Attacchi Indiretti postato il 09/02/2012 01:51:52 nel forum programmazione, gdrcd, open source, hosting e modificato da blancks il 09/02/2012 01:55:49
Volevo rendere noto il fatto che è in circolo questo worm che include automaticamente del codice malevolo, cercando di sfruttare falle XSS, quando un utente prova ad inviare un form in un sito web col fine di inserire iframe nascosti un po ovunque gli utenti bazzichino e di replicarsi così sul pc di altre persone.
Agli utenti posso solo consigliare di non fidarsi mai delle estensioni per il browser che promettono miracoli e di eseguire frequenti scansioni complete del sistema.
Per i gestori, consiglio caldamente di prendere misure di sicurezza disabilitando la possibilità di introdurre html libero nelle bacheche e nei profili personaggio: ricordate che avere una scritta colorata in scheda non vale il rischio a cui esponete i vostri utenti.
Non so quanto sia estesa, magari solo i pc di pochi utenti hanno contratto questa "infezione" ma basta poco per farla diffondere a macchia d'olio.
Quello che segue è il codice malevolo che viene incluso, lo espongo come feedback in caso vogliate creare controlli ad hoc, se volete verificare cosa si trova al link di destinazione è necessario per la vostra sicurezza disabilitare javascript del browser, ma in genere non vi consiglio di provarci.
Pagine → 1
09/02/2012 02:20:55 e modificato da neverlands il 09/02/2012 02:36:15
L'idea di abilitare l'HTML nelle schede, nelle bacheche o nelle altre parti della land mi ha sempre lasciato perplesso proprio per questo motivo: qualsiasi Iframe inserito sfugge a qualsiasi controllo tu abbia messo.
Personalmente l'ho sempre disabilitato in toto e inserito righe di codice apposite per poter concedere agli utenti delle funzioni che trovassero "carine"
Ad esempio per concedere un lettore di mp3 in scheda si è fatta la scelta di tenerne solo uno (ricaduta per volontà degli utenti su mixpod). Quindi inserito un campo "mixpod" numerico nel database che potesse ospitare l'ID e poi dentro la pagina di scheda un codice come questo:
09/02/2012 08:11:06
grazie mille per la segnalazione ;-)
09/02/2012 08:43:40
bravo blancks!!
u.u
09/02/2012 11:21:32
09/02/2012 13:35:25
Uh.. Ti ringrazio per quei link! :)
09/02/2012 14:08:18
Grazie per la segnalazione. Credo che se man mano che sorgono vulnerabilità varie i vari programmatori le segnalano, sia un valore aggiuntivo per tutta la community
09/02/2012 15:37:05
Grazie mille per la segnalazione.
cio che ho notato io alemeno da me è che noi abbiamo da config disabilitato l'html infatti forum e schede utilizzano solo il BBcode eppure..ho riscontrato che alcuno codici html le schede dei pg le accettano sebbene ci sia la restrizione.
volevo segnalartelo.
comunque prenderemo misure di sicurezza :)
09/02/2012 15:54:41
Discussione seguita da
Pagine → 1
Rispondi alla Discussione Aggiungi ai Preferiti Inoltra Discussione Forum Programmazione, GDRCD, Open Source, Hosting Elenco Forum
Planethos GdR: Una nuova profezia
Infinity Kingdom → Gioco di strategia MMO in stile cartoon in cui diventi un signore pieno di risorse. Difendi la terra di Norheim dagli gnomi malvagi!
Metin2: Informazioni sul server migliorate
Age of Crystals: Rallentamenti estivi
dbzgdr ha risposto alla discussione: Dragon Ball Z Gdr
Titan Revenge: Calendario eventi fino a fine mese online!
Lineage II → Entra in uno sconfinato mondo fantasy dominato da razze in contrasto tra loro. Scatena i tuoi poteri in uno dei Mmo più famosi al mondo!
Enlisted: Modifiche al sistema di aggiornamento
pyro72 ha aperto un annuncio di ricerca: World Without Heroes ricerca Giocatore
Titan Revenge → Diventa il grande generale del regno e ottieni il favore degli dei per diventare una valchiria. Unisci le forze per salvaguardare l'umanità!
World Without Heroes: News GDR: Pubblicazione e Nuovo Inizio
I dati del generatore di rank sono stati aggiornati!
Il gestore di Nexi Generation ha risposto alla recensione di deanna
Planethos GdR → Al gioco del trono o si vince o si muore. Con i Regni divisi, quale sarà la tua strada? Guerra, diplomazia, inganno o commercio? Entra e scoprilo!
Elamshin - Recensione del gdr fantasy L'Impero di Elamshin.. de tenebra anni tempora
Azioni nei Gdr - Le azioni nei gdr on line sono fra le fasi più delicate ed importanti per un buon gioco..
Polvere Nera - Intervista allo staff del GdR di cappa e pugnale Polvere Nera!
Histats - Scopri il sistema di statistiche web per il tuo gioco! Histats è gratuito!
Immagini Gratuite - 14 siti dove scaricare immagini gratuite in alta definizione per i vostri giochi!
Legacy of Magic Larp - Intervista al gestore di Legacy of Magic sull'evento Larp del gioco