Clickjacking: opracowano nową metodę ataku

21-09-2008, 11:35

Odpowiednie wykorzystanie luk wykrytych w przeglądarkach internetowych i oprogramowaniu serwerowym umożliwia cyberprzestępcy przygotowanie linka "prawie niewidocznego lub widocznego bardzo krótko" i podsuwanie go nieświadomym internautom zamiast prawidłowego odnośnika - twierdzą specjaliści od bezpieczeństwa Robert "RSnake" Hansen i Jeremiah Grossman.

Hansen znany jest Czytelnikom Dziennika Internautów z informacji o niebezpiecznej luce w Google Gadgets, która była tematem jego wykładu na niedawnej konferencji Black Hat. Łączy się go też z odkryciem usterki w Firefoksie, która pozwala napastnikom na odczyt historii przeglądanych przez internautę stron. O clickjackingu - taką nazwę nadano omawianej metodzie ataku - Hansen i Grossman mieli opowiedzieć na konferencji OWASP (Open Web Application Security Project) w Nowym Jorku. Wykład został jednak odwołany.

Jak donosi Heise Online, obaj prelegenci doszli do wniosku, że wykryte luki są tak poważne, że przed ich ujawnieniem konieczna jest konsultacja z producentami oprogramowania. Dotychczas nawiązano współpracę m.in. z Microsoftem i Adobe. Przedstawiciele tej drugiej firmy zapewnili na łamach prowadzonego przez siebie bloga, że podjęli już działania w celu wyeliminowania usterki i podziękowali specjalistom za dyskrecję. Natomiast w komunikacie organizatorów konferencji można przeczytać, że wykład nie odbędzie się "na skutek nacisków".

Warto na końcu zauważyć, że clickjacking, o którym piszą na swoich blogach zarówno Hansen, jak i Grossman, może mieć wiele wspólnego ze znanym od co najmniej czterech lat, ale wciąż niedocenianym HijackClickiem (technikę tę wykorzystano do pobierania konkretnych plików użytkownika, który odwiedzał odpowiednio spreparowaną stronę internetową). Przygotowany przez ekspertów exploit pozwala w łatwy sposób przejąć pełną kontrolę nad zaatakowanym systemem. Grossman pracuje już nad odpowiednim patchem do przeglądarek, który podniósłby bezpieczeństwo ich użytkowników.


Następny artykuł » zamknij

Przepisy na coś słodkiego z kremem Nutella
  
znajdź w serwisie

RSS  

RSS - Wywiad
Wywiad  
RSS - Interwencje
RSS - Porady
Porady  
RSS - Listy
Listy