Ένα bug XSS (cross-site scripting) στην κεντρική περιοχή του eBay θα είχε κάνει τη ζωή των φορέων phishing πολύ πιο εύκολη εάν γνώριζαν την ύπαρξή του.
Το σφάλμα, που ανακαλύφθηκε από έναν χάκερ γνωστό ως MLT, είναι μια XSS επίθεση που θα μπορούσε να επιτρέψει σε έναν εισβολέα να προσθέσει ειδικές παραμέτρους στο τέλος του ULR και να κάνει το site eBay να εκτελεί κακόβουλο κώδικα στο πρόγραμμα περιήγησης του χρήστη.
Ο MLT αναφέρει ότι, επειδή το “HttpOnly” βρίσκεται στον τομέα ebay.com, οι εισβολείς δεν θα είναι σε θέση να κλέψουν τα cookies του χρήστη μέσω αυτού του ελαττώματος, αλλά αυτό δεν προστατεύει τους χρήστες από άλλα είδη πιο πολύπλοκων επιθέσεων.
Το XSS σφάλμα θα μπορούσε να είναι πολύ χρήσιμο σε επιθέσεις phishing
Σε ένα λεπτομερές blog post, ο χάκερ έδειξε στους αναγνώστες βήμα-προς-βήμα οδηγίες για το πώς να δημιουργήσουν μια σελίδα phishing για την οθόνη σύνδεσης του site. Μόλις δημιουργήθηκε αυτός ο κλώνος HTML, έβαλε μαζί ένα αρχείο PHP που θα λάμβανε δεδομένα από την ψεύτικη ιστοσελίδα και στη συνέχεια τα έγραψε σε ένα αρχείο log.txt. Όταν τελείωσε, φιλοξένησε αυτήν την ψεύτικη σελίδα σύνδεσης του eBay στον διακομιστή του, ώστε να μπορεί να είναι διαθέσιμη στο διαδίκτυο.
Χρησιμοποιώντας το bug XSS που ανακάλυψε πρώτος, έφτιαξε ένα ψεύτικο ebay.com URL, το οποίο χρησιμοποιεί τις παραμέτρους που φορτώνουν ένα iframe πάνω στην πραγματική σελίδα.
Αυτό το iframe ορίστηκε για να φορτώσει την ψεύτικη σύνδεση του MLT. Επειδή το σφάλμα XSS επέτρεψε στον εισβολέα να χρησιμοποιήσει την επίσημη περιοχή του site, οι χρήστες θα το υποψιαστούν ποτέ.
Το eBay διόρθωσε το θέμα πριν γίνει πρόβλημα
Στέλνοντας αυτό το κακόβουλο link σε email ή κοινωνικά μέσα μαζικής ενημέρωσης θα επέτρεπε στο χάκερ να συλλέγει κωδικούς πρόσβασης από όλους τους χρήστες που συνδέθηκαν.
Φυσικά, για να καλύψει την ψεύτικη σύνδεση, χρησιμοποιώντας κώδικα JavaScript για την ψεύτικη σελίδα σύνδεσης, θα μπορούσε να μεταφέρει αυτόματα τους χρήστες σε μια πραγματική σελίδα του site, και να εξαφανίσει τη phishing σελίδα μόλις τα διαπιστευτήρια είχαν κλαπεί.
Ο MLT λέει ότι ανέφερε το θέμα στο ebay, που το διόρθωσε εν τω μεταξύ.
