IT-Арена

ОБГОВОРЕННЯ:

2012-12-13 11:08 Адміністратор:

Вікторе, а чи не хотіли б Ви узяти участь в конкурсі з IT-безпеки? :)

2012-12-21 23:55 Виктор Данилюк:

а для этого нужно отдельно регистрация? я думал я уже принимаю :)

2012-12-22 00:07 Адміністратор:

Та ви приймаєте, але не заправилами конкурсу :). Потрібно відправити на info@it-arena.org лист з описом проблеми і статтею.

2012-12-22 00:07 Адміністратор:

Почитайте будь-ласка умови конкурсу.

2012-12-22 00:17 Адміністратор:

Нам же треба якось розрізняти "хороших розумників" та "поганих розумників" :)

2012-12-22 00:30 Виктор Данилюк:

ага... если вы об этом "9. ЗАБОРОНЕНО замовчувати виявлені ураження та будь-яке їх використання з корисними цілями (маніпуляції з IT-балами, призами, рейтингом тощо)", то моей целью было "Ураження 1 рівня: отримання Адміністративного доступу, маніпуляції з файлами на сервері або отримання адмін-доступу до бази даних, тощо.", цели я достичь не успел(не было времени), а говорить об уязвимости с помощью которой я планировал получить админку нелогично так как я еще не убедился что ее можно получить. в итоге я не совсем понимаю: найдя уязвимость я должен сразу об этом говорить или сперва достичь "рівень ураження"?

2012-12-22 00:33 Виктор Данилюк:

пс это была моя первая попытка взлома сайта, в веб технологиях я не силен, поэтому хотел убедиться в результате прежде чем говорить о найденной уязвимости.

2012-12-22 00:37 Адміністратор:

Зрозуміло. Ви знайшли гарну дірочку, через яку дійсно можна було б здійснити ХSS-атаку. Ми потренувалися і змогли це зробити. Питання в тому, що є певне протиріччя - з одного боку, хочеться, щоб учасники отримували навики в безпеці, але з іншого - якщо потенційна вразливість знайдена - ми не можемо довго лишати її відкритою.

2012-12-22 00:38 Адміністратор:

Ми і так знайшли вашу фотографію випадково, коли прийшла пора відправки сертифікатів і прийшлося зайти на Вашу сторінку.

2012-12-22 00:42 Адміністратор:

Ця вразливість була доступною до широкого загалу як мінімум, декілька тижнів. Тому в подальшому, якщо вдалося знайти хоча б якусь зачіпку - робіть printscreen та фіксуйте це. Навіть, якщо Вам не вдасться зробити більше, ми самі Вам підкажемо до чого це може призвести і що потрібно зробити і класифікуємо за відповідним рівнем загрози.

2012-12-22 00:43 Виктор Данилюк:

буду иметь ввиду)

2012-12-22 00:44 Адміністратор:

А в даному випадку, треба було вставляти не php-код, а js. наприклад: " onclick= "alert(document.cookie)"

2012-12-22 00:55 Виктор Данилюк:

хм)) ну alert(1) я вставлял и выглядело забавно, что с этим можно было сделать не знал)

2012-12-22 01:01 Адміністратор:

Спробуйте просту вправу - додайте плагін у браузер, який буде показувати та редагувати cookies. Після цього відкрийте якийсь сайт, наприклад IT-Арену та збережіть значення cookies. Після цього відкрийте інший браузер або інший комп`ютер як незареєстрований користувач. Після цього додайте в браузер збережені coockies та оновіть сторінку(там теж повинен бути плагін для редагування cookies). Потім розкажете що у вас вийшло :)

2012-12-22 01:02 Адміністратор:

Коли ви зрозумієте, як працюють cookies, тоді стане зрозумілим для чого їх "крадуть" через XSS.

2012-12-22 01:23 Виктор Данилюк:

воровал куки я еще в школьные годы, был опыт)))) просить админа зайти в мой профиль?) в моем видении это как то глупо: "я тут ваш сайт ломаю, поможете?")) но, да так можно)

2012-12-22 01:27 Адміністратор:

Якщо такий спосіб вам вже не цікавий - шукайте інші :)

2012-12-22 01:30 Виктор Данилюк:

ага, у меня есть несколько мыслей, но нужно знакомство с типичными серверными алгоритмами(чем займусь после сессии)) пока что ничего не делаю, но когда найду дыру сразу сообщу.

2012-12-22 01:32 Адміністратор:

Домовилися!