[Owasp-greece] Facebook Source code disclosure (?) or something else (?) dead end

Δημόπουλος Ηλίας dimopoulos.elias at gmail.com
Mon Dec 2 18:59:38 UTC 2013


Επειδή η λίστα ξανά έπεσε ανεβάζω αυτό μπας και έχει κανείς καμιά ιδέα
να το πάμε ένα βήμα πιο πέρα.
=============================================================================
Σύνοψη:
Πάμε να δημιουργήσουμε ένα note στο facebook.
Στο body του note που δημιουργείτε βάλτε το εξής tag:
<img class="" src="https://www.google.gr/images/srpr/logo11w.png>
Στο τέλος δεν κλείνουμε τα double quotes του src και κλείνουμε με > το tag.
Πατήστε preview. Δείτε τον source code και εντοπίστε το tag σας. Θα
δείτε ότι έχει μετατραπεί σε
<img class="img"
src="https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBJ71LgOMvE3wEQ&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png%3E%3C%2Fpre%3E%3Cbr%3E
<view-source:https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBJ71LgOMvE3wEQ&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png%3E%3C%2Fpre%3E%3Cbr%3E>"
/>
Παρατηρήστε ότι μετά το logo11w.png έχει εμφανιστεί το εξής "></pre><br>".
Επαναλάβετε με <img class="img"
src="https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBJ71LgOMvE3wEQ&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png
<view-source:https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBJ71LgOMvE3wEQ&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png%3E%3C%2Fpre%3E%3Cbr%3E>>
και
<img class=""
src="https://wwdddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddw.gAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAoogle.gr/images/srpr/logo1dddddddddddddddddddddddddd1w.png>

Θα αποκαλυφθούν μετά το ".png" </a>></span></pre><br><br> και
>+</pre><br><br> αντίστοιχα.
=============================================================================

Στο facebook μπορείς να φτιάξεις notes.

Στα notes αυτά μπορείς να ανεβάσεις φωτογραφίες. Το πρώτο ενδιαφέρον
είναι ότι μπορείς να παρακάμψεις το κουμπάκι browse από όπου πρέπει να
βρεις μια φωτο από το pc σου και να ανεβάσεις φωτογραφία από το net
χρησιμοποιώντας
img tag. Π.χ αν πάτε στα notes και γράψετε

<img class="" src="https://www.google.gr/images/srpr/logo11w.png">

στο preview θα δείτε κανονικά την εικόνα του google.
Αν αρχίσετε να πειράζετε το img tag θα δείτε το εξής ενδιαφέρον:
Αν χρησιμοποιήσετε το
<img class="" src="https://www.google.gr/images/srpr/logo11w.png>
Όπου στο τέλος του tag κλείνουμε το < αλλά δεν κλείνουμε τα double
quotes, θα δείτε στον source το εξής παράλογο:
<img class="img"
src="https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBJ71LgOMvE3wEQ&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png%3E%3C%2Fpre%3E%3Cbr%3E
<view-source:https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBJ71LgOMvE3wEQ&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png%3E%3C%2Fpre%3E%3Cbr%3E>"
/>
Όπως βλέπουμε στο τέλος έχει εμφανιστεί το εξής "></pre><br>"
Αν χρησιμοποιήσουμε ένα ποιο μεγάλο url θα δούμε ότι ο κώδικας
προχωράει. Π.χ
Ξανά πάμε πίσω στα notes και αντί για
<img class="" src="https://www.google.gr/images/srpr/logo11w.png>
βάλτε το link που χρησιμοποιεί το ίδιο το fb. Δηλαδή
<img class="img"
src="https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBJ71LgOMvE3wEQ&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png
<view-source:https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBJ71LgOMvE3wEQ&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png%3E%3C%2Fpre%3E%3Cbr%3E>>
ΠΡΟΣΟΧΗ στο τέλος δεν κλείνουμε τα double quotes του src και κλείνουμε
την <.
Αν πατήσουμε τώρα preview και δούμε τον κώδικα έχουμε το εξής:
<img class="img"
src="https://fbexternal-a.akamaihd.net/safe_image.php?d=AQCtmeLjG4dM1kBm&url=%3Ca%3Ehttps%3A%2F%2Ffbexternal-a.akamaihd.net%2Fsafe_image.php%3Fd%3DAQBJ71LgOMvE3wEQ%26url%3Dhttps%253A%252F%252Fwww.google.gr%252Fimages%252Fsrpr%252Flogo11w.png%3C%2Fa%3E%3E%3C%2Fspan%3E%3C%2Fpre%3E%3Cbr%3E%3Cbr%3E
<view-source:https://fbexternal-a.akamaihd.net/safe_image.php?d=AQCtmeLjG4dM1kBm&url=%3Ca%3Ehttps%3A%2F%2Ffbexternal-a.akamaihd.net%2Fsafe_image.php%3Fd%3DAQBJ71LgOMvE3wEQ%26url%3Dhttps%253A%252F%252Fwww.google.gr%252Fimages%252Fsrpr%252Flogo11w.png%3C%2Fa%3E%3E%3C%2Fspan%3E%3C%2Fpre%3E%3Cbr%3E%3Cbr%3E>"
/>

