फेसबुक पर क्रॉस-साइट कंटेंट फोर्जरी

कुछ लोगों को फेसबुक पर एक दिलचस्प सुविधा मिली। जब उपयोगकर्ता अपनी दीवार पर एक फोटो लिंक जोड़ते हैं, तो पृष्ठभूमि में फेसबुक इस तस्वीर को खींचता है और पोस्ट के बगल में एक छोटी प्रतिलिपि जोड़ता है। लेकिन एक ही समय में, वे) एक विशिष्ट उपयोगकर्ता-एजेंट का उपयोग करते हैं, और बी) एक विशिष्ट डोमेन जिसमें से अनुरोध आता है। यदि आप इस जानकारी का उपयोग करते हैं, तो आप इस रोबोट JPEG को दे सकते हैं, और बाकी को स्थान दे सकते हैं: www.domain.com/my_awful_script.php किसी भी कार्यक्षमता के साथ। वैसे, Google+ भी ऐसा ही करता है।



यहाँ सब कुछ एक उदाहरण स्क्रिप्ट के साथ वर्णित है:

www.blackhatacademy.org/security101/index.php?title=Facebook#Content_Forgery

कामरेड करने की पेशकश करते हैं

AddType x-httpd-php .jpg

+ एडहैंडलर। आप mod_rewrite को भी सक्षम कर सकते हैं:

रेवेरिटेंगिन पर

RewriteRule .jpg $ serve.php

और हमें लाभ होता है। इस पोस्ट को लिखने के समय, समस्या अभी तक हल नहीं हुई है। यह अजीब है कि किसी ने भी इसे अभी तक गंभीरता से नहीं लिया है (या हो सकता है कि उसने पहले ही इसका फायदा उठा लिया हो)।

स्रोत: slashdot.org

UPD: AddType के बारे में एक गलत निष्कर्ष निकाला है।

उन्होंने यह बताने के लिए भी कहा कि इससे कैसे बचा जा सकता है। सबसे पहले, यह मामला उपयोगकर्ता-एजेंट द्वारा पकड़ा गया है - ठीक है, यहां रोबोट किसी तरह का ओपेरा होने का दिखावा कर सकता है। लेकिन मुझे नहीं पता कि इस तथ्य के बारे में कैसे जाना जाए कि ऐसे सभी अनुरोध कुछ आईपी से आते हैं। TOR जैसी किसी चीज का उपयोग करने के अलावा कोई भी IP सूची परिमित होगी, लेकिन फेसबुक की तुलना में यातायात के साथ परियोजना के पैमाने पर, ऐसी सेवा का उपयोग करना शायद ही वास्तविक हो।

और फिर भी - इसका जवाब कैसे एक तस्वीर के सिर्फ एक थंबनेल से अलग लिंक के साथ गलत जगह पर जाता है। असल में, यह इस तथ्य में भिन्न है कि लोग इस तथ्य के बारे में जानते हैं कि फेसबुक स्वचालित रूप से थंबनेल को कसता है, और संभावना है कि कोई व्यक्ति इस पर अधिक क्लिक करेगा। उपयोगकर्ता के लिए दूसरा खतरा यह है कि इस समय उसे एफबी में लॉग इन करने की गारंटी दी जाती है, और इस तरह सत्र चोरी करने का खतरा है, या उसी सीएसआरएफ, आदि।