Archive for June, 2007

XSS iekš nekur.lv & svaigs.lv?

Posted on June 10th, 2007 in Internets | 8 Comments »

Nevienam laikam nav noslēpums, ka nu jau pēdējos pāris gadus liela uzmanība interneta projektu izstrādē ir jāpievērš tieši dažāda veida drošības pasākumiem, īpaši jau dažādu XSS uzbrukumu formā. Līdz ar dažādu satura sidikācijas servisu uzplaukumiem tagad paveras pavisam jaunas iespējas darboties arī cilvēkiem ar noslieci uz XSS izvritībām. Tad nu es te tagad tā padomāju - pavisam nesen pie mums Latvijas internetā ir uzradušies divi jauni satura sindikācijas servisi (nekur.lv un svaigs.lv), kas apkopo jaunāko Latvijas blogos. Arī mana bloga ieraksti tur parādās.

Lai gan neesmu pamēģinājis šādas mahinācijas veikt, tomēr man ir diezgan lielas aizdomas, ka šie projekti varētu būt salīdzinoši ļoti viegli ievainojami. Viss, kas mums ir jāizdara, ir jāpanāk, ka mūsu bloga ieraksti parādās attiecīgajos servisos. Lai arī šis process nav automātisks, tomēr abi servisi ir ieinteresēti lielākā satura plūsmā, tāpēc pēc vairāku sakarīgu rakstu uzrakstīšanas varētu būt salīdzinoši vienkārši tikt viņos iekšā. Ko darīt tālāk? Vienkārši - rakstam kaut kādu sliktu JavaScript kodu sava bloga ierakstā, vai arī nomainām RSS barotni pret kādu sliktu saturu. Ko mēs varētu izmēģināt? Mēs varētu vienkārši iekļaut kaut kādu nekaitīgu javascript koda fragmentu šajā ierakstā un paskatīties, kas notiks, kad šis ieraksts parādīsies katrā no servisiem.

Tad nu mazliet padomāju un lai mahinācijas neviens īsti nemanītu, ievietoju šādu vienkāršu javascript kodu:

<script>
try{
console.info(document.domain);
}catch(e){}
</script>

Kods ir pilnīgi nekaitīgs, FireBug konsolē (ja tā ir pieejama) izdrukājot vien pavisam vienkāršu testa tekstu - attiecīgās lapas domēnu. Ja nu ir dikti liela vēlme taisīt ziepes, tad te varētu sarakstīt arī stipri kaitīgāku kodu.

Tad nu tagad pagaidīšu, kad abos servisos šis ieraksts parādīsies un tad izdarīsim secinājumus.

Papildināts: nekur.lv veiksmīgi izgāja šo triviālo testu, <script></script> birkas vienkārši tika izgrieztas. Tas gan neizslēdz iespējas, ka nav citu veidu, kā tur iemānīt dažādus XSS skriptus vai izmantot dažādas CSRF mahinācijas.

Papildināts #2: svaigs.lv izrādījās ievainojams. Patiesībā tests bija ārkārtīgi vienkāršs, netika pielietota neviena no neskaitāmām XSS iebarošanas viltībām, tik vien kā tīrs JavaScript kods atklāti ierkastīts <script> birkās. Cerams, ka kļūdas pavisam drīz tiks novērstas, citādi te ļaundariem paveras ļoti plašas iespējas manipulācijām, gan vienkārši veicot kaut kādas lietotāju pārsūtīšanas (redirect) darbības, lai zagtu trafiku, gan arī visādas citas manipulācijas.

Patiesībā, gaidot rezultātus jau domāju, ko rakstīšu pie secinājumiem, ja abas lapas izies šo testu un nevarēju izdomāt. Tā nu veiksmīgi tiku cauri no neliela aplauziena, jo aizdomas izrādījās patiesas. Tad nu varu vien novēlēt labu veiksmi esošajiem un topošajiem projektu autoriem cīņā ar XSS un mācīties no šīs vienkāršās norādes uz potenciālajām problēmām. Un jā, cerams, ka mani par šādu joku no šiem servisiem tagad neizmetīs :).

Papildināts #3: Izrādās, ka pavisam nesen arī citi ir veikuši mahinācijas svaigs.lv, tiesa tikai ar CSS līdzekļiem un pēc visa spriežot tīri nejaušības pēc.

