« Інфіковані сайти №83
Добірка експлоітів »

Нові уразливості на www.allo.ua

16:02 14.06.2011

07.10.2010

У червні, 18.06.2010, я знайшов Cross-Site Scripting, Insufficient Anti-automation та Abuse of Functionality уразливості на сайті http://www.allo.ua (онлайн магазин). Про що найближчим часом сповіщу адміністрацію сайта.

Стосовно дірок на сайтах онлайн магазинів в останнє я писав про уразливості на www.tid.com.ua. Раніше я вже писав про уразливості на www.allo.ua.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

14.06.2011

XSS:

http://www.allo.ua/console/forget.php?e_mail=%3Cscript%3Ealert(document.cookie)%3C/script%3E&seenform=y

Insufficient Anti-automation:

http://www.allo.ua/console/forget.php

На даній сторінці не було захисту від автоматизованих запитів (капчі). Зараз розробники вже поставили капчу, але діряву.

Abuse of Functionality:

http://www.allo.ua/console/forget.php

Через даний функціонал можна визначати логіни користувачів.

Якщо XSS уразливість вже виправлена, то IAA та AoF уразливості досі не виправлені.


This entry was posted on 16:02 14.06.2011 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.

4 відповідей на “Нові уразливості на www.allo.ua”

  1. Павел каже:
    П'ятниця, 11:28 08.10.2010

    В строку поиска ввел код:
    alert(1)ipt>

    Все выполнилось =)
    Жалко что там пост запрос…

  2. Павел каже:
    П'ятниця, 11:30 08.10.2010

    Сорри, скушало код

    -scr-script-alert(1)-/script-ipt-

  3. MustLive каже:
    Субота, 23:31 09.10.2010

    В строку поиска ввел код

    Паша, об этой XSS я писал в прошлой записи об уязвимостях на www.allo.ua (скоро я опубликую детали). Как и многих других дырах, что я нашёл 06.05.2009. В этой же записи я о других дырах написал, что я дополнительно нашёл на данном сайте, а дыр там хватает :-) .

    Жалко что там пост запрос…

    Скрипт поиска работает с GET, так что данную XSS можно использовать и для GET-запроса (как ты увидешь, когда я опубликую детали). Просто смени POST на GET с использованием всех необходимых параметров и атака у тебя заработает.

  4. MustLive каже:
    Субота, 23:38 09.10.2010

    Замечу, что если на сайте (или в веб приложении) есть XSS или другая уязвимость, которая работает только через POST, то это не есть проблема. И атака легко осуществляема ;-) . И на протяжении многих лет я многократно приводил примеры html-форм для проведения атак через POST-запросы. Например, как в случае WordPress.

    Сорри, скушало код

    В комментариях тэги фильтруются, так что учитывай это. Для указания угловых скобок используй или html-entities, или bb-коды.

Leave a Reply

You must be logged in to post a comment.