Websecurity - Веб безпека

18.12.2009

У квітні, 25.04.2009, я знайшов Insufficient Anti-automation та Abuse of Functionality уразливості на проекті http://www.4post.com.ua (онлайн ЗМІ). Про що найближчим часом сповіщу адміністрацію проекту.

Детальна інформація про уразливості з’явиться пізніше.

09.08.2010

Insufficient Anti-automation:

На сайті (зокрема в формі коментарів на сторінках нових) використувується вразлива капча. Що має постійні значення капчі та передбачуваний алгоритм їх генерації.

http://www.4post.com.ua/ico_cod.html?cod=pRVtZxvX
1474
http://www.4post.com.ua/ico_cod.html?cod=pRVtZxvY
1475

Можливий автоматизований метод атаки з використанням тієї ж самої капчі, або з використанням передбачуваного алгоритму генерації капч.

Abuse of Functionality:

http://www.4post.com.ua/search.html?word=%%%

При даному запиті доступ до сайта (в даному браузері) блокується - що вирішується видаленням кукіса PHPSESSID. Це можна використати для проведення CSRF атак на користувачів сайта, для блокування їх доступу до сайта.

Дані уразливості досі не виправлені.

This entry was posted on 15:28 09.08.2010 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.