Komponenter

Framstående webbplatser har visat allvarlig kodfel

Vad betyder ordet tröst - utryck, synonymer och användning (textad)

Vad betyder ordet tröst - utryck, synonymer och användning (textad)
Anonim

Två akademiker i Princeton University har hittat en typ av kodningsfel på flera framstående webbplatser som kan äventyra personuppgifter och i ett oroväckande fall, tömma ett bankkonto.

Typ av fel, kallad begäran på begäran på begäran (CSRF) tillåter en angripare att utföra handlingar på en webbplats på uppdrag av ett offer som redan är inloggat på webbplatsen.

Fel i CSRF har i stor utsträckning ignorerats av webbutvecklare på grund av bristande kunskap, skrev William Zeller och Edward Felten, som författade ett forskningsblad om deras resultat.

[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]

Felet hittades på The New York Times webbplatser. ING Direct, en amerikansk sparbank Googles YouTube; och MetaFilter, en bloggwebbplats.

För att kunna utnyttja en CSRF-fel måste en angripare skapa en speciell webbsida och locka ett offer till sidan. Den skadliga webbplatsen är kodad för att skicka en tvärsändningsförfrågan via offrets webbläsare till en annan webbplats.

Tyvärr är det programmeringsspråk som ligger till grund för Internet, HTML, enkelt att göra två typer av förfrågningar, vilka båda kan vara som används för CSRF-attacker, skrev författarna.

Det faktum pekar på hur webbutvecklare driver programkuvertet för att designa webbtjänster, men ibland med oavsiktliga konsekvenser.

"Grunden till CSRF och liknande sårbarheter ligger troligen i komplexiteten i dagens webbprotokoll och den gradvisa utvecklingen av webben från en datapresentationsanläggning till en plattform för interaktiva tjänster, "enligt papperet.

Vissa webbplatser ställer in en sessionidentifierare, en information som lagras i en kaka, eller en datafil i webbläsaren, när en person loggar in på webbplatsen. Sessionidentifieraren kontrolleras, till exempel, genom ett online-inköp, för att verifiera att webbläsaren engagerade i transaktionen.

Under en CSRF-attack skickas hackerens begäran genom offrets webbläsare. Webbplatsen kontrollerar sessionsidentifieraren, men webbplatsen kan inte kontrollera för att förfrågan kommer från rätt person.

CSRF-problemet på The New York Times webbplats, enligt forskningsdokumentet, tillåter en angripare att skaffa sig e-postadressen till användaren som är inloggad på webbplatsen. Den adressen kan då potentiellt spammas.

Tidnings webbplats har ett verktyg som låter inloggade användare e-posta en historia till någon annan. Om besökaren besöker offeret skickar hackarens webbplats automatiskt ett offer genom offerets webbläsare för att skicka ett e-postmeddelande från papprets webbplats. Om destinationsadressens e-postadress är densamma som hackaren kommer offrets e-postadress att avslöjas.

Den 24 september var felet inte löst, trots att författarna skrev att de anmälde tidningen i september 2007.

ING: s problem hade mer alarmerande konsekvenser. Zeller och Felten skrev CSRF-felet tillät ett extra konto som skulle skapas på uppdrag av ett offer. En angripare kan också överföra ett offrets pengar till eget konto. ING har sedan fixat problemet, skrev de.

På MetaFiles webbplats kunde en hacker få ett personlösenord. På YouTube kan en attack lägga till videor i en användares favoriter och skicka godtyckliga meddelanden på användarens vägnar, bland andra åtgärder. På båda sidorna har CSRF-problemen blivit fixade.

Lyckligtvis är CSRF-brister lätt att hitta och lätta att fixa, vilket författarna ger teknisk information i sitt papper. De har också skapat en Firefox-tillägg som försvarar vissa typer av CSRF-attacker.