allegro pełne dziur!

**Posty:** 653 · przez **holi12** 20 Gru 2006, 16:11

Allegro jest największym polskim serwisem aukcyjnym, którego codziennie używają tysiące osób sprzedając i kupując rozmaite przedmioty. Każda z tych akcji wymaga zalogowania się do części "Moje Allegro" której, jak się okazało, poziom bezpieczeństwa jest równy zeru, a co jednocześnie nie za bardzo interesuje pracowników Allegro, bo pomimo wysłania dwóch maili z konkretnymi przykładami ataków pozostały one bez odzewu.

Znalezienie kilku błędów w skryptach administracyjnych Allegro zajęło dokładnie 3 minuty wliczając czasy ładowania się dokumentów HTML i grafik.

Błędy te są bardzo poważne, o czym może świadczyć fakt, że osoba atakująca, z pomocą spreparowanego adresu URL, może bez większego trudu wykraść wszystkie dane osobowe (łącznie z adresem i numerem telefonu), nazwę użytkownika i hasło, listę wystawionych i obserwowanych aukcji itd.

Można także bez większego problemu dostać się do danych związanych z sesją, aby, po ustawieniu identycznych wartości u siebie, przeglądać część administracyjną już jako zaatakowana osoba.

Plusem systemu Allegro jest fakt, że przed wykonaniem kluczowych operacji pyta o nazwę użytkownika i hasło (co traci sens, jeśli da się je wykraść, ale zawsze).

Jednak, co ciekawe, wystawienie nowej aukcji nie należy do tej grupy akcji i podczas próby ataku można swobodnie wystawić aukcję w dowolnej kategorii, o dowolnym tytule, opisie i kwocie kupna, której właścicielem będzie atakowana osoba.

Spreparowany adres URL można oczywiście przepuścić najpierw przez jeden z wielu serwisów służących do generowania krótszych adresów, umieścić go w ukrytym IFRAME pod dowolną domeną lub wewnątrz wiadomości e-mail, co praktycznie uniemożliwia skuteczne wykrycie ataku.

Całość sprowadza się do tego, że nie tylko panel administracyjny Allegro jest podatny na takie ataki jak XSS (Cross Site Scripting), CSRF (Cross-Site Request Forgery) i Session Fixation, a w konsekwencji i na RCSR oraz Session Riding, ale również o to, że ignorancja pracowników Allegro może przekształcić się w spory problem dla niczego nieświadomych użytkowników.
edit by precel
zrodlo:http://hacking.pl/

**Posty:** 934 · przez **AragornXT** 20 Gru 2006, 16:14

Może byś podał źródło tekstu?

**Posty:** 10223 · przez **Precel** 20 Gru 2006, 16:17

a moze holi12 sam jest hakerem <rotfl>

**Posty:** 653 · przez **holi12** 20 Gru 2006, 16:19

precel napisał(a):a moze holi12 sam jest hakerem

Tjaaa bawie się w to po nockach :twisted:

http://hacking.pl/ źródło

**Posty:** 934 · przez **AragornXT** 20 Gru 2006, 16:21

precel napisał(a):moze holi12 sam jest hakerem

no wiesz precel... nie lubię jak ktoś używa tylko ctrl i v i nie pisze źródła

**Posty:** 1421 · przez **guma** 20 Gru 2006, 16:22

z tego samego źródła:

Nasza dzisiejsza publikacja dot. skandalicznych zaniedbań bezpieczeństwa użytkowników serwisu aukcyjnego Allegro.pl odbiła się szerokim echem w polskim internecie.

Nic dziwnego, skoro do tej pory praktycznie każdy użytkownik był skazany na łaskę osób, które doskonale wiedziały, że błędy w oprogramowaniu dają im pełną kontrole nad kontem każdego handlującego na Allegro.

Jak do tej pory nikt z pracowników Allegro nie pofatygował się na kontakt z naszą redakcją pomimo, że wiemy z całą pewnością, że są doskonale zorientowani w całej sytuacji.

Tym bardziej, że jak do tej pory udało im się 'naprawić' podatny kod jedynie pod kątem ataków XSS (Cross Site Scripting)...

Z zespołem Allegro kontaktowała się m.in. redakcja serwisu IT Biznes, powołując się na nasze informacje.

W odpowiedzi, na którą jak sami przyznali musieli czekać dość długo, Patryk Tryzubiak (PR Manager Allegro) oznajmił, że platforma aukcyjna nie jest jeszcze w stanie ustosunkować się do zarzutów oraz że trwają prace nad weryfikacją informacji o lukach.

