スクリプト・インジェクション2

こんにちは(-ω-)ノ

前回予告した通り、Decoo編で書きたいと思います!

モバスペへんでは管理人にメールでおくりましたが、
今回は自分のリアルにスクリプトを書き込めてしまいます。
これも攻撃に成功すると、アカウントを乗っとることができます(Д

とりあえずPCで自分のリアルにログインした人(PCでログイン中)にだけ有効の攻撃です!

デクーでのログインは、セッション管理というものをしています。
ログインすると、昨日説明したパラメーターとして ・・・・ ?PHPSESSID=123456789
見ないな感じのが発行されます。 123456789のとこは、実際もっと複雑な文字列ですけど
これが一時的にログインを保つためのカギみたいなものです。

自分のURL+?PHPSESSID=123456789

みたいになり、このカギをもっている間は、ログイン中となります(ω
そしてログアウト、または時間が立ってタイムアウトしたときには無効となり
さいどアクセスしたときにはもぅ、ログアウト中になっています。

ログインしてる時、ページを色々移動して、再度アクセスしても『ログイン中!』と
セッションを保つために、一時的に自分のパソコンにCookieファイルとして
カギが保存されます。

誰かのブログにコメントするとき、2回目からは名前の欄に
前回使用した名前がすでにセットされていた!

みないなのがCookieの一例です。

これは初めてコメントした時に、名前に入力された値をCookieファイルとして
自分のHDDに保存し、2回目からはそのCookieを呼び出し
「あら便利!すでに名前入ってるわぁ~♪」
となる仕組みです。 あ、これCookie(クッキー)と読みます・・・・

このクッキーはどこからでも呼び出せる分けじゃありません!
ちゃんとそのクッキーを保存したサイトじゃないと呼び出せません!
つまり、この名前の値は、コメントしたブログじゃないと呼び出すのは無理ってことです。

じゃぁどーいうことかというと、、、、

そのサイト内ならいくらでも呼び出せるということです!
厳密に言うと、そのドメインじゃないとだめ・・・だった気がします。

まぁとにかくサイト内ならOKってこんですよ
クッキーはJavaScriptで簡単に呼び出せます。

では本題(ω//)

昨日説明したスクリプト・インジェクション
サイト内にスクリプトを埋め込めてしまう・・・というものでした。

デクーでは、PCでリアルを書くとき、HTMLモードと言うものがあります。
このモードでスクリプトを書いて投稿すると、自分のリアルのページで
スクリプトが発動するようになってしまいます。

最初に説明したセッション管理は、ログインしたときクッキーとして
一時的にログイン状態を保つためのカギのようなものが発行されるといいました。

つまりこのカギの書かれたクッキーファイルは
スクリプト・インジェクションにより自分のリアルに埋め込んで
PCでログイン中の人に踏ませることで、カギを盗むことができます!

最後は昨日と同じで、URLのパラメーターにつけてアクセスさせ、
ログファイルに記録させると言う方法をとります。

取得できたらターゲットがログアウト、またはタイムアウトする前に
このカギでアクセスしなければ失敗です。

カギを取得したとこでターゲットがログアウト→カギ無効
となったら意味ないですからね(ω)ノ

ターゲットの管理画面URL?PHPSESSID=取得したカギ
でアクセスすると・・・ログインできてしまいます!

詳しくはまたYouTubeみてください。
前回とBGM一緒ですが気にしないでくださいwww

あ、これギリギリ最大化できるんで大画面でみてねb




またネタ考えなくちゃ・・・
さよなら~(ω)ノシ
[PR]

by r-skull | 2010-12-04 14:06 | 攻撃・脆弱性