La cattiva gestione dei redirect è ormai diffusa anche su siti importanti che dovrebbero avere una sicurezza maggiore; un esempio lampante può essere Google che presenta alcune pagine che permettono il ridirezionamento dell' utente su pagine esterne senza effettuare alcun controllo su queste ultime.
Pochi giorni fa è arrivata l' ora di 2 portali italiani molto famosi (è ancora presto per dire il nome) che presentano anch' essi una cattiva gestione dei redirect. In pratica contengono degli indirizzi che, se modificati ad hoc, possono portare l' utente su una pagina qualsiasi che noi abbiamo scelto.
Ovviamente la pericolosità di tutto questo sta nel fatto che un phisher può inviare una mail agli utenti registrati su questi portali, inducendo gli utenti stessi a cliccare su un link nella mail e portarli verso una pagina costruita per registrare i loro dati. Per sferrare attacchi che hanno un alto livello di successo, i phisher hanno bisogno di queste vulnerabilità presenti nei portali famosi poichè le vittime saranno più propense a cliccare un link proveniente da un sito di grande fama.

I 2 gestori dei portali sono già stati avvisati, quindi tra qualche giorno vi farò sapere i nomi dei portali, se queste vulnerabilità sono state eliminate e cercherò di mettere online i video che mostrano la vulnerabilità...

7 commenti:

    On 14 agosto 2007 alle ore 11:59 Anonimo ha detto...

    Beh, non resta che dire: "speriamo che venga tutto fixato al più presto".

    ...fermo restando comunque che ormai si dice da tutte le parti di non seguire i link spediti in una mail quando vengono richiesti dati personali o password.
    Comunque non è la prima volta che società blasonate costruiscono siti magari belli a vedersi, senza pensare alle sicurezze...
    Ultimamente ti sei dato alla caccia grossa, eh? :-)

    On 15 agosto 2007 alle ore 15:08 Anonimo ha detto...

    ho visto da mio cugino che succede così con google e msn, fortuna che io uso alice

    @romix: per mia esperienza personale, non chiamerei proprio una fortuna usare alice.... :-), phishing a parte!

    Speriamo bene...

    On 16 agosto 2007 alle ore 19:22 Anonimo ha detto...

    ma esiste un portale sicuro o almeno meglio di altri??

    in realtà la maggior parte dei siti ha delle falle, più o meno visibili...
    in quest'ultimo periodo sono andato alla ricerca di bug XSS un po' in giro nella rete e se devo dire la verità i siti italiani sono messi peggio in media rispetto ai siti esteri...