friendster e automaticamente tornam-se seu amigo.
Não há nenhum registro deste em qualquer lugar na sua conta Friendster; é totalmente invisible.Here está o código em minha página inicial: Aqui está uma amostra do que é enviado no e-mail: Matt Chisholm transmitiu um perfil de usuário para você de rede Matt'spersonal em Friendster.Matt é de 27 em San Francisco, você CA.If Friendster é um membro, você pode ver o perfil de Matt byclicking abaixo: http:? id = 229243If //www.friendster.com/user.jsp você não é um membro do Friendster ainda, você pode juntar-se Friendster byclicking abaixo: http: //www .friendster.com /join.
jsp? inviteuser = 229243Friendster é uma comunidade online que conecta pessoas através de amigos networksof para namoro ou fazer novo friends.Once você se juntar a Friendster, você será conectado automaticamente a yourfriend Matt, e todos friends.Friendster de Matt é inadvertidamente impermeável a este ataque, no entanto, uma vez que são muitas vezes desconectado dentro de momentos de login, e quando você com êxito permanecer ligado, o site é demasiado lento ou por esse ponto meu perfil não está mais em sua "rede pessoal .
"As falhas de segurança no Myspace, embora tenham começado melhor, são muito mais profundas. Por um longo tempo, eles permitiram a entrada HTML livre em todos os campos, e eles ainda permitir algum HTML entry.For um longo tempo, você poderia incorporar uma imagem em seu perfil do Myspace, que chamado outra função Myspace, para que efetivamente poderia causar uma visualização do usuário seu perfil (ou qualquer coisa com o texto que você criou) para executar qualquer função Myspace com seu próprio parameters.
In estes dias inebriantes do Myspace hackability, Jonathan e eu criei alguns hacks myspace interessantes, que ele vai descrever em uma post.At mais tarde algum ponto , alguém no Myspace sensatas, e parou de pedidos permitindo HTTP GET, e então eles na lista negra as tags e, acrescentou o javascript para ter suas páginas para evitar que sejam carregados em quadros, e em pelo menos um ponto, alguém removido um hack do meu perfil. (Além disso, por algum motivo eles não permitem # caracteres no texto.) Myspace não foi completamente fechada suas falhas de segurança, no entanto.
As numerosas manipuladores de eventos javascript ainda são permitidos, e por isso são as tags de imagem, assim que você pode incorporar uma imagem de 1x1, e executar JavaScript arbitrário na imagem load.My javascript de escolha tenta registrar quem está vendo o meu perfil, enviando o conteúdo do função launchIC, que contém o UID do espectador, e todos os seus cookies do navegador, para php no meu site que envia para o e-mail me.
The eu recebo olhares como este (que você pode ver meu ID de usuário lá sendo atribuído a memberID, eo cookie conteúdo varia muito, dependendo do que o usuário tem vindo a fazer): vista myspace fromIMREQUESTCHECK = {ts '2004-02-05 00:43:03'} MYUSERINFO = M) NOMP_; R2P6% P]>