This is a free and fully standards compliant Blogger template created by Templates Block. You can use it for your personal and commercial projects without any restrictions. The only stipulation to the use of this free template is that the links appearing in the footer remain intact. Beyond that, simply enjoy and have fun with it!

Sơ hở của Yahoo 360 Plus

Trong 2 ngày gần đây , từ 07/12/2009 , một số Blogger trên Yahoo 360 Plus khi truy cập vào Blog đều thấy xuất hiện box yêu cầu xác nhận Username và Password .







Qua xác minh của Vnteam_360Plus do "người dùng" cố ý chèn 1 đoạn Script với nội dung yêu cầu người truy cập "khai báo" thông tin đăng nhập . Và đã được đưa lên trang chủ cảnh báo cho Blogger .





Sơ qua cách thức của Attacker như sau :
Attacker dựa vào lỗi (tạm thời có thể coi là lỗi vì Attacker thực hiện thông qua vị trí này) ở tag IMG trong phần Comment của Blog cho phép chèn 1 link có dạng http://domain.com/filename.php :

[IMG]http://domain.com/filename.php[/IMG]


với nội dung file php có tác dụng như đã nói bên trên - xuất hiện box yêu cầu người truy cập "khai báo" Username/Password .
Như vậy nếu người truy cập Blog ko chú ý sẽ "mắc bẫy" bằng cách "khai báo" U/P , sau đó U/P sẽ dc lưu vào 1 file "Log" trên server của Attacker .

Nguyên nhân : có thể do bộ lọc Header của code 360Plus đã bỏ qua bước lọc hoặc lọc không kỹ các định dạng file được phép sử dụng trong cặp tag IMG .

Đây là 1 số hình ảnh sau khi liên lạc với "tác giả" đã cung cấp :













Cách khắc phục : như Vnteam_360Plus đã nói , Blogger có thể bỏ qua bước "khai báo" thông tin trên Box xuất hiện khi truy cập Blog bằng cách click vào Cancel . Đây là cách tạm thời và chờ bên Vnteam_360Plus khắc phục hoàn toàn .

Source : FangBua.Blogspot.Com

1 comments:

Anonymous said...

Thanks and that i have a keen offer: How Much Home Renovation Can I Afford house renovation shows on netflix

Post a Comment