Kategorie: Hacking

Chyba na Dama.cz + osobní data uživatelek

Jsou vánoce a nejspíš většina z nás se povaluje doma a nemá do čeho rýpnout. Po necelém roce jsem se zpětně koukl na portál dama.cz a zkouknul některé chyby. Co všechno je veřejně přístupné pro každého šťourala? Čtěte dále...

Autor: KdoSiOdJinud | Vydáno: 26.12.2009 21:43 | Přečteno: 13530x | Komentářů: 0

Neplánuji žádnou změnu pohlaví ani nic takového, ale při vánoční nudě jsem narazil opět na server dama.cz, který mě zaujal svojí děravostí.

Co stačí potencionálnímu útčníkovi?

pro přihlášení se na jakýkoliv účet kohokoliv z diskuse stačí pouhé dvě věci a to:

  • internetový prohlížeč s povolenými cookies
  • editor cookies (Cookie Manager)

Nebudu popisovat co přesně a jak přesně měnit, ani kde potřebné údaje zjistit - průměrný uživatel se s problémem vypořádá během pár minut.

Hlavní problém nejsou ukradené účty

Po přihlášení zadními vrátky se stane jedna velice zajímavá věc, do cookies se nám načte pravé heslo jehož hash ani plaint podobu pro přihlášení nepotřebujeme. V nastavení pak máme toto heslo uvedené v kolonce s heslem (skryté pod hvězdičkami), to však není problém například pro ******* ******* *****, který nám heslo ukáže krásně čitelné - to že je hashované v databázi je tedy k ochraně naprosto zbytečné...

Fakt, že útočník má čitelné heslo a emailovou adresu na kterou je účet registrován, mu dává cca 40% šanci na úspěšné přihlášení do mailu a tam už o osobní údaje širšího rázu rozhodně jde...

Závěrem

Rozhodně se nechci nikterak uspokojovat editací profilů uživatelek nebo shromažďováním údajů, na chybu jsem upozorňoval cca před rokem ( v té době jsem přihlášení na cizí účet byl schopný udělat, ale za mnohem složitějších podmínek). Také nechci tímto článkem nabádat k vyzkoušení chyb portálu dama.cz! Jediné co bych byl rád, kdyby si další skupina lidí uvědomila jak je internet prožralý a veřejný. Proč se tedy nechránit alespoň různými hesly na různé účty?!

Komentáře rss

Pokud hledáte službu či máte dotaz mimo téma článku, využijte prosím sekci Nabídky / poptávky.


Nebyly přidány žádné komentáře.