• Acasă
  • Despre noi
  • Autori
  • Mărturii
  • Arhivă
  • Trimite Articol
  • Contact

WORLDIT

Lumea în 1 și 0.

  • Știri
    • Tehnologie
    • Tehnologie mobilă
    • Securitate
    • Developers
    • Știință
    • Benzi desenate
    • Jocuri
    • Intern
  • Tehnic
    • Browser
    • C#
    • C/C++
    • Challenge
    • HTML/CSS
    • Javascript, Ajax, jQuery
    • Open Source
    • PHP
    • Python
    • Securitate IT
    • Socializare
    • WordPress
    • Altele
  • Recenzii
  • Interviuri
  • Evenimente

XSS este un real pericol – Apache a invatat lectia

0
  • Publicat de Andrei Avădănei
  • în Securitate · Știri
  • — 15 apr., 2010 at 3:27 pm

Unii dintre pasionatii de securitate probabil au auzit ca destul de recent cei de la Apache au fost tinta unui nou val de atacuri ce s-a soldat cu probleme destul de urate.

Mi-a placut foarte mult modul in care oamenii ce se ocupa de securitatea Apache au documentat si catalogat aceasta problema. Cred ca acest document reprezinta un bun exemplu in cazul in care esti unul din nefericiti.

”If you are a user of the Apache-hosted JIRA, Bugzilla, or Confluence, a hashed copy of your password has been compromised.”, avertieaza echipa de la Apache.

Cred ca cel mai interesant ar fi analiza stadiilor incipiente ale atacului – au fost detectate un atac de tip brute force si incercarea de a exploata o vulnerabilitate XSS.

The attackers via a compromised Slicehost server opened a new issue, INFRA-2591. This issue contained the following text:

ive got this error while browsing some projects in jira http://tinyurl.com/XXXXXXXXX [obscured]

Tinyurl is a URL redirection and shortening tool. This specific URL redirected back to the Apache instance of JIRA, at a special URL containing a cross-site scripting (XSS) attack. The attack was crafted to steal the session cookie from the user logged-in to JIRA. When this issue was opened against the Infrastructure team, several of our administrators clicked on the link. This compromised their sessions, including their JIRA administrator rights.

Asadar, baietii care au drepturi foarte importante in administrarea Apache au deschis link-uri web suspecte, adrese ce au dus la pagini malformate ce abuzau de problema de securitate precizata mai sus. Se pare ca este foarte greu sa fim foarte atenti pe ce apasam. Regula de aur este sa ne asiguram de validitatea adreselor web ce le accesam. O data cu popularizarea scurtatoarelor de URL este tot mai greu si intradevar este „o pierdere de timp”. De asemenea, cei de la Tinyurl au un serviciu care permite activarea unui preview al adresei la care merge, dar s-ar parea ca nici unul din baietii afectat nu au avut-o activata. (pacat nu?)

Pentru toti baietii ce se ocupa cu securitatea si prefera sa lase pe maine ce pot face astazi, ganditi-va de doua ori daca codul vostru are sisteme de siguranta care sa rezolve aceasta problema. Sunt sigur ca nu vreti sa ajungeti urmatoarea tinta. 🙂

Etichete: apacheapache are probleme de securitatedespre apacheonlinesecuritatesecuritatea webxss

— Andrei Avădănei a scris 1246 articole

Andrei scrie pe worldit.info din vara lui 2011. Este fondatorul Asociatiei Centrul de Cercetare in Securitate Informatica din Romania - CCSIR si coordoneaza DefCamp, cea mai importanta conferinta de securitate informatica & hacking din Europa Centrala si de Est. Andrei ofera in cadrul Bit Sentinel servicii de securitate informatica, penetration testing, security management, recuperarea de pe urma unui atac cibernetic, training-uri si workshop-uri.

  • Articolul anterior Conceptul Morph – realitate sau fictiune?
  • Articolul următor Telegraph.co.uk a fost spart – Romanian National Security a luat vina

  • Facebook

    WorldIT.info
  • Ultimele Atacuri Cibernetice din Romania – RO Hacked

    [wp_rss_retriever url="https://rohacked.bit-sentinel.com/feed/" excerpt="none" items="5" read_more="false" new_window="true" thumbnail="false" cache="0"] RO Hacked este registrul atacurilor cibernetice din România.
  • Caută

  • Articole Recomandate

    • Recent Posts
    • Tags
    • Număr record de participanți la DefCamp 2015, cel mai important eveniment dedicat securității cibernetice din Europe Centrala si de Estdecembrie 2, 2015
    • La DefCamp 2015 vei afla prin ce tehnici pot fi evitate măsurile de securitate ale sistemelor informatice criticeoctombrie 16, 2015
    • Ultima sansa sa rezervi bilete de tip Early Bird la DefCamp 2015septembrie 1, 2015
    • 15 sfaturi despre cum poti deveni un programator bun venite de la specialisti romaniaugust 4, 2015
    • algoritmica Android antivirus Apple Avadanei Andrei benzi desenate BitDefender blog browser C++ Chrome concurs eveniment Facebook Firefox Google google chrome hacking html5 infografic informatica internet Internet Explorer IT javascript linux Microsoft Mozilla Firefox online PHP programare retea sociala review Romania securitate Tehnologie Twitter web Windows Windows 7 Wordpress WorldIT worldit.info Yahoo! YouTube
  • mai 2022
    L Ma Mi J V S D
     1
    2345678
    9101112131415
    16171819202122
    23242526272829
    3031  
    « dec.    
  • Link-uri Sponsorizate

    • laptop second hand

    • Calculatoare Second Hand

    • cod voucher pc garage

  • Home
  • Știri
  • Securitate
  • XSS este un real pericol – Apache a invatat lectia
  • Important

    • Bit Sentinel
    • Centrul de Cercetare în Securitate Informatică din România
    • DefCamp
  • Prieteni

    • BetiT.ro
    • bijuterii handmade
    • Computerica | Resurse gratuite PC
    • Descopera.org
    • Gadgeturi si IT – Giz.ro
  • Prieteni

    • PC – Config
    • RO Hacked
    • Stiri IT

Copyright © 2009-2014 WORLDIT. Toate drepturile Rezervate.
Termeni și condiții | Contact | Licența Creative Commons