बैंकों। त्रुटियां और कमजोरियां

मैंने बैंकों की साइटों की समीक्षा के लिए दिन समर्पित करने के लिए ब्याज का फैसला किया।
इनमें से पहला रोसेलखोज़ बैंक की आधिकारिक साइट थी (विज्ञापन ने खुद को महसूस किया :), अगला रूसी मानक बैंक, फिर एक्स बैंक (एक्स बैंक - एक बैंक) जिसने मेरी 2 अधिसूचनाओं का जवाब नहीं दिया और छेद बंद नहीं किया) और अंत में अल्फा बैंक ।

लक्ष्य किसी भी गुप्त जानकारी के उत्पादन को हैक करना या प्राप्त करना नहीं था, लेकिन केवल यह जांचने के लिए कि बैंकों की आधिकारिक वेबसाइटें कितनी अच्छी थीं।

रूसी कृषि बैंक

बिट्रिक्स सीएमएस द्वारा संचालित साइट

त्रुटि।

पहली बात जिसने मेरी आंख को पकड़ा, वह समाचार आउटपुट मॉड्यूल था, क्योंकि एक पृष्ठ पर वर्ष, महीना, दिन और समाचार की एक और संख्या चुनने के विकल्प हैं।

तारीख लेने वाला।

पता बार में, वर्ष २०० और महीने २० को इंगित करते हुए, मैंने देखा कि कोई त्रुटि संदेश और इसके अलावा नहीं थे, यह डेटा पृष्ठ पर चयन में दिखाई दिया, जिसका अर्थ है कि आने वाला डेटा पृष्ठ पर प्रदर्शित होता है।
फिर मैंने एसक्यूएल इंजेक्शन की संभावना की जांच करने का फैसला किया - असफल।
अगला कदम एक्सएसएस के लिए जाँच कर रहा था - यहाँ यह पहले से ही दिलचस्प था।

युक्ति। वर्ण बच नहीं रहे हैं और HTML वर्ण HTML संस्थाओं में परिवर्तित नहीं हुए हैं, जिसका अर्थ है कि आप किसी भी कोड को एम्बेड कर सकते हैं।
दुर्भाग्य से (या सौभाग्य से बैंक के लिए), ऐसे XSS को अलर्ट या iframe कॉल के रूप में लागू करने के सभी प्रयास विफल हो गए क्योंकि पहले टैग में एक स्थान डाला गया था।
इनकमिंग डेटा:

20"></option></select><script> 

आउटपुट:

 20"></option></select><sc ript> 

अधिकतम जो किया जा सकता है, वह चित्र या लिंक (बिना js कोड के) सम्मिलित करना है।

समाचार की संख्या को सीमित करें।

अगला चरण प्रतिबंधों की जांच कर रहा था, जिस पृष्ठ पर आप 5 से 20 समाचारों का चयन कर सकते हैं।
लेकिन जैसा कि आप शायद पहले ही समझ चुके हैं, प्रतिबंध को दरकिनार किया जा सकता है।
आप सुरक्षित रूप से 100,000 समाचारों को इंगित कर सकते हैं, जिसके बाद सभी समाचार साइट पर दिखाई देंगे।

खबर का लिंक।

समाचार पृष्ठ पर, मैंने यह भी देखा कि समाचार के लिंक का एक अजीब अंत है।



इस चर को हेरफेर करने के सभी प्रयास विफल रहे, हालांकि मुझे संदेह है कि अगर Register_Globals सक्षम थे, तो XSS को निष्पादित करना संभव होगा।
फिर मैंने प्रेस सेंटर पेज पर जाने का फैसला किया, वहां मुझे एक समान त्रुटि दिखाई दी, लेकिन पहले ही चर $ पृष्ठ के बिना



मैंने इस पृष्ठ पर सफलतापूर्वक हेरफेर करने का निर्णय लिया - सफलतापूर्वक। जब पृष्ठ चर को GET के माध्यम से पारित किया गया था, तो चर की पूरी सामग्री लिंक में प्रदर्शित की गई थी, लेकिन डबल उद्धरण परिवर्तित किया गया था।

जवाब है।

जवाब कुछ घंटों बाद आया, धन्यवाद दिया और पूछा कि उनके बैंक के बारे में ऐसी देखभाल कहाँ से आई :)

त्रुटियों को स्वयं ठीक किया गया था, लगभग 3-4 दिनों के बाद, सभी समाचारों को वापस लेने के अलावा, जाहिर है, उन्होंने इसे गलती नहीं माना।

रूसी मानक बैंक

CMS साइट को नहीं पहचाना गया।

XSS

XSS भेद्यता का सार यह निकला कि GET अनुरोध से पैरामीटर को कई स्थानों पर पेज कोड में स्थानांतरित किया जाता है, लेकिन सबसे महत्वपूर्ण बात, js कोड को।
इस js कोड में, चर अनुरोध को परिभाषित किया गया है (यह वर्तमान पृष्ठ के पते के लिए ज़िम्मेदार है), लेकिन जब पैरामीटर पास होते हैं तो एक भी उद्धरण बचने नहीं होता है, जो हमें मनमाने ढंग से js कोड निष्पादित करने की अनुमति देता है।





तब मैंने साइट की जांच नहीं की, क्योंकि यह पहले से ही पर्याप्त है।

जवाब है।

31 मई को जवाब मिला।

एक्स बैंक

एक्स बैंक - एक बैंक जिसने मेरी 2 सूचनाओं का जवाब नहीं दिया और छेद को बंद नहीं किया, इसलिए मैंने इसे "चमकाने" का फैसला किया।
सबसे अधिक प्रतिबंध गलती खोज प्रपत्र है।
कोई फ़िल्टरिंग नहीं है, एक उद्धरण जोड़ें और इनपुट बंद करें, फिर कोई भी कोड डालें।

तब मैंने साइट की जांच नहीं की, क्योंकि यह पहले से ही पर्याप्त है।

जवाब है।

अभी तक कोई जवाब नहीं दिया गया है, साथ ही बग को ठीक किया गया है।

अल्फ़ा बैंक

मैंने लंबे समय तक पीड़ित अल्फा-बैंक की एक झलक पकड़ी, अर्थात्, विचार उप-समूह। अल्फा-बैंक ने भी XSS पाया, केवल एक चीज जिसने कोड को सफलतापूर्वक निष्पादित करने से रोका, वह स्लैश है, इसे सीमांकक माना जाता है, क्योंकि पैरामीटर GET से गुजरे (idea.alfabank.ru/accepted/page88 any_code )

जवाब है।

पहला संदेश स्पष्ट रूप से नहीं पहुंचा, या किसी कारण से छूट गया। दूसरे नोटिस से - उन्होंने जल्दी से जवाब दिया और छेद को पैच कर दिया।

परिणाम।

दुर्भाग्य से, ऐसी त्रुटियों को बहुत धीरे-धीरे ठीक किया जाता है, विशेष रूप से कुछ के लिए त्रुटियों के विवरण के साथ एक संदेश को फिर से भेजना आवश्यक था ताकि वे अंततः बंद हो जाएं।

परिषद।

बाहरी लिंक पर क्लिक करते समय, यदि कोई विश्वसनीय साइट की ओर जाता है, तो भी उनके रास्ते की जाँच करना सुनिश्चित करें, ताकि हैकर का शिकार न बनें।