Αν δούμε μέσα στο src υπάρχει το εξής κομμάτι κώδικα
</a>></span></pre><br><br>
Τέλος αν χρησιμοποιήσουμε ένα link ποιο μεγάλο το οποίο δεν έχει μια
valid εικόνα,ή δεν είναι κάν valid το λινκ p.x
<img class=""
src="https://wwdddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddw.gAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAoogle.gr/images/srpr/logo1dddddddddddddddddddddddddd1w.png>

Αφού πατήσουμε preview και δούμε τον source θα έχουμε το εξής:
<img class="img"
src="https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBSsjzOoc-bzWfu&url=https%3A%2F%2Fwwdddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddw.gAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAoogle.gr%2Fimages%2Fsrpr%2Flogo1dddddddddddddddddddddddddd1w.png%3E+%3C%2Fpre%3E%3Cbr%3E%3Cbr%3E
<view-source:https://fbexternal-a.akamaihd.net/safe_image.php?d=AQBSsjzOoc-bzWfu&url=https%3A%2F%2Fwwdddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddw.gAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAoogle.gr%2Fimages%2Fsrpr%2Flogo1dddddddddddddddddddddddddd1w.png%3E+%3C%2Fpre%3E%3Cbr%3E%3Cbr%3E>"
/>
Όπου στο τέλος εμφανίζεται το εξής:
>+</pre><br><br>
Η τελευταία φαίνεται και η ποιο ενδιαφέρουσα περίπτωση

Αν κάποιος χρησιμοποιήσει τα ίδια λινκ με εμένα και πάρει άλλο κομμάτι
κώδικα ας το μοιραστεί μαζί μας.

Άλλο img tag το οποίο έδωσε ενδιαφέροντα αποτελέσματα, παρόμοια με τα
παραπάνω είναι το εξής:
<img class="img2" src=https://www.google.gr/images/srpr/logo11w.png">

Υ.Γ: Το κομμάτι κώδικα που ακολουθεί ένα valid img tag το οποίο
παρουσιάζει μια εικόνα είναι το εξής:
<img class="img"
src="https://fbexternal-a.akamaihd.net/safe_image.php?d=AQCGUS4IgjlfuJf1&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png
<view-source:https://fbexternal-a.akamaihd.net/safe_image.php?d=AQCGUS4IgjlfuJf1&url=https%3A%2F%2Fwww.google.gr%2Fimages%2Fsrpr%2Flogo11w.png>"
/><br /><br /></pre>
Ακολουθεί το <br /><br /></pre>
Υ.Γ2: Αν κάποιος θέλει screenshot ή κάποια διευκρίνιση μου λέει.
Υ.Γ3: Τα tags στα notes έχουν γενικά μια περίεργη συμπεριφορά για όποιον
θέλει να τα ψάξει λίγο παρά πέρα.

Δημόπουλος Ηλίας
twitter at DimopoulosElias




-------------- next part --------------
An HTML attachment was scrubbed...
URL: <http://lists.owasp.org/pipermail/owasp-greece/attachments/20131202/581cd869/attachment.html>


More information about the Owasp-greece mailing list