Superior XQ 750

Posted on June 7th, 2007 in Pārdomas | 8 Comments »

Es nezinu vai es esmu vienīgais, kas ir novērojis šādu likumsakarību, taču padalīšos ar to. Latvijas internetā ir kaut kāds bariņš blogotāju, katram ir savas intereses, taču lielākā daļa no viņiem vairāk vai mazāk ir saistīti ar IT lietām. Tad nu kādu laiku atpakaļ pavērojot to, kas tiek rakstīts blogos, secināju, ka katra sevi cienoša blogotāja arsenālā ir jābūt 2 standarta lietām:

  1. digitālajai kamerai (vēlams dSLR), kuras bildes laiku pa laikam uzpeld attiecīgajā blogā
  2. velosipēdam, ar kuru doties pārbraucienos un tikt pie jaunām bildēm, doties cīņā dažādos velo pasākumos vai vienkārši doties uz darbu vasarā.

Patiesībā nezinu cik daudzu blogotāju rīcībā ir šāds “džentelmeņa komplekts”, taču man ir radusies sajūta, ka tādi ir lielais vairākums. Lai nu kā, vienmēr ar interesi lasu cu piedzīvojumus šajā sfērā. Tad nu sakarā ar lielo notikumu izlēmu sev uzdāvināt dāvanu - Superior XQ 750 velo. Nekas īpašs, kārtīgs iesācēju braucamais, kas neprasa nekādas lielas investīcijas. Patiesībā ar daudzām lietām ir pavisam vienkārši - ja tu nezini, kāpēc tev vajag kaut ko dārgu un ekskluzīvu, labāk iesākumā iegādāties kaut ko vienkāršu un lētu. Tā nu par noteikumu velosipēda iegādei izvirzīju budžetu, biju ar mieru šķirties no 150-200Ls, iekļāvos šīs robežas galējā augšējā punktā.

Tad nu šodien agrāk devos prom no darba, lai iegādātos savu noskatīto dāvanu. Pirkums bija ātrs un vienkāršs - ar pārdevēju jau iepriekš biju sazinājies, tik vien kā gribēju pirkumu pirms tam apskatīt un uzkāpt virsū iemēģināt. Patiesībā tā kārtīgi ar velosipēdu nemaz pēdējo gadu laikā nebiju braucis, mans pēdējais velosipēds bija liekas kādus 10 gadus atpakaļ, kad vēl bija vecie labie “школьник”, “saliekamo”, “vīriešnieku” un “sieviešnieku” laiki. Tā nu beidzot tiku pie kārtīga velosipēda, kuram var mainīt ātrumus, ir rokas bremzes un citi kārtīgo velosipēdu prieki, ieskaitot priekšējās bremzes, kas varētu kādreiz noderēt, lai mestu kūleņus pāri stūrei.

Kā jau var nojaust, tikko pārbraucu mājās, sēdos jaunajam kumeļam mugurā un devos turpat blakus esošajā Baložu mežā. Pusotra stunda braukāšanas un esmu gandrīz beigts, toties apmierināts. Ja vien būtu apņemšanās, tad tagad būtu labs iemesls pēc pamošanās pirms došanās uz darbu izbraukt kādus 10 kilometrus garu gabaliņu sportiskās formas uzturēšanai, taču ar to apņemšanos jau ir tā, ka labāk vienkārši sākt kaut ko darīt, nekā apņemties un pēc tam satraukties, ka apņemšanos nevar izpildīt :)

Lai nu kā, pēc vairāku gadu braukāšanas tikai ar auto, atkal sajust kā zem velosipēda riepām čaukst čiekuri un apkārt dzied putni ir vienkārši lieliski! Iesaku izbaudīt! Vienīgā ellīgi dīvainā sajūta, ar kuru saskāros ir tā, ka pirmās pus stundas laikā vismaz 5 vai pat vairāk reizes pieķēru sevi pie domas, ka mēģinu skatīties spoguļos, līdzīgi kā to daru braucot ar auto. Tad nu tagad nāksies pierast, ka, lai uzzinātu, kas notiek aiz muguras, nāksies pagriezt galvu :)

Mg.sc.comp

Posted on June 3rd, 2007 in Pārdomas | 3 Comments »

Viss sākās pirms 6 gadiem. Aptuveni ap šo pašu laiku līdzīgi kā šī brīža vidusskolnieki, biju pilnībā ierauts eksāmenos. Tad sekoja iestājeksāmeni augstskolā, kuri lai arī sākumā likās neveiksmīgi (netrāpīju tur, kur vēlējos), beigās izrādījās pat veiksmīgāki nekā varēju iedomāties.

Read the rest of this entry »