Websecurity - Веб безпека

У січні, 31.01.2009, я знайшов Abuse of Functionality та Insufficient Anti-automation уразливості на сайті https://www.google.com (в формі для створення акаунта Gmail).

Дані уразливості подібні до уразливостей на www.youtube.com (іншому проекті Google).

Abuse of Functionality:

На сторінці реєстрації https://www.google.com/accounts/NewAccount ?service=mail функція check availability, яка призначена для перевірки чи вільний даний логін, дозволяє дізнатися логіни користувачів в системі (Gmail).

Insufficient Anti-automation:

Враховучи, що дана функція немає захисту від автоматизованих атак, це дозволяє проводити автоматизоване виявлення логінів користувачів Gmail. Що може бути зроблено за допомогою брутфорсерів логінів, зокрема, моєї програми Brute force login identifier.

В подальшому виявлені логіни можуть бути використані для визначення паролів користувачів сайта.

This entry was posted on 23:56 26.09.2009 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.