Websecurity - Веб безпека

22.01.2011

У листопаді, 05.11.2010, я знайшов Cross-Site Scripting, Abuse of Functionality та Insufficient Anti-automation уразливості на проекті http://br-ua.com. Про що найближчим часом сповіщу адміністрацію проекту.

Раніше я вже писав про уразливості на www.br-ua.com.

Детальна інформація про уразливості з’явиться пізніше. Треба дати час адмінам на реакцію з цього приводу.

12.10.2011

XSS:

Три XSS уразливості - дві на сторінці реєстрації та одна на сторінці відновлення паролю. Приклади експлоітів для даних уразливостей.

Abuse of Functionality:

http://br-ua.com/users/register
http://br-ua.com/users/remind

На сторінках реєстрації та відновлення паролю можна визначати емайли користувачів (що є логінами).

Insufficient Anti-automation:

http://br-ua.com/users/register
http://br-ua.com/users/remind

Хоча капчі використовуються на даних сторінках, але для визначення емайлів (логінів) користувачів не потрібно вводити коректну капчу.

Дані уразливості досі не виправлені. Зараз адміни змінили домен br-ua.com на br.mirkvartir.ua (піддомен сайта mirkvartir.ua, теж дірявого), при цьому залишивши всі уразливості. Домен вони змінили явно за для економії, так само як вони економлять на безпеці власних сайтів.

This entry was posted on 23:58 12.10.2011 and is filed under Уразливості. You can follow any responses to this entry through the RSS 2.0 feed.