Indetectables

Lala, volví sólo para postear lo que dejé en mi Blog, ya que mantendré agregando entradas todos los días de este tipo.

Hoy charlando con un amigo en mensajería instantánea me ha mandado un link de Facebook [Enlace externo eliminado para invitados]
- Esto está algo rebuscado, ya que podremos comprender que en facebook se maneja un sistema de aplicaciones que el usuario puede agregar (Según yo sé), así que veamos que me salió al apretar este link:


¿WTF?

Vale, veamos más de cerca:


Bueno, esto me parece un poco extraño, ya que una foto no lleva *.exe, pero eso no me importa lo que importa es que se trató de descargar este archivo "photo_9640649520.exe" lo que me preocupa es que este archivo se trató de descargar en la página [Enlace externo eliminado para invitados] bueno, hecharemos un vistazo a esta página si realmente pertenece a facebook (Miren que está cómo subdominio) y sí, efectivamente pertenece a Facebook, entonces.. Mark Zuckerberg fue fuckeado¿?, recordemos que los chicos de Inj3ct0r se lo fuckearon a todo el servidor una vez, entonces me interesa saber sí es una falla, ya que no se debería de descargar y quiere decír que el atacante pudo incrustar código o algo.

Entonces observemos que dice en "Ver foto", así que pasemos a observar:



Se me ha descargado sin permiso alguno que yo le diera.., que interesante, me interesa saber dónde piqué, y efectivamente dí clic en un link:[Enlace externo eliminado para invitados] 2005.09.09_tatai_kirandulas/ images/ photo_9640649520.exe
Vaya, que interesante, parece que sí, es un atacante y el archivo se descargó. Es cómo sí yo le dijera "Descárgate porfavor" y me obedeció. Entonces analizaremos cómo esto pudo ser posible, entraré a mi cuenta en Facebook y observaré.
Entré a una app de facebook y bien me dí cuenta de la preligrosidad del problema, este no reside en una cosita pequeña, parece ser un agujero de seguridad o una artimaña:
[Enlace externo eliminado para invitados] editorial/ primeros-pasos-para-generar-aplicaciones-de-facebook/

Bueno, quisiera que dieran su opinión.

Pues no es un bug de facebook, jeje yo una vez probando puse el javafake en una app de facebook y funciona perfectamente, lo que pasa que puedes hacer que facebook te haga un como "frame" a tu sitio web entonces lo que se ve en tu sitio es lo que se ve en la app de FB realmente no es un bug de facebook como tal. Jeje

¿Facebook permite pasar una ruta con un iframe integrado a una web cualquiera? Para mi eso es un agujero enorme...

Imaginen un recurso pdf, un srcript "Espere unos momentos..." y el iframe. BOOM!

4n0nym0us escribió:¿Facebook permite pasar una ruta con un iframe integrado a una web cualquiera? Para mi eso es un agujero enorme...

Imaginen un recurso pdf, un srcript "Espere unos momentos..." y el iframe. BOOM!

Pues no es exactamente un iframe y sí puedes poner cualquier script malicioso para engañar a los usuarios pero jeje me refiero a que según yo no es un bug explotable para defacear o dañar directamente a facebook jeje más no se no soy experto en auditoría web.!

eso es un agujero negro dios mio yo no se como facebook puede tener eso

Por lo que he leido en este post, está comparable a un nivel de ataque XSS reflejado, pues puedes montarte tu propia url llamando a una web infectada, te permite ejecutar scripts y aunque ciertamente no puedas atacar directamente a Facebook, el riesgo de seguridad que se puede alcanzar con esto es bastante alto si llega a manos de un usuario cualquiera. Desde infectar con malware, hasta el robo de credenciales mediante ingeniería social.

pues vamos a robar no jajaja q no hay pasta para comer

No lo he mirado por lo alto pero el año pasado encontramos un XSS en un subdominio (creo recordar), no me extraña que haya otro, siempre digo la misma comparación, si te haces un facebook es lo mismo que poner un cartel en tu balcón poniendo tus datos (un poco más esfímero), pero prácticamente vulnerable, hablando del "bug" este, será algún XSS no persistente, bichearemos.


Gracias, y un saludo.

deck escribió:pues vamos a robar no jajaja q no hay pasta para comer

robar no, coger prestado... "ser amigo de lo ajeno"

Enigmatic escribió:hablando del "bug" este, será algún XSS no persistente

No es XSS, lo comparé por el riesgo tan similar que puede generar este tipo de ataque.

Saludos!

Bueno, aca un video muy interesante.
El audio es malisimo, pero se entiende a la perfeccion la tecnica.
[Enlace externo eliminado para invitados]

Fuente: dragonjar