Уразливість на kiev.afisha.ua

23:57 27.11.2008

Про уразливості на afisha.yandex.ru я вже писав, а зараз розповім про дірку на іншій афіші - kiev.afisha.ua.

У січні, 23.01.2008, я знайшов Cross-Site Scripting уразливість на проекті http://kiev.afisha.ua. Як раз перед тим, як дати інтерв’ю для Афіши ;-) .

Враховуючи, що з другої половини 2007 року Бігмір використовує на своїх сайтах WAF (про що я згадував стосовно уразливості на dnevnik.bigmir.net та інших дір на їхніх сайтах), то я розробив XSS код, що обходить їхній WAF. Даний метод обходу фаєрволів я вже використовував, зокрема на korrespondent.net.

XSS:

Але як я виявив деякий час тому, дана уразливість вже не працює, бо WAF блокує дану атаку. Бо після повідомлення Бігміру про дірку на korrespondent.net, вони замість виправлення численних дір на своїх сайтах (які я регулярно знаходжу), вирішили зробити так само як і раніше - додали нове правило в WAF. Щоб одразу для всіх сайтів “вірішити” цю проблему.

Попереджав я їх (і багатьох інших любителів ВАФів), що обходяться WAF. Тому дірки треба виправляти, бо інакше вони будуть знову використані, після обходу ВАФу. І я розробив для сайта kiev.afisha.ua XSS код, що обходить WAF.

XSS (IE, Opera, Chrome):

Даний метод обходу фаєрвола працює в більшості браузерів, зокрема в Internet Explorer, Opera і Chrome.


Leave a Reply

You must be logged in to post a comment.