Redakcja IT Biznes została zapewniona, że pełnej odpowiedzi w tej sprawie przedstawiciele Allegro udzielą w dniu jutrzejszym.

Dziś o 16:11 Krzysztof Pietrzak, z zespołu Allegro zapowiedział na Café Allegro (wewnętrznym forum serwisu) przerwę techniczną w nocy ze środy na czwartek (20/21 grudnia) co zaskutkuje niedostępnością serwisu w godzinach od 1:00 do 2:00. Sprawę tą chyba najlepiej skomentowali sami użytkownicy Allegro:

**Posty:** 934 · przez **AragornXT** 20 Gru 2006, 16:26

I to prowadzi nas dyskusji nad dalszym korzystaniem z serwisu allegro.pl z powodu ich zabezpieczeń. Mam się bać :?:

**Posty:** 1421 · przez **guma** 20 Gru 2006, 16:30

nie bój się. Licz na to że akurat nie trafią na Ciebie <rotfl>

**Posty:** 10223 · przez **Precel** 20 Gru 2006, 16:33

mika150 napisał(a):no wiesz precel... nie lubię jak ktoś używa tylko ctrl i v i nie pisze źródła

ja tak samo mam

holi12 jak jeszce raz zobacze ze nie podajesz zrodla to pogadamy inaczej
:idea:

**Posty:** 934 · przez **AragornXT** 20 Gru 2006, 16:35

guma166 napisał(a):Licz na to że akurat nie trafią na Ciebie

A czemu nie?

**Posty:** 383 · przez **michal_k** 20 Gru 2006, 16:51

odpowiedź od allegro (za http://wiadomosci.onet.pl/1453544,18,item.html)

"W związku z pojawiającymi się w niektórych serwisach internetowych informacjami o braku zabezpieczenia serwisu Allegro.pl chciałbym zdementować te informacje" - pisze Patryk Tryzubiak z Allegro.pl w oświadczeniu przesłanym do redakcji serwisu Wiadomości Onet.pl.

"Rzeczywiście sytuacja opisywana przez serwis hacking.pl miała miejsce. Jednakże, twierdzenie że poziom zabezpieczeń naszego serwisu jest zerowy jest co najmniej nadużyciem" - czytamy w oświadczeniu.

"Nie będziemy bronić się przed zarzutami stawianymi przez Pana Łukasza (Lacha, autora informacji w serwisie hacking.pl - przyp. Wiadomości Onet.pl). Rzeczywiście dokonał on tego czego dokonał. Co więcej chcielibyśmy podziękować mu za sposób w jaki próbował załatwić te sprawę. Pan Łukasz nie robił sztucznego szumu. Zamiast tego skontaktował się z naszym serwisem i próbował nam pomóc w rozwiązaniu problemu. Za to jesteśmy mu wdzięczni. Tak jak jesteśmy wdzięczni za każdą informację mogącą pomóc w zwiększeniu bezpieczeństwa i funkcjonalności naszego serwisu" - czytamy w oświadczeniu Allegro.pl.

"Faktycznie nasza reakcja na maila Pana Łukasza była spóźniona. Nie wynikało to jednak ze złej woli pracowników naszego serwisu. Po prostu mail ten trafił do kolejki w formularzu zgłoszeniowym. W związku z okresem przedświątecznym pozostał tam dłużej niż powinien. Niestety okres przedświąteczny jest dla nas zawsze związany ze wzmożoną pracą oraz dużo większą ilością korespondencji" - pisze Tryzubiak, dodając, że "w momencie, gdy dotarliśmy do informacji od Pana Łukasza nasz dział techniczny rozpoczął natychmiastowe prace nad poprawieniem bezpieczeństwa naszego serwisu".

"Problem opisywany przez Pana Łukasza nie jest tak trywialny jak starają się go pokazać niektórzy internauci. Faktycznie problem ten miał miejsce. Został już jednak naprawiony. Nie jest jednak tak, że dowolna osoba może przejąć dowolne konto Użytkownika. Błąd wykazany przez Pana Łukasza wymaga pewnej aktywności ze strony atakowanego Użytkownika, nie związanej z systemem Allegro.pl" - zapewnia przedstawiciel najpopularniejszego w Polsce serwisu

allegro pełne dziur!

allegro pełne dziur!

Kto jest na forum