mboost-dp1

unknown

Første XSS orm snød MySpace brugere

- Via BetaNews - , redigeret af peter_m

Brugeren “Samy” på MySpace opdagede en mulighed for at indsætte Javascript, som ved hjælp af AJAX-lignende kode, tilføjede ham på andre brugeres venneliste.

I samme omgang tilføjede han koden til disse profilers forside og i løbet af nogle timer steg Samys vennekreds til millioner.

MySpace blev taget offline, og koden er nu fjernet fra sitet, ligesom Samys profil er slettet.

denne blog er der en beskrivelse af koden.





Gå til bund
Gravatar #1 - webwarp
14. okt. 2005 10:16
First post!
Gravatar #2 - webwarp
14. okt. 2005 10:18
"som ved hjælp af Ajax ligende kode" .. Altså kode der gjorde rent eller hvad :S ??

Hehe men lad dog den stakkels ensomme knægt få nogen venner MySpace :)!
Gravatar #3 - Spook
14. okt. 2005 10:19
Gravatar #4 - Nvidiot
14. okt. 2005 10:19
#1 og her er det første knytnæveslag!


Utroligt at nogen firmaer vil skide på sikkerheden og tillade at sådan er muligt.

Altid noget det blev taget offline.
Gravatar #5 - smiley
14. okt. 2005 10:23
Ringe nyhed...

Men ehm, godt for ham da, eller noget?
Gravatar #6 - zoop
14. okt. 2005 10:26
Man kan vel kun grine af en sådan tosse, som finder meget prestige i at have "kunstige" venner over nettet. Han virker som en der mangler opmærksomhed :)
Gravatar #7 - TYBO
14. okt. 2005 10:27
#2: Efter det jeg har fået at vide er Ajax en blanding af javascript og webservices.
Skal snart til at se på det.
Gravatar #8 - fr0s7
14. okt. 2005 10:33
hedder det ikke XSS ? (Cross Site Scripting)
Gravatar #9 - TSi
14. okt. 2005 10:35
Jeg har en mistanke om at Samy er den hovedansvarlige bag Team Gilmore Girlz, og muligvis også Rorys far.
Gravatar #10 - webwarp
14. okt. 2005 10:41
#8 kunne der være noget om ;)
Gravatar #11 - peter_m
14. okt. 2005 10:50
#9 Warner har tænkt sig at køre en faderskabssag mod Rorys mor, for at få afklaret det spørgsmål...
Gravatar #12 - peter_m
14. okt. 2005 10:52
#8 jo, det gør det jo...tak for spottet...DOH!
Gravatar #13 - Dreadnought
14. okt. 2005 10:54
"By 9:30pm that night, requests topped one million and continued arriving at a rate of 1,000 every few seconds."

Gad vide om serveren fik noget at lave. hehe.
Gravatar #14 - Zyprezz
14. okt. 2005 11:05
hehe det er sku da genialt. men jeg tror no afligevel de sagsøger ham
Gravatar #15 - Qrup
14. okt. 2005 11:06
You just call out my name
And you know wherever I am
I'll come runnin'
To see you again
Winter, spring, summer or fall
All you have to do is call
And I'll be there
You've got a friend
Gravatar #16 - Kisbye
14. okt. 2005 12:40
#7
Lyder ellers meget smart, kunne også være man skulle kigge lidt nærmere på det

http://en.wikipedia.org/wiki/Ajax_%28programming%2...
Gravatar #17 - Klok
14. okt. 2005 12:59
Jeg tror iøverigt Newz.dk bruger Ajax til f.eks. at vise rating info om et indlæg.

Tager jeg fejl?
Gravatar #18 - Lobais
14. okt. 2005 12:59
Ajax (Asynchronous JavaScript and XML)
Gravatar #19 - nielsbrinch
14. okt. 2005 15:43
Jeg bruger også tonsvis af Ajax på http://www.send1brev.dk

Bemærk hvordan siden ikke genloader når man logger sig på osv.
Gravatar #20 - Nemio
14. okt. 2005 15:51
#6
Jeg har på fornemmelsen at han ikke har lavet det bare for at få nogle flere "Venner" Men mere fordi han havde muligheden for at prøve om det kunne lykkedes ham.
Husk på det er udfordringen og indimellem også muligeden for at ødelægge der driver både dem, og hackerene/Crackerne.

Jeg ville da også hvis jeg havde de evner forsøge om jeg ikke kunne en masse ting, Foreksempel hacke RKI og få hele deres system til at gå ned....
Gravatar #21 - pezz
14. okt. 2005 16:05
Først orm? Tag jer nu sammen da..
Gravatar #22 - scarlac
14. okt. 2005 16:33
#19 - ja læg mærke til hvordan browseren går i baglås og CPU load stiger til 100%. Fed side, og godt du lige kunne reklamere lidt :P

Det er XSS, Cross Site Scripting, ja. Fejlen er rettet.

Og jeg vil ikke engang kalde det XSS, da det foregår på samme side. Det er et alvorligt problem for siden, der ved en fejl ikke får filtreret den slags fra.
For at lette forståelsen for problemet, kan det sammenlignes med en gæstebog der tillader samtlige HTML tags.
Det farlige er at man kan scripte en helt del i Javascript, og på den måde, hvis brugeren der besøger, er logget på, kan hente andre sider, feks. hans egen gæstebog (hvis sitet udbyder gæstebøger), hvor man så laver et indlæg med samme "orm". På den måde kan det spredes hurtigt.

Han kunne have scriptet sig til noget meget værre - f.eks. en orm der slettede alle folks venner eller andre former for sletning.

Så det handler simpelthen om at de har lavet en fejl da det kodet hjemmesiden - vi begår alle fejl, husk det nu.
Gravatar #23 - traCe
14. okt. 2005 16:43
*offtopic*
#19 øhh, hos mig står siden KONSTANT og reloader :)?
*offtopic*

tvivler på han gør det for at få venner ham der :)
Gravatar #24 - Windcape
14. okt. 2005 16:52
Hvad er der galt med folk ? trode det var et nørd side..
Denne nyhed henvender sig til kode-delen af nørderne.

Ajax er en ret vild teknologi, der lader javascript udføre serverside kode, uden refresh.

F.eks. kører hele Jubii's chat på Javascript (ajax/XmlHttpRequest).

Det er derfor ret relevant er folk kan aktivere koden i <style> tags istedet for <script> tags i IE.
Det er en klar fejl fra deres webmaster, men viser at man slet ikke skal tillade html tags NOGEN STEDER, uden en meget striks form for validation.

Hvis folk ønsker html tilladt i tagwalls eller lign. vil jeg nærmere opfordre til at bruge en RTE editor som http://kevinroth.com/rte/demo.htm , da man dermed undgår mulighed for at redigere koden, men alligevel kan lave fint layout.

Det viser også at Internet Explorer (SP2 tæller med!) stadigvæk ikke er helt ufarlig at bruge.

Så det handler simpelthen om at de har lavet en fejl da det kodet hjemmesiden - vi begår alle fejl, husk det nu.


Rigtigt, dette gør også nyheden endnu mere relevant, da den netop forklare hvad man skal passe på , når man koder websider.

De fleste newbies og "webdesignere" som bruger wysiwyg programmer er nok de mest udsatte til daglig, men AJAX er for de virkelig hardcore kodere, og derfor ikke så udskældt med bugs (endnu, da ingen har fundet dem).

Forresten er AJAX i 90% af brugen rimelig overkill...
Gravatar #25 - HauritZ
14. okt. 2005 19:47
LOL BLOGS, FAGS, LJ ER FOR FOLK MED AIDS.
Gravatar #26 - ChrashOverride
14. okt. 2005 20:05
To each his own means.

Knægten skaffer sig venner, G.W. Bush Skaffer sig stemmer.
Danske folkevalgte politiker klikker sig meget ind på deres egen hjemme side så deres visit counter er høj...

Jeg mener i det mindste hvade knægten her IQ nok til at være så smart at det tog flere dage før han blev opdaget.

Det eneste jeg kan sige til ham er "Gud hvor må du være ensom"
Gravatar #27 - Simm
14. okt. 2005 21:19
http://developer.mozilla.org/en/docs/AJAX .. Ret god hvis man vil snuse til hvad AJAX er :)

edit: .oO(okay.. det lød sgu mystisk lol)
Gravatar #28 - Bagmus
14. okt. 2005 22:51
Seriøst, dette er en nørd side, hvis du/i regner med han gjorde det for og få venner høre du/i nok mere hjemme på jubii chat eller demospasser.dk, jeg er helt rystet over disse kommentare, håber i mener det i sjov, for ellers hvis det var op til jer var der ikke noget der hed sikkerhed på nettet.
Gravatar #29 - TYBO
15. okt. 2005 07:46
#19: Hahaha sej side du har lavet der.
Elsker dine kommentar:

Hvor er du dygtig!
- Min mor
Gravatar #30 - MFA
16. okt. 2005 09:08
#19, må jeg gøre opmærksom på at

1) Din side bruger _INTET_ AJAX... du bruger derimod et iframe som du refresher _RET_ ofte (et par gange i sekundet).
AJAX virker via XmlHttpRequest funktionerne (tjek Sarissa for en Cross-Platform implementation af dette) der gør en i stand til at lave request til en server og få resultatet returneret som et DOM-object.
Prøv at læs op på Wikipedia-artiklen, DevMo siden eller find den artikel som IBM publiserede for nogle uger siden...

2) Dit webhotel må virkeligt hade dig... med alle de reloads af et iframe uden nogen "værdi" (de bliver lavet efter en timer, ikke efter indholds-ændring). Er du klar over hvad det tager af server-load og traffik? Der er et hvis overlay på http, så selvom du måske ikke sender særligt meget data bliver der overført en del mere (headers etc)

3) De mange unødige reloads gør ens browser relativ sløv at arbejde med, fordi den hele tiden står og requester, henter, parser siden i hvad der basicly er et uendeligt loop. (og nej, det er ikke min computer der er langsom)

AJAX er det som fx. ligger bag GMail og Google Maps - det er lavet på en radikal anden måde som kræver mindre af serveren og klienten. Kræver dog også en del mere af programmøren... *host*

*edit* rettet er par stavefejl

Fangel
Gravatar #31 - Malte
17. okt. 2005 08:50
#30

Jeg vil nu ikke sige det krævermindre af klienten. Det kommer an på hvad man bruger data man henter til. Men ellers flot beskrevet. Jeg kan iøvrigt anbefale at kigge på Ajax.NET, hvis nogen skulle kode noget i et .NET sprog. Lækkert framework.